NERDMANFake Linux-Boss klaut Entwicklern ihre Zugangsdaten
Ein unbekannter Angreifer hat sich auf Slack als Linux Foundation Official ausgegeben — und Open-Source-Entwickler um ihre Credentials gebracht.
So lief der Angriff ab
Der Täter gab sich als echte Führungsperson der Linux Foundation aus. Per Slack-Direktnachricht forderte er Entwickler auf, einem Link zu folgen. Autorität plus Zeitdruck — das klassische Social-Engineering-Rezept.
📅 Timeline
- Schritt 1:** Fake-Profil eines echten Linux Foundation Officials auf Slack erstellt
- Schritt 2:** Entwickler per Direktnachricht kontaktiert — mit scheinbar legitimem Anliegen
- Schritt 3:** Opfer auf Google Sites weitergeleitet — gehostet auf google.com, also „vertrauenswürdig"
- Schritt 4:** Dort ein gefälschtes Root-Zertifikat zum Download angeboten
- Schritt 5:** Credentials abgegriffen, Systeme übernommen
Warum Google Sites so gefährlich ist
Die Phishing-Seiten liefen auf google.com. Kein Tippfehler. Google Sites erlaubt jedem, Seiten unter der Google-Domain zu hosten. Für Opfer sieht das seriös aus. Für Sicherheitsfilter auch.
Pro (aus Sicht des Angreifers)
- Google.com-Domain umgeht viele Spam-Filter
- Slack als Plattform wirkt intern und vertrauenswürdig
- Impersonation einer echten Person erhöht Erfolgsquote
Con (für die Opfer)
- Kein offizieller Kanal der Linux Foundation nutzt Slack-DMs für Zertifikate
- Root-Zertifikate per Download-Link sind immer ein Red Flag
- Wer das Zertifikat installiert hat, gibt sein ganzes System preis
💡 Was das bedeutet
Open-Source-Entwickler sind Hochwertziele. Wer ihre Credentials hat, kann Schadcode in Projekte einschleusen, die Millionen Systeme weltweit nutzen. Ein kompromittierter Maintainer ist der Jackpot für Supply-Chain-Angriffe.
