Zwei Jahre sozialer Manipulation, eine versteckte Backdoor in den Build-Skripten, eine Erkennung durch 500 Millisekunden SSH-Latenz. Das Buch „Half a Second“ rekonstruiert CVE-2024-3094 – und zieht Lehren, die jeder Entwickler verinnerlichen sollte.

XZ Utils und „Half a Second“: Autopsie des Angriffs auf die Lieferkette, der fast das Internet kompromittiert hätte

Der konkrete Fall

März 2024. Andres Freund, Microsoft-Ingenieur, stellt fest, dass seine SSH-Verbindungen 500 Millisekunden länger dauern als üblich. Er forscht nach. Er entdeckt, dass liblzma – die Kompressionsbibliothek von XZ Utils – so verändert wurde, dass sie bösartigen Code in den SSH-Daemon der meisten Linux-Distributionen einschleust. CVE-2024-3094, CVSS 10.0. Eine Hintertür, die es ihrem Urheber ermöglicht hätte, Root-Code auf Millionen von Servern auszuführen.

Was diesen Angriff einzigartig macht: Er nutzte nicht eine Code-Schwachstelle aus. Er nutzte menschliches Vertrauen und die Governance-Prozesse von Open-Source-Projekten – nach zwei Jahren geduldiger Arbeit.

Wie „Jia Tan“ vorging

Der Angreifer begann 2021, zum XZ-Utils-Projekt beizutragen. Legitime, qualitativ hochwertige und regelmäßige Beiträge. Zwei Jahre lang baute er Reputation auf und gewann das Vertrauen des Maintainers Lasse Collin (indem er unter anderem dessen öffentlich dokumentierte Gesundheitsprobleme ausnutzte). Sobald er Vertrauen und Commit-Rechte hatte, wurde die Hintertür eingeführt – in den Build-Skripten, nicht im sichtbaren Quellcode, um klassische Code-Reviews zu umgehen.

Kein automatisiertes Tool hat sie entdeckt. Erst die 500ms-Anomalie eines neugierigen Entwicklers brachte sie ans Licht.

Was „Half a Second“ bringt

Das Buch rekonstruiert die vollständige Chronologie, analysiert die Verschleierungstechniken in den Build-Skripten und schlägt Frameworks vor, um die Resilienz von Open-Source-Projekten zu stärken. Die zentralen Lehren für Entwickler im Jahr 2026:

Governance ist eine Angriffsfläche. Wer darf in Ihr Projekt mergen? Welches Verfahren gilt für die Vergabe dieser Rechte an neue Mitwirkende? Das sind Sicherheitsfragen, keine organisatorischen.

Build-Skripte sind kritischer Code.Makefile, CMakeLists.txt, Packaging-Skripte – sie werden mit erhöhten Rechten in Ihrer Pipeline ausgeführt und werden selten so gründlich geprüft wie der Hauptquellcode.

Verhaltensbasierte Erkennung ist wichtiger als signaturbasierte Erkennung. Andres Freund hatte keine Regel zur Erkennung von „Hintertür in XZ Utils“ – er war es gewohnt, Anomalien in seinem System zu beobachten.

Zum Merken

Zum Merken

• CVE-2024-3094: Hintertür, die nach zwei Jahren sozialer Infiltration eingeschleust wurde. Durch 500ms anormaler SSH-Latenz entdeckt.
• Der eigentliche Vektor: Vertrauen in die Governance-Prozesse von Open Source, nicht eine Code-Schwachstelle.
• Konkrete Maßnahmen: Prüfen Sie Merge-Rechte, behandeln Sie Build-Skripte wie kritischen Code, fördern Sie verhaltensbasierte Wachsamkeit.
• „Half a Second“ ist eine Pflichtlektüre für jeden Maintainer oder Mitwirkenden in Open-Source-Projekten – also für fast die gesamte Entwicklerbranche im Jahr 2026.

Der XZ-Angriff ist ein Modell. Andere Akteure haben ihn studiert. Die Frage ist nicht, ob ein ähnlicher Versuch unternommen wird – sondern wann, und ob wir bereit sein werden.