Der Proofpoint-Sicherheitsforscher Kafeine weist darauf hin, dass WannaCry nicht die erste Malware war, die vom US-Auslandsgeheimdienst entwickelte Exploits für eine Sicherheitslücke im Netzwerkprotokoll Server Message Block (SMB) benutzt hat, um Windows-Rechner zu infizieren. Ihm zufolge ist seit 24. April eine Mining-Malware namens Adylkuzz für die Kryptowährung Monero im Umlauf. Ersten Statistiken zufolge könnte diese Kampagne sogar größer sein als WannaCry.
„Im Lauf der Untersuchungen der WannaCry-Kampagne setzten wir einen Laborrechner dem EternalBlue-Angriff aus. Obwohl wir mit WannaCry rechneten, war der Rechner tatsächlich mit einem unerwarteten und weniger auffälligen Gast infiziert: dem Kryptowährungs-Miner Adylkuzz“, schreibt Kafeine im Proofpoint-Blog . „Wir haben den Versuch mehrfach wiederholt, jeweils mit demselben Ergebnis: innerhalb von 20 Minuten wurde ein mit dem Internet verbundener anfälliger Rechner dem Adylkuzz-Botnet hinzugefügt.“
Statt sich wie WannaCry über anfällige Rechner im selben Netzwerk zu verbreiten, scanne Adylkuzz das Internet über den TCP-Port 445 nach möglichen Zielen. Die Hintermänner hätten dafür mehrere virtuelle Server eingerichtet. „Nach der erfolgreichen Ausnutzung von EternalBlue werden die Systeme mit DoublePulsar infiziert. Die Hintertür lädt dann Adylkuzz von einem anderen Host herunter und führt die Malware aus“, so der Forscher weiter.
WannaCry konnte sich vor allem deshalb so schnell verbreiten, weil IT-Verantwortliche in den betroffenen Unternehmen und Organisationen verfügbare Sicherheitspatches nicht installiert haben. Das offenbart ein bedenkliches Maß an fehlendem Sicherheitsbewusstsein.
Kafeine spekuliert, dass Adylkuzz möglicherweise eine größere Verbreitung von WannaCry verhindert habe. Im Gespräch mit ZDNet USA erklärte er, die Malware „schließe die Türe hinter sich“, indem sie jegliche SMB-Kommunikation unterbinde, um weitere Infektionen zu verhindern. „Sobald Adylkuzz auf einem Rechner ausgeführt wird, kann der Rechner nicht mehr durch WannaCry über SMB und WannaCrys Wurm-Funktionen infiziert werden“, ergänzte der Forscher. Zumindest bei seinen Versuchen habe Adylkuzz die SMB-Kommunikation stets erfolgreich beendet.
Trend Micro zufolge ist WannaCry auch nicht die letzte Malware, die die SMB-Lücke ins Visier nimmt. Der Sicherheitsanbieter warnt in seinem Blog vor einer neuen Ransomware namens UIWIX, die deutlich höher entwickelt sein soll als WannaCry. UIWIX sei beispielsweise in der Lage, virtuelle Maschinen und Sandboxen zu erkennen. Zudem greife UIWIX keine Ziele in Russland, Weißrussland und Kasachstan an. Auch ein für die Eindämmung von WannyCry benutzter Kill Switch finde sich nicht im Code von UIWIX. Zudem sei die neue Malware nicht nur in der Lage, Dateien zu verschlüsseln und ein Lösegeld zu erpressen, sie könne auch Anmeldedaten für Websites, E-Mail, Messenger und das FTP-Protokoll ausspähen.
Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.
[mit Material von Liam Tung, ZDNet.com]
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Die Transparenz der Preise ist im Online-Handel zu einer unangenehmen Herausforderung geworden. Mit nur wenigen…
Services stellen private und sichere Entwicklungs-, Test- und Produktionsumgebung bereit, die strengste Anforderungen an Datensicherheit…
Mindestens zwei Anfälligkeiten werden bereits aktiv angegriffen. Betroffen sind alle unterstützten Versionen von Windows und…
Betroffen sind alle unterstützten iPhones und iPads sowie ältere Modelle. Apple bezeichnet die Angriffe als…
Nur 14 Prozent der SRM-Führungskräfte erreichen einen wirkungsvollen Schutz und ermöglichen dabei eine Datennutzung zur…
Die Phishing-Nachrichten verteilen die Cyberkriminellen über eine Marketing-Tool von Salesforce. Unternehmen werden darin Urheberrechtsverletzungen auf…