NSA-Exploit EternalBlue für Crypto-Malware genutzt

Die Kriminellen zielen auf Windows Server. Die mehrstufige Attacke scheint besonders ausgefeilt zu sein. Experten schweigen sich derzeit noch über den Verbreitungsgrad aus.

Bislang setzen so genannte Cryptojacker, also Malware, die die Ressourcen von befallenen Rechnern nutzt, auf eher einfache Angriffe. Jetzt berichten die Sicherheitsexperten on Imperva von einer Attacke, die auf dem NSA-Exploit EternalBlue basiert.

RedisWannMine ist ein mehrstufiger Cryptojacker, der auch GitHub-Tools umfasst (Bild: Imperva). RedisWannMine ist ein mehrstufiger Cryptojacker, der auch GitHub-Tools umfasst (Bild: Imperva).

RedisWannaMine zielt darüber hinaus vor allem auf Windows Server. Neben einer Wurm-artigen Verbreitung sorgen komplexe Angriffs-Mechanismen für eine hohe Infektionsrate und damit auch für hohe Gewinne für die Kriminellen.

Wenn ein Ziel-Server von der Malware identifiziert wurde, dann wird CVE-2017-9805, ein Leck in Apache Struts ausgenutzt, das das Struts REST Plugin mit XStream Handler betrifft. Wenn dieses Leck erfolgreich ausgenutzt wurde, dann kann der Angreifer remote beliebigen Code ohne Authentifizierung auf dem Application-Server ausführen.

Diese Verwundbarkeit nutzen die Angreifer um einen Shell-Befehl auszuführen, der die Mining-Malware herunter lädt. Die Sicherheitsexperten von Imperva erklären, dass der Schädling höher entwickelt ist als andere vergleichbare Clickjacker. Denn die Malware sorgt mit verschiedenen Server-Einträgen in crontab dafür, dass sie auf den betroffenen Systemen bleibt. Über einen neuen SSH-Key in einem authorisierten Key-Sektor und in iptables stellen die Angreifer zudem dauerhaft Remote-Zugriff sicher.

So werden weitere Pakete über einen Linux Package-Manager heruntergeladen und ein GitHub-Tool, ein TCP-Port-Scanner namens masscan ist dann ebenfalls im Payload enthalten. Dann wird der Prozess redisscan gestartet, der über masscan nach verwundbaren Redis-Servern sucht und diese dann wiederum infiziert. Anschließend wird über den Prozess ebscan durchgeführt, um damit ebenfalls über masscan öffentlich zugänglich Windows-Server zu suchen und zu infizieren, die für die EternalBlue-Lücke verwundbar sind.

EternalBlue ist ein Expliot, der von dem US-Auslandsgeheimdienst National Security Agency (NSA) entwickelt wurde und von der Gruppe Shadow Brokers 2017 geleakt wurde. Dieser Exploit wurde auch in der WannaCry-Ransomware-Kampagne eingesetzt, die weltweit Organisationen befallen hatte und damit hohe wirtschaftliche Schäden verursachte.

Nachdem RedisWannaMine erfolgreich verwundbare Server gefunden hat, wird das eigentliche Cryptocurrency-Mining-Script gestartet. Und die neuen Kryptowährungen werden dann in eine Wallet geschleust, die von den Hackern kontrolliert wird. Imperva teilt nicht mit, wie viele Organisationen bereits infiziert wurden.

Kaspersky hatte vor wenigen Tagen bereits erklärt, dass Hacker vermehrt auf Cryptjacking umschwenken, weil dieses „Geschäftsmodell“ offenbar für die Betreiber weniger Risiko birgt.

Tipp: Wie gut kennen Sie sich mit der europäischen Technologie-Geschichte aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Themenseiten: Imperva, Malware, Microsoft, Windows

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu NSA-Exploit EternalBlue für Crypto-Malware genutzt

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *