--- id: CP-179 slug: autopsie-xz-utils-hintertur lang: de title: Die XZ-Utils-Hintertür description: Im März 2024 wird in XZ Utils 5.6.0 und 5.6.1 Schadcode entdeckt. Was die CISA-Warnung sagt und was Beschäftigte tun können. canonical_url: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ markdown_url: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Die XZ-Utils-Hintertür“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-016 schema: G4 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-xz-utils-backdoor/ en: https://startbrain.io/cyberpedia/en/articles/xz-utils-backdoor-autopsy/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ sources: - "n": 1 title: Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 publisher: CISA url: https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 published: "2024-03-29" accessed: "2026-11-03" - "n": 2 title: Supply Chain Compromise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/ accessed: "2026-11-03" - "n": 3 title: "Supply Chain Compromise: Compromise Software Dependencies and Development Tools" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/001/ accessed: "2026-11-03" - "n": 4 title: "Supply Chain Compromise: Compromise Software Supply Chain" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/002/ accessed: "2026-11-03" - "n": 5 title: Modify Authentication Process publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/ accessed: "2026-11-03" - "n": 6 title: Trusted Relationship publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" --- # Die XZ-Utils-Hintertür Ende März 2024 teilt die CISA mit, sie gehe Meldungen über Schadcode nach, der in XZ Utils eingebaut wurde, eine Software zur Datenkompression. Betroffen sind die Versionen 5.6.0 und 5.6.1, der Fall trägt die Kennung CVE-2024-3094 [1]. Für Beschäftigte hat ein solcher Vorfall eine Besonderheit: Er kommt nicht über eine verdächtige Nachricht oder eine gefälschte Website. Er läuft über legitime Software, die wie gewohnt installiert oder aktualisiert wird. Diese Fiche beschreibt, was die CISA veröffentlicht hat und was die Referenzseiten von MITRE ATT&CK zu dieser Angriffsfamilie sagen. Sie geht weder auf die Vorbereitung des Angriffs noch auf seine Entdeckung im Einzelnen ein: Die hier zitierten Quellen enthalten dazu nichts. ## In 30 Sekunden - Wo es passiert: in XZ Utils, einer Software zur Datenkompression, die in Linux-Distributionen enthalten sein kann [1]. - Was der Schadcode ermöglichen kann: laut CISA unbefugten Zugriff auf betroffene Systeme [1]. - Der Reflex: Auffälliges Verhalten eines Systems rasch der IT- oder Sicherheitsabteilung melden und die technischen Teams die offiziellen Vorgaben umsetzen lassen. - Wenn es schon passiert ist: Die CISA empfiehlt, auf eine nicht kompromittierte Version zurückzugehen, etwa XZ Utils 5.4.6 Stable, nach schädlicher Aktivität zu suchen und Funde zu melden [1]. ## Direkte Fragen ### Was ist XZ Utils? Es ist eine Software zur Datenkompression. Sie kann in Linux-Distributionen enthalten sein [1]. ### Welche Versionen sind betroffen? Die Versionen 5.6.0 und 5.6.1, in denen Schadcode gemeldet wurde [1]. Diese Aktivität trägt die Kennung CVE-2024-3094 [1]. ### Was ermöglicht der Schadcode? Laut CISA kann er unbefugten Zugriff auf betroffene Systeme ermöglichen [1]. ### Was ist eine Kompromittierung der Lieferkette? MITRE ATT&CK definiert sie als Manipulation von Produkten oder ihren Auslieferungswegen, bevor sie beim Endkunden ankommen, mit dem Ziel, Daten oder Systeme zu kompromittieren [2]. ### Was sollten Beschäftigte tun? Verhält sich ein Rechner ungewöhnlich, melden sie das rasch. Die CISA fordert ihrerseits Entwickler und Nutzer auf, auf eine nicht kompromittierte Version zurückzugehen und ihre Funde zu melden [1]. Auf einem vom Unternehmen verwalteten Arbeitsplatz ist dieser Schritt zurück Sache der technischen Teams. ## In der Haut des Angreifers Die hier zitierten Quellen beschreiben nicht, wie dieser Angriff vorbereitet wurde. Sie beschreiben aber die allgemeine Logik der Angriffsfamilie, zu der er gehört. MITRE ATT&CK zählt die Kompromittierung der Lieferkette zu den Techniken für den Erstzugriff. Sie kann in jeder Phase stattfinden: bei Entwicklungswerkzeugen, in Quellcode-Repositorys, im Code von Open-Source-Abhängigkeiten, in Update-Mechanismen oder durch den Austausch legitimer Software gegen eine veränderte Version [2]. Open-Source-Projekte, die viele Anwendungen als Abhängigkeit nutzen, können gezielt angegriffen werden, damit Schadcode bei allen landet, die sie einsetzen [2][3]. Der Angreifer kann eine bestimmte Gruppe von Opfern anvisieren oder die Software breit verteilen und nur bei einigen Opfern weitermachen [2][4]. MITRE beschreibt auch die Vertrauensbeziehung: Akteure, die bereits legitimen Zugang haben, etwa Dienstleister, können als Einstiegspunkt genutzt werden, weil dieser Zugang mitunter weniger Aufmerksamkeit erhält als die üblichen Zugangswege [6]. ## Was Sie auf dem Bildschirm sehen Die CISA beschreibt kein für Nutzer sichtbares Anzeichen [1]. Der eingesehene Text sagt also nicht, wie das Update für Beschäftigte aussieht, und diese Fiche behauptet dazu nichts. Was die Quelle zulässt, ist begrenzter: XZ Utils kann in Linux-Distributionen enthalten sein [1]. ## Unter der Haube Was die CISA zum Mechanismus sagt, lässt sich kurz fassen: In die Versionen 5.6.0 und 5.6.1 ist Schadcode eingebaut, der unbefugten Zugriff ermöglichen kann [1]. MITRE ATT&CK ordnet diese Art von Vorgehen zwei Technikfamilien zu: - Kompromittierung der Software-Lieferkette: Manipulation des Quellcodes der Anwendung, ihres Update- oder Verteilmechanismus oder Austausch der kompilierten Versionen gegen eine veränderte Version [4]. - Veränderung des Authentifizierungsprozesses: Ein Angreifer kann die Mechanismen verändern, die Zugangsdaten erfassen, speichern und prüfen, zum Beispiel die Pluggable Authentication Modules (PAM) auf Unix-ähnlichen Systemen. Dann kann er sich an einem Dienst anmelden, ohne ein gültiges Konto zu nutzen [5]. Diese beiden Seiten sind allgemeine Referenzen. Sie erwähnen XZ Utils nicht, und nichts in den hier zitierten Quellen verknüpft diesen Vorfall mit einer bestimmten Technik. Die Zuordnung dient hier als Lesehilfe, nicht als Feststellung. ## Fallanalysen ### 29. März 2024: die CISA-Warnung zu XZ Utils Am 29. März 2024 veröffentlicht die CISA eine Warnung mit dem Titel „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094“. Darin heißt es, die CISA und die Open-Source-Community gingen Meldungen über Schadcode in XZ Utils nach, Versionen 5.6.0 und 5.6.1 [1]. Der Text erinnert daran, dass XZ Utils eine Software zur Datenkompression ist, dass sie in Linux-Distributionen vorkommen kann und dass der Schadcode unbefugten Zugriff auf betroffene Systeme ermöglichen kann [1]. Die CISA empfiehlt Entwicklern und Nutzern, XZ Utils auf eine nicht kompromittierte Version zurückzustufen, etwa XZ Utils 5.4.6 Stable, nach schädlicher Aktivität zu suchen und positive Funde an die CISA zu melden [1]. Die Warnung verweist außerdem auf einen Hinweis von Red Hat zu Fedora 41 und Rawhide [1]. Die hier zitierten Quellen enthalten weder den zeitlichen Ablauf der Angriffsvorbereitung noch die Namen der Beteiligten noch die Umstände der Entdeckung. Diese Angaben stehen daher nicht in dieser Fiche. ## Quellen 1. CISA, „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094“, 29. März 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Supply Chain Compromise“. https://attack.mitre.org/techniques/T1195/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Supply Chain Compromise: Compromise Software Dependencies and Development Tools“. https://attack.mitre.org/techniques/T1195/001/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Supply Chain Compromise: Compromise Software Supply Chain“. https://attack.mitre.org/techniques/T1195/002/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Modify Authentication Process“. https://attack.mitre.org/techniques/T1556/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Trusted Relationship“. https://attack.mitre.org/techniques/T1199/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.