Die XZ-Utils-Hintertür
Im März 2024 wird in XZ Utils 5.6.0 und 5.6.1 Schadcode entdeckt. Was die CISA-Warnung sagt und was Beschäftigte tun können.
In 30 Sekunden
- Wo es passiert
- In XZ Utils, einer Software zur Datenkompression, die in Linux-Distributionen enthalten sein kann1.
- Was der Schadcode ermöglichen kann
- Laut CISA unbefugten Zugriff auf betroffene Systeme1.
- Der Reflex
- Auffälliges Verhalten eines Systems rasch der IT- oder Sicherheitsabteilung melden und die technischen Teams die offiziellen Vorgaben umsetzen lassen.
- Wenn es schon passiert ist
- Die CISA empfiehlt, auf eine nicht kompromittierte Version zurückzugehen, etwa XZ Utils 5.4.6 Stable, nach schädlicher Aktivität zu suchen und Funde zu melden1.
Worum es geht
Ende März 2024 teilt die CISA mit, sie gehe Meldungen über Schadcode nach, der in XZ Utils eingebaut wurde, eine Software zur Datenkompression. Betroffen sind die Versionen 5.6.0 und 5.6.1, der Fall trägt die Kennung CVE-2024-30941.
Für Beschäftigte hat ein solcher Vorfall eine Besonderheit: Er kommt nicht über eine verdächtige Nachricht oder eine gefälschte Website. Er läuft über legitime Software, die wie gewohnt installiert oder aktualisiert wird. Diese Fiche beschreibt, was die CISA veröffentlicht hat und was die Referenzseiten von MITRE ATT&CK zu dieser Angriffsfamilie sagen. Sie geht weder auf die Vorbereitung des Angriffs noch auf seine Entdeckung im Einzelnen ein: Die hier zitierten Quellen enthalten dazu nichts.
Direkte Fragen
Was ist XZ Utils?
Es ist eine Software zur Datenkompression. Sie kann in Linux-Distributionen enthalten sein1.
Welche Versionen sind betroffen?
Die Versionen 5.6.0 und 5.6.1, in denen Schadcode gemeldet wurde1. Diese Aktivität trägt die Kennung CVE-2024-30941.
Was ermöglicht der Schadcode?
Laut CISA kann er unbefugten Zugriff auf betroffene Systeme ermöglichen1.
Was ist eine Kompromittierung der Lieferkette?
MITRE ATT&CK definiert sie als Manipulation von Produkten oder ihren Auslieferungswegen, bevor sie beim Endkunden ankommen, mit dem Ziel, Daten oder Systeme zu kompromittieren2.
Was sollten Beschäftigte tun?
Verhält sich ein Rechner ungewöhnlich, melden sie das rasch. Die CISA fordert ihrerseits Entwickler und Nutzer auf, auf eine nicht kompromittierte Version zurückzugehen und ihre Funde zu melden1. Auf einem vom Unternehmen verwalteten Arbeitsplatz ist dieser Schritt zurück Sache der technischen Teams.
1In der Haut des Angreifers1 min
Die hier zitierten Quellen beschreiben nicht, wie dieser Angriff vorbereitet wurde. Sie beschreiben aber die allgemeine Logik der Angriffsfamilie, zu der er gehört.
MITRE ATT&CK zählt die Kompromittierung der Lieferkette zu den Techniken für den Erstzugriff. Sie kann in jeder Phase stattfinden: bei Entwicklungswerkzeugen, in Quellcode-Repositorys, im Code von Open-Source-Abhängigkeiten, in Update-Mechanismen oder durch den Austausch legitimer Software gegen eine veränderte Version2.
Open-Source-Projekte, die viele Anwendungen als Abhängigkeit nutzen, können gezielt angegriffen werden, damit Schadcode bei allen landet, die sie einsetzen23. Der Angreifer kann eine bestimmte Gruppe von Opfern anvisieren oder die Software breit verteilen und nur bei einigen Opfern weitermachen24.
MITRE beschreibt auch die Vertrauensbeziehung: Akteure, die bereits legitimen Zugang haben, etwa Dienstleister, können als Einstiegspunkt genutzt werden, weil dieser Zugang mitunter weniger Aufmerksamkeit erhält als die üblichen Zugangswege6.
2Was Sie auf dem Bildschirm sehen1 min
3Unter der HaubeIT-Teams1 min
Was die CISA zum Mechanismus sagt, lässt sich kurz fassen: In die Versionen 5.6.0 und 5.6.1 ist Schadcode eingebaut, der unbefugten Zugriff ermöglichen kann1.
MITRE ATT&CK ordnet diese Art von Vorgehen zwei Technikfamilien zu:
- Kompromittierung der Software-Lieferkette: Manipulation des Quellcodes der Anwendung, ihres Update- oder Verteilmechanismus oder Austausch der kompilierten Versionen gegen eine veränderte Version4.
- Veränderung des Authentifizierungsprozesses: Ein Angreifer kann die Mechanismen verändern, die Zugangsdaten erfassen, speichern und prüfen, zum Beispiel die Pluggable Authentication Modules (PAM) auf Unix-ähnlichen Systemen. Dann kann er sich an einem Dienst anmelden, ohne ein gültiges Konto zu nutzen5.
Diese beiden Seiten sind allgemeine Referenzen. Sie erwähnen XZ Utils nicht, und nichts in den hier zitierten Quellen verknüpft diesen Vorfall mit einer bestimmten Technik. Die Zuordnung dient hier als Lesehilfe, nicht als Feststellung.
4FallanalysenReale Fälle1 min
29. März 2024: die CISA-Warnung zu XZ Utils
Am 29. März 2024 veröffentlicht die CISA eine Warnung mit dem Titel „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094“. Darin heißt es, die CISA und die Open-Source-Community gingen Meldungen über Schadcode in XZ Utils nach, Versionen 5.6.0 und 5.6.11.
Der Text erinnert daran, dass XZ Utils eine Software zur Datenkompression ist, dass sie in Linux-Distributionen vorkommen kann und dass der Schadcode unbefugten Zugriff auf betroffene Systeme ermöglichen kann1.
Die CISA empfiehlt Entwicklern und Nutzern, XZ Utils auf eine nicht kompromittierte Version zurückzustufen, etwa XZ Utils 5.4.6 Stable, nach schädlicher Aktivität zu suchen und positive Funde an die CISA zu melden1. Die Warnung verweist außerdem auf einen Hinweis von Red Hat zu Fedora 41 und Rawhide1.
Die hier zitierten Quellen enthalten weder den zeitlichen Ablauf der Angriffsvorbereitung noch die Namen der Beteiligten noch die Umstände der Entdeckung. Diese Angaben stehen daher nicht in dieser Fiche.
Merkblatt
- Kennung
- CP-179
- Flügel
- 2. Malware und Fallanalysen
- Brain-Kompetenz
- Vorfälle melden (report_incidents)
- Brain-Reflex
- cr-016
- Schema
- G4 · Vorfallchronologie (Fallanalyse)
- Sprachen
- de, en, fr
- Quellen
- 6 Quellen geprüft am 3. November 2026
Quellen6 Quellen
- CISA, „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094“, 29. März 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Supply Chain Compromise“. https://attack.mitre.org/techniques/T1195/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Supply Chain Compromise: Compromise Software Dependencies and Development Tools“. https://attack.mitre.org/techniques/T1195/001/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Supply Chain Compromise: Compromise Software Supply Chain“. https://attack.mitre.org/techniques/T1195/002/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Modify Authentication Process“. https://attack.mitre.org/techniques/T1556/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Trusted Relationship“. https://attack.mitre.org/techniques/T1199/ (abgerufen am 3. November 2026)
Diesen Artikel zitieren
Brain, „Die XZ-Utils-Hintertür“, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp179_de_2026,
author = {Brain},
title = {Die XZ-Utils-Hintertür},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/},
note = {CC BY 4.0}
}