Der Sicherheitsanbieter Eset hat eine detaillierte Analyse der Malware-Familie Mumblehard veröffentlicht, die anfällige Linux-Server zum massenhaften Versand von Spam-Mails missbraucht. Dazu sucht sich die Malware gezielt mit Linux oder BSD betriebene Server, auf denen veraltete Installationen von WordPress oder Joomla laufen. Diese nutzt sie anschließend als Einfallstor.
Die Schadsoftware nutzt laut Léveillé zunächst Schwachstellen in veralteten Joomla- und WordPress-Installationen. Darüber wird eine Backdoor eingeschleust, die von einem Command-and-Control-Server gesteuert wird. Durch diese Hintertür wird anschließend ein Spammer-Daemon auf die infizierten Server übertragen.
Bei ihrer Untersuchung ist den Sicherheitsexperten von Eset auch eine Verbindung zwischen Mumblehard und der Firma Yellsoft aufgefallen. Diese verkauft die in Perl geschriebene Software „DirectMailer“, die dazu dient, Massen-Mails zu versenden. Interessanterweise liegen die IP-Adressen, die für beide Mumblehard-Komponenten als Command-and-Control-Server genutzt werden, im gleichen Adressbereich wie der Webserver von yellsoft.net. Eset hat zudem auch Raubkopien von DirectMailer gefunden, die bei der Ausführung verdeckt die Mumblehard-Backdoor installieren. Diese Raubkopien wurden vom selben Packer verschleiert, der auch bei den Mumblehard-Komponenten verwendet wird.
Betroffene sollten für alle Nutzer auf Servern auf unbekannte Cronjob-Einträge achten. Dieser Mechanismus wird von Mumblehard verwendet, um die Backdoor alle 15 Minuten zu aktivieren. Unklar ist noch, ob der Spam-Versand das einzige Ziel der Mumblehard-Autoren ist. Theoretisch ist es nämlich durchaus möglich, über die Hintertür andere ausführbare Dateien einzuschleusen – sogar auf tausenden von Servern gleichzeitig.
[mit Material von Peter Marwan, ITespresso.de]
Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Check Point warnt vor offener Schwachstelle, die derzeit von Hackern für Phishing ausgenutzt wird.
Video-Babyphones sind ebenfalls betroffen. Cyberkriminelle nehmen vermehrt IoT-Hardware ins Visier.
Der Downloader hat hierzulande im April einen Anteil von 18,58 Prozent. Im Bereich Ransomware ist…
Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…
Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…
Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…