Aktualisiert:Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt. // Auch das Forum wurde kompromentiert

[razzor1984]

Die Linux Mint Webpage wurde von unbekannten dritten gehacked. Diese haben sich durch eine Lücke in Wordpress
zugang zum Webserver verschaft. Dort haben sie den download link zu allen linuxmint-17.3-cinnamon version abgeändert und durch version mit build in Trojaner ersetzt.
Um nicht sofort aufzufallen wurde auch die hash liste (Md5) abgeändert damit der Hack nicht sofort auffält.
Nach jetzigen Kenntnisstand ist nur linuxmint-17.3 mit der cinnamon oberfäche betroffen.


Der hack dürfte gestern am 20.02.2016 stattgefunden haben, wer heute bzw gestern sich ein Linux mint iso mit der cinnamon Oberfäche geladen hat, sollt die Hashes unbedingt überprüfen!!!
Für den fall das die hashes nicht passen, iso löschen neu laden und überpürfen.Falls man einen PC mit der infizierten version hat, daten backupen und System HDD formatieren linux neue installieren!
Alle passwörter die im betreffend zeitraum mit der infizierten version genutzt wurden zurücksetzt!
[Der Trojaner greift passwörter ab und schicket diese an eine bulgrische seit(absentvodka.com.) Falls man kompromentiert wurde alle PW zurücksetzten!!!!]

Gültige sha256/hashes:
46b8a14826a53f4cacf56d1132a5184c2132f274aef8103e5e8e8cae9e1cfde0 linuxmint-17.3-cinnamon-32bit.iso
854d0cfaa9139a898c2a22aa505b919ddde34f93b04a831b3f030ffe4e25a8e3 linuxmint-17.3-cinnamon-64bit.iso
506a8e88c83cddc7fadd2b7c5bf25b7e6a15f028e1628004dcd6470084430f17 linuxmint-17.3-mate-32bit.iso
d02bfaae749db966778276a8ae364843c1ffb37b3e1990c205f938bda367ad2a linuxmint-17.3-mate-64bit.iso
e61ed8f5df9283e86926fb7c414f36f7649ce716517093807a193aaf7d396bb8 linuxmint-17.3-cinnamon-nocodecs-32bit.iso
c149f3f57275e5d64bf0401d12eff5d021b92688dbd21cdbb4111cb3415eda17 linuxmint-17.3-cinnamon-nocodecs-64bit.iso
ba6c4f3e70929f3e90d03fb3063892085b7a0e829579dc0f48723e94a2bc6570 linuxmint-17.3-mate-nocodecs-32bit.iso
71604ef7479855213ae044e4c896f38249ea4bc567f0013bd0157080f3130941 linuxmint-17.3-mate-nocodecs-64bit.iso
48d82518a73962f9b5d9d61383a90132b64ee6fa489a67547468c136c8a27bfd linuxmint-17.3-cinnamon-oem-64bit.iso
694bf952d68eb5a69560a756e578d85531be1498b08dd30aee6919c9139a7434 linuxmint-17.3-mate-oem-64bit.iso
be64bf240a47df03fedca1b8aeb9357896e3dedd55446a0f87eca4f638c9d28c linuxmint-17.3-kde-32bit.iso
aa33bf286e92556163c335b258fe5cbd9f65f4ab8490e277fed94cf20d3920e4 linuxmint-17.3-kde-64bit.iso
cebff34e99b071d7237d2cfd2e24719f5a72e9e499a82d424007e850befc755b linuxmint-17.3-xfce-32bit.iso
83c1796a37582bdea74117193cef369582d72093fd0b5278ae03016bd8685b04 linuxmint-17.3-xfce-64bit.iso


Index of /pub/linuxmint.com/stable/17.3
https://ftp.heanet.ie/pub/linuxmint.com/stable/17.3/sha256sum.txt

Für alle Windows User die sich jetzt gedanken machen wie überprüfe ich nun den HASH? Gibt ein recht simples tool welches unter Windows und linux funktioniert (opensource)
Quick Hash GUI download | SourceForge.net


Da Md5 hashes gernerell nicht sehr kollisions resisdent sind und schon seit längerm als nicht mehr sicher zu betrachten sind, sollte die user
tunlichst die iso auf stimmigkeit (sha256) überprüfen!
Ein weiterer Sicherheitsvorteil wäre, wenn die Mintentwickler eine PGP signatur zu verfügung stellen, denn dann wäre selbst ein hack der Webseite nicht sehr zielführen. Die Angreifer müssten in den besitz des Privaten
-Schlüssels der Mintentwickler gelangen !!!!


EDIT[22-02-16]
Nach neuem Kenntnisstand ist auch das Forum betroffen [forums.linuxmint.com] Unter Have I been pwned? Check if your email has been compromised in a data breach können user nachschauen ob ihre Daten davon betroffen sind !
Wie immer, sollten die User die betroffen sind das PW ändern und falls das PW öfters in verwendung war auch dieses überall dort abändern


Quellen:
The Linux Mint Blog >> Blog Archive >> Beware of hacked ISOs if you downloaded Linux Mint on February 20th!

 

[iGameKudan]

AW: Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt.



Gut, dass mir der Download gestern zu langsam war...

Irgendwie aber schon etwas arm, wenn ein Hersteller einer Linux-Distribution es nicht gepackt kriegt, seine Website abzusichern.

 

[razzor1984]

AW: Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt.

Man darf halt nicht vergessen, linux mint ist ein openscource projekt mittel werden da sicher nicht in rauen mengen vorhanden sein, deswegen immer ein paar euro locker machen
Wordpress absichern ist ne eigene Kunst in sich, hat man drittplugins installiert muss man sehr vorsichtig sein

 

[DKK007]

AW: Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt.

Kann ja bei Windows genauso passieren. Nur kann da eben keiner in den Quellcode schauen und die Veränderungen feststellen.

 

[razzor1984]

AW: Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt.

Kann ja bei Windows genauso passieren. Nur kann da eben keiner in den Quellcode schauen und die Veränderungen feststellen.

Ah geh die Backdoor is hier auch bei gültiger signatur schon drinnen
(Glaub MS bietet ja Md5s an um die Intigrität zu checken)

 

[Stryke7]

AW: Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt.

Naja, da Windows seine Updates ja jetzt aus dem Botnetz von anderen Usern holt, statt von Microsoft, ist das ein ernstes Problem. Ich gehe mal davon aus dass sie da schon dran gedacht haben.

 

[nonamez78]

AW: Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt.

Kann ja bei Windows genauso passieren. Nur kann da eben keiner in den Quellcode schauen und die Veränderungen feststellen.

Naja, besonders dem Mint Team hab ich das gar nicht gewünscht. Die Community ist sehr freundlich, trotz der steigenden Beliebtheit stehen sie weiterhin im Schatten vom großen Ubuntu. Ich habe ewig immer wieder bei jedem Release gespendet (Schande über mich, auch eingeschlafen) und bei den Summen die dort zusammen kommen wirklich geschluckt. Das waren lediglich ein paar tausend Euro im Monat.
Da darf wirklich niemand böse sein, wenn eben mal nicht alles komplett rund läuft (wobei man Wordpress wirklich einfach meiden sollte, das Ding ist eine permanent tickende Bombe, egal wie komfortabel es ist).

 

[lunaticx]

Mal was ganz anderes, abgesehen davon das ich an den Hashes der Isos sehen kann ob ich betroffen bin oder nicht ...
Woran noch ?

Ist /var/lib/man.cy auch bei einer installierten Variante von Mint sichtbar oder nur wie beschrieben in der Livevariante.
Hab am Wochenende mit verschiedenen Distris / Versionen rumprobiert und keine Ahnung ob ich betroffen bin oder eben nicht / nicht mehr

 

[Stryke7]

Ich denke, aktuell kann man nur warten bis das Team hinter Mint alle Probleme behoben hat und die offizielle Webseite wieder online ist. Dann hoffentlich mit Informationen zum Thema.

 

[razzor1984]

Mal was ganz anderes, abgesehen davon das ich an den Hashes der Isos sehen kann ob ich betroffen bin oder nicht ... Woran noch ? Ist /var/lib/man.cy auch bei einer installierten Variante von Mint sichtbar oder nur wie beschrieben in der Livevariante. Hab am Wochenende mit verschiedenen Distris / Versionen rumprobiert und keine Ahnung ob ich betroffen bin oder eben nicht / nicht mehr

Wenn der SHA256 hash passt dann sollt alles ok sein, md5 hätte ich bedenken aber SHA256 ist schon sehr kollisions resisdent. Ober er einen Geheimdienst standhält wage ich zu bezweifeln, aber die Hackergruppe hat ja kein budget wie die "GANZ GROßEN" Wenn du aber noch immer bedenken hast zwecks iso, image in einer virtal machin installieren und mittels wireshark schauen ob du auf diese [5.104.175.212 - absentvodka.com ] IP & DOMAIN verbunden wirst. Wenn ja dann iso löschen und warten bis die download page wieder online ist

 

[lunaticx]

Wenn der SHA256 hash passt dann sollt alles ok sein, md5 hätte ich bedenken aber SHA256 ist schon sehr kollisions resisdent. Ober er einen Geheimdienst standhält wage ich zu bezweifeln, aber die Hackergruppe hat ja kein budget wie die "GANZ GROßEN" Wenn du aber noch immer bedenken hast zwecks iso, image in einer virtal machin installieren und mittels wireshark schauen ob du auf diese [5.104.175.212 - absentvodka.com ] IP & DOMAIN verbunden wirst. Wenn ja dann iso löschen und warten bis die download page wieder online ist

Ich bin zwar gestern nicht dazu gekommen werde heute aber nochmal nach den Hashes schaun. Downloads wurden vor dem 20.02. getätigt.

Aber Wireshark ist ne gute Idee. Wollte ich mich eh mal mit beschäftigen

 

[Rarek]

wie siehts mittlerweile aus?
kann ich sorgenlos updaten, oder sollte ich noch warten? (oder kann ich auch von ner gebrannten iso aus updaten?)

 

[marvinj]

AW: Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt.

Irgendwie aber schon etwas arm, wenn ein Hersteller einer Linux-Distribution es nicht gepackt kriegt, seine Website abzusichern.

Schonmal mit WP gearbeitet? Das macht man nicht einfach mal so "sicher". WP ist ebenfalls opensource, und Hacker werden fast immr einen Weg finden, wenn sie denn wollen.

 

[Stryke7]

AW: Linux Mint Webserver gehacked, in die Isos wurde ein Trojaner eingefuegt.

Schonmal mit WP gearbeitet? Das macht man nicht einfach mal so "sicher". WP ist ebenfalls opensource, und Hacker werden fast immr einen Weg finden, wenn sie denn wollen.

Sorry, kannst du vielleicht ausschreiben, was du mit "WP" meinst? Das ist vermutlich eine der Abkürzung mit den meisten Bedeutungen, von denen viele sehr weit verbreitet sind.

Ich habe gerade erst darüber nachgedacht, wie dein Satz mit "Windows Phone" zu interpretieren ist. War irgendwie seltsam.

Dann bin ich in guter reddit-Manier zu "Writing Prompt" übergegangen, das hat immer noch keinen sinnvollen Satz ergeben.

"Wikipedia" ... immer noch sinnlos.


Ich vermute mal, dass du "WordPress" meintest.

 

[marvinj]

Haha xD
sorry

Ich meinte natürlich Wordpress. Aber mit Windows Phone klingts auch ganz witzig

 

[razzor1984]

wie siehts mittlerweile aus?
kann ich sorgenlos updaten, oder sollte ich noch warten? (oder kann ich auch von ner gebrannten iso aus updaten?)

Wenn du ein upgrade machen willst iso downloaden - HASHES checken oder per terminal - Upgrade Linux Mint 17.x To Linux Mint 17.3 Rosa

Schonmal mit WP gearbeitet? Das macht man nicht einfach mal so "sicher". WP ist ebenfalls opensource, und Hacker werden fast immr einen Weg finden, wenn sie denn wollen.

Laut dem Blog von Linux Mint war es eine Fehlkonfiguration der ganzen Wordpress software, somit eher die schuld des Admins
In vielen Fällen ist wird WP nicht geupdatet oder die plugins sind als lücke die schuldigen, laut den infos soll es angeblich ein ein angepasstes THEM von WP gewesen sein. ..........

 

[Rarek]

unterm Link sthet nur nicht, wie ich von ner iso upgrade... aber das wäre zu OT um es hier zu bereden