Die Angriffswelle auf Apache-Webserver, die auf der Malware Darkleech basiert, ist offenbar weit folgenreicher als bisher angenommen. Antivirensoftware-Anbieter Eset berichtet von Zehntausenden Webadressen, die ihrerseits Schadsoftware an die Besucher verteilen. Zuvor waren die Sicherheitsforscher von nur etwa 2000 IP-Adressen ausgegangen.
„Die Situation ist tatsächlich sehr viel schlimmer geworden“, teilte das Unternehmen mit. „Nach den von uns erfassten Daten wurden bislang mehr als 40.000 verschiedene IP-Adressen und Domains benutzt. Allein im Mai haben 15.000 dieser IPs und Domains aktiv Blackhole ausgeliefert.“
Angreifer installieren das bösartige Apache-Modul Darkleech auf kompromittierten Servern. Die Malware modifiziert dann zuvor harmlose Websites so, dass sie ihre Besucher durch Schadsoftware gefährden. Diese Aufgabe übernimmt das Exploit-Kit Blackhole, das auch von technisch weniger versierten Hackern nutzbar ist. Das Kit sucht nach Schwachstellen im Webbrowser des Besuchers sowie den Browser-Plug-ins, um ihre Rechner unbemerkt zu infizieren. Auf diese Weise kann beispielsweise die Erpresser-Malware „Nymain“ zum Einsatz kommen, die Dateien auf der Maschine des Opfers verschlüsselt und ein Lösegeld von 300 Dollar für ihre Entschlüsselung fordert.
Auch Ars Technica berichtete zuvor von geschätzten 20.000 Apache-Websites, die innerhalb weniger Wochen mit Darkleech infiziert wurden – darunter die Sites von The Los Angeles Times, Seagate und anderen reputierlichen Unternehmen. Diese Websites fügten ein iFrame in die ausgelieferten Webseiten ein, um ihre Opfer zu einer mit Blackhole präparierten Website umzuleiten. Die Web-Malware fiel auch durch die gezielte Auswahl ihrer anzugreifenden Opfer auf. Laut Eset erfolgen die Attacken nur auf Besucher, die auf Microsofts Internet Explorer vertrauten oder Oracles Java-Plug-in aktiviert hatten.
Eine weitere Raffinesse von Darkleech besteht darin, dass es IP-Adressen von Sicherheits- und Hostingfirmen übergeht, um deren Aufmerksamkeit zu vermeiden. Die Malware attackiert auch nicht die gleichen Opfer erneut und konzentriert sich auf Besucher, die mit bestimmten Suchanfragen auf die befallenen Seiten zugreifen. Noch immer besteht keine Gewissheit, wie Darkleech die Apache-Server überhaupt kompromittieren kann. Gängige Vermutungen laufen darauf hinaus, dass sie undokumentierte Schwachstellen in den Konfigurationstools CPanel oder Plesk ausnutzen, die Administratoren zur Fernverwaltung von Sites dienen.
[mit Material von Tom Brewster, TechWeekEurope]
Der Umsatz steigt um 15 Prozent, der Nettogewinn um 57 Prozent. Im nachbörslichen Handel kassiert…
Aus 61,9 Milliarden Dollar generiert das Unternehmen einen Nettoprofit von 21,9 Milliarden Dollar. Das größte…
Mehr Digitalisierung wird von den Unternehmen gefordert. Für KMU ist die Umsetzung jedoch nicht trivial,…
Der Nettoprofi wächst um 117 Prozent. Auch beim Umsatz erzielt die Facebook-Mutter ein deutliches Plus.…
Vom Standpunkt eines Verbrauchers aus betrachtet, stellt sich die Frage: Wie relevant und persönlich sind…
Scamio analysiert und bewertet die Gefahren und gibt Anwendern Ratschläge für den Umgang mit einer…