• Ventoy 1.1.09 – ett litet steg för Btrfs, ett stort steg för multiboot-entusiaster

    Ett enda USB-minne som kan starta mängder av olika operativsystem har länge varit ett oumbärligt verktyg för Linux-användare och systemadministratörer. Med den nya versionen Ventoy 1.1.09 tar projektet ett försiktigt steg mot framtiden genom experimentellt stöd för det moderna filsystemet Btrfs, samtidigt som viktiga buggar rättas och kompatibiliteten med flera populära Linux-distributioner förbättras.

    Att bära med sig ett helt operativsystem – eller flera – i fickan har blivit vardag för systemadministratörer, utvecklare och Linux-entusiaster. Ett av de mest uppskattade verktygen för detta är Ventoy, ett smart program som låter dig lägga flera ISO-filer på ett USB-minne och starta dem direkt, utan att behöva skriva om minnet varje gång.

    Nu är Ventoy 1.1.09 släppt, och även om versionsnumret antyder en mindre uppdatering, innehåller den flera förändringar som är värda uppmärksamhet.

    Experimentellt stöd för Btrfs – försiktigt men lovande

    Den största nyheten i Ventoy 1.1.09 är experimentellt stöd för filsystemet Btrfs. Btrfs är ett modernt Linux-filsystem som erbjuder funktioner som snapshots, dataintegritetskontroller och komprimering, och som länge varit populärt bland avancerade Linux-användare.

    Stödet är dock medvetet begränsat. Ventoy fungerar endast med Btrfs i enkel volymlayout utan RAID, och ISO-filer som ligger på Btrfs-partitioner får inte vara komprimerade. Projektet betonar tydligt att funktionen är avsedd för tidig testning och inte för produktionsbruk. Det är med andra ord ett första försiktigt steg snarare än ett fullfjädrat stöd.

    Fixar för openSUSE Leap 16.0

    Uppdateringen innehåller även en viktig kompatibilitetsfix för openSUSE Leap 16.0. Ett tidigare fel gjorde att både installations- och live-avbilder kunde misslyckas med att starta på vissa system. I Ventoy 1.1.09 är detta problem åtgärdat, vilket åter gör det möjligt att använda Ventoy pålitligt för openSUSE-installationer.

    Arch Linux och persistens fungerar igen

    En annan förbättring riktar sig till Arch Linux-användare. Persistens, som gör det möjligt att spara ändringar i ett live-system mellan omstarter, hade slutat fungera med nyare Arch-versioner. Detta är nu fixat, vilket är särskilt viktigt för användare som kör Arch Linux från USB som ett portabelt arbetsmiljö-system.

    Förbättringar i VentoyPlugson WebUI

    Ventoy innehåller även ett webbaserat gränssnitt, VentoyPlugson WebUI, som används för att hantera plugins och avancerade inställningar. I den nya versionen har flera visningsbuggar rättats till, vilket gör gränssnittet tydligare och smidigare att använda via webbläsaren.

    Ventoy bortom USB – projektet iVentoy

    Parallellt med Ventoy fortsätter utvecklingen av iVentoy, en mer avancerad lösning för nätverksbaserad operativsystemdistribution. iVentoy fungerar som en PXE-server och gör det möjligt att starta och installera operativsystem direkt över nätverket, utan fysiska installationsmedier.

    iVentoy stöder både Legacy BIOS och flera UEFI-varianter, inklusive IA32, x86_64 och ARM64. Systemet är kompatibelt med över 110 olika operativsystemstyper, bland annat Windows, WinPE, Linux-distributioner och VMware-avbilder.

    Sammanfattning

    Ventoy 1.1.09 är ingen dramatisk omvälvning, men det är en stabil och genomtänkt uppdatering. Det experimentella Btrfs-stödet visar på framtidsambitioner, samtidigt som viktiga buggar och kompatibilitetsproblem har lösts. För befintliga användare är uppdateringen väl värd att installera, och för nya användare fortsätter Ventoy att vara ett av de mest eleganta sätten att hantera flera operativsystem på ett och samma USB-minne.

    https://www.ventoy.net/en/download.html

    FAKTARUTA: Ventoy 1.1.09
    Vad är det? Ventoy är ett multiboot-verktyg som låter dig lägga flera ISO-filer på ett USB-minne och starta dem direkt via en meny.
    Nyhet: Btrfs (experimentellt) Stöd för Btrfs i enkel volym (icke-RAID). ISO-filer på Btrfs får inte vara komprimerade. Avsett för tidig testning, inte produktion.
    Fix: openSUSE Leap 16.0 Åtgärdar uppstartsproblem som påverkat installation- och live-avbilder i vissa miljöer.
    Fix: Arch Linux persistens Lagar ett fel där persistenspluginet inte fungerade med nyare Arch Linux-versioner.
    Förbättring: VentoyPlugson WebUI Rättar visningsbuggar i webbgränssnittet för plugin- och konfigurationshantering.
    Tips: Om du testar Btrfs-stödet, börja med en USB-enhet avsedd för test och behåll en backup av viktiga ISO-filer.
  • Plague – En ny osynlig Linux-bakdörr som utnyttjar PAM för att ta kontroll över system

    En ny bakdörr för Linux, kallad Plague, har identifierats och analyserats av säkerhetsforskare. Det rör sig om ett avancerat intrångsverktyg som integreras i systemets autentiseringsramverk (PAM) och möjliggör dold fjärråtkomst via SSH. Den är särskilt svår att upptäcka, lämnar få spår och fungerar även efter systemuppdateringar.

    Bakdörr via PAM-modul

    Plague är skriven som en PAM-modul, vilket innebär att den laddas direkt i systemets inloggningsflöde. När en användare försöker autentisera sig – t.ex. via SSH eller terminal – kan modulen fånga upp autentiseringsförfrågan. Om ett av flera inbyggda lösenord används, ges åtkomst utan att systemets vanliga kontroller används.

    Exempel på hårdkodade lösenord i Plague:

    Mvi4Odm6tld7
    IpV57KNK32Ih
    changeme
    

    Det innebär att angriparen kan logga in utan att ha något känt konto på systemet.

    Designad för ihållande åtkomst

    Plague är byggd för att ligga kvar i systemet över tid. Den döljer sin existens genom flera tekniker:

    • Miljövariabler relaterade till SSH (t.ex. SSH_CONNECTION, SSH_CLIENT) raderas.
    • Kommandologgning blockeras genom att HISTFILE pekas till /dev/null.
    • Kod och strängar är obfuskade och krypterade, ofta i flera lager, för att försvåra analys.
    • Den utger sig för att vara en legitim modul, ofta under namnet libselinux.so.8.

    Plague försöker också aktivt undvika att bli analyserad. Den kontrollerar t.ex. om den körs i en debugger eller i en säkerhetsanalysmiljö, och anpassar sitt beteende därefter.

    Inte upptäckbar med traditionella verktyg

    Eftersom Plague integreras i autentiseringskedjan och agerar som ett systembibliotek, upptäcks den sällan av antivirusprogram eller EDR-lösningar. Den beter sig inte som ett fristående program och loggar inga misstänkta aktiviteter.

    Det krävs specialiserade metoder för att upptäcka den:

    • Manuell granskning av laddade PAM-moduler.
    • Filintegritetskontroll (t.ex. med AIDE eller Tripwire).
    • YARA-regler som identifierar kända kodmönster.
    • Övervakning av ovanliga inloggningar eller förändrade miljövariabler.

    Säkerhetsimplikationer

    Eftersom Plague påverkar autentiseringen direkt, innebär ett intrång att angriparen har fullständig kontroll över systemet. Det räcker inte att ta bort användarkonton eller byta lösenord – bakdörren ger åtkomst oberoende av dessa mekanismer.

    Det är särskilt allvarligt i produktionsmiljöer där PAM används i många tjänster (t.ex. SSH, sudo, login, su). Ett komprometterat system kan vara i angriparens händer utan att någon märker det.

    Rekommenderade åtgärder

    • Granska PAM-konfigurationer och kontrollera att endast förväntade moduler används.
    • Kontrollera alla bibliotek i sökvägar som /lib/security och /etc/pam.d/.
    • Använd verktyg för filintegritet för att upptäcka förändringar i kritiska systemfiler.
    • Undersök ovanliga inloggningar, särskilt med okända lösenord eller kontonamn.
    • Implementera YARA-regler och annan hotjakt vid minsta misstanke om kompromettering.

    Fördjupad analys från Nextron Systems

    Säkerhetsföretaget Nextron Systems har publicerat en teknisk analys av Plague-bakdörren. Rapporten innehåller detaljer om kodstruktur, hashvärden, hårdkodade lösenord och indikatorer på kompromettering (IoC). En länk till deras rapport rekommenderas för vidare analys.

    https://www.nextron-systems.com/2025/08/01/plague-a-newly-discovered-pam-based-backdoor-for-linux

    https://ostechnix.com/plague-pam-based-linux-backdoor

    FAKTARUTA – Plague-bakdörren för Linux
    Typ av hot PAM-baserad bakdörr (ELF-bibliotek) som krokar in i autentisering och öppnar dold SSH-åtkomst.
    Mål/plattform Linuxservrar och arbetsstationer där PAM används (t.ex. sshd, login, sudo).
    Vad den utnyttjar Pluggable Authentication Modules (PAM); maskerar sig som legitim modul, ofta under systemlika filnamn.
    Åtkomstmetod Accepterar fördefinierade “master-lösenord” och kan släppa in oavsett användarnamn.
    Hårdkodade lösenord (ex.) Mvi4Odm6tld7, IpV57KNK32Ih, changeme
    Persistens Ligger i autentiseringskedjan ⇒ överlever omstarter och vanliga uppdateringar utan separata startskript.
    Stealth/antiforensik Rensar miljövariabler (SSH_CONNECTION, SSH_CLIENT), pekar HISTFILE till /dev/null, minimerar spår i loggar.
    Anti-analys Obfuskering och krypterade strängar (flera lager); miljökontroller för att undvika debugger/sandbox.
    Indikatorer (IoC) Ovana PAM-moduler/filer; misstänkta namn i /lib/security; annorlunda poster i /etc/pam.d/*; avvikande SSH-inloggningar.
    Primära risker Obehörig SSH-åtkomst (upp till root), lateral rörelse, datastöld, svår incidentforensik p.g.a. brist på loggar.
    Rekommenderade åtgärder Inventera PAM-konfiguration/bibliotek; filintegritetskontroll (AIDE/Tripwire); YARA-baserad jakt; central loggning; överväg att stänga lösenordsautentisering i SSH och använda nycklar/FIDO2.
    Påverkade miljöer Bastion/jump-hostar, moln-instanser, CI/CD-noder, databasserver- och filserversmiljöer.
    Riskbedömning Hög – påverkar kärnkomponenten autentisering och är svår att upptäcka med traditionella verktyg.

Etikett: Persistens

  • Ventoy 1.1.09 – ett litet steg för Btrfs, ett stort steg för multiboot-entusiaster

    Ett enda USB-minne som kan starta mängder av olika operativsystem har länge varit ett oumbärligt verktyg för Linux-användare och systemadministratörer. Med den nya versionen Ventoy 1.1.09 tar projektet ett försiktigt steg mot framtiden genom experimentellt stöd för det moderna filsystemet Btrfs, samtidigt som viktiga buggar rättas och kompatibiliteten med flera populära Linux-distributioner förbättras. Att bära…

  • Plague – En ny osynlig Linux-bakdörr som utnyttjar PAM för att ta kontroll över system

    En ny bakdörr för Linux, kallad Plague, har identifierats och analyserats av säkerhetsforskare. Det rör sig om ett avancerat intrångsverktyg som integreras i systemets autentiseringsramverk (PAM) och möjliggör dold fjärråtkomst via SSH. Den är särskilt svår att upptäcka, lämnar få spår och fungerar även efter systemuppdateringar. Bakdörr via PAM-modul Plague är skriven som en PAM-modul,…