Sicherheitsforscher warnen vor Angriffen auf Drupal-Websites

Sicherheitsforscher von Imperva weisen auf eine Angriffswelle hin, die sich gegen Websites richtet, die auf dem Content-Management-System Drupal basieren. Die Angreifer verfolgen offenbar das Ziel, Zugang zu einem Root-Konto des Webservers zu erhalten, um einen SSH-Client zu installieren, der wiederum zukünftige Zugriffe auf den Server ermöglichen soll.

Dabei setzen die Cyberkriminellen auf zwei bereits bekannte Exploits. Ins Visier nehmen sie Websites, die eine veraltete Version von Drupal einsetzen und nicht gegen Angriffe auf die im März öffentlich gemachte Schwachstelle Drupalgeddon 2 geschützt sind.

Finden sie eine solche Seite, dient Drupalgeddon 2 als erster Brückenkopf. Von dort aus suchen die Hacker in der lokalen Drupal-Konfiguration nach Anmeldedaten für die Datenbank. Finden sie Login-Daten für ein Root-Konto, versuchen sie, sich mithilfe dieser Daten auch beim Webserver anzumelden. Scheitert diese Methode, kommt ein zweiter Exploit namens Dirty Cow zum Einsatz.

Dirty Cow wurde 2016 erstmals beschrieben. Die zugrundeliegende Schwachstelle erlaubt es einem Hacker, seine Benutzerrechte auszuweiten und die Rechte eines Root-Users zu erlangen. Root-Rechte wiederum benötigen die Angreifer, um besagten SSH-Client einzurichten und die Kontrolle über den Server zu übernehmen.

Wieso die unbekannten Täter die Server kontrollieren wollen, ist nicht bekannt. Laut Imperva wurden die bisher untersuchten Angriffe alle von einer Web-Firewall des Unternehmens abgewehrt. In ähnlichen Fällen versuchten die Hacker jedoch meist eine Crypto-Mining-Malware einzuschleusen.

Auch wenn Imperva bisher nur mehrere Dutzend Angriffe entdeckte, geht das Unternehmen davon aus, dass sich die Attacken noch ausweiten werden. Auf vielen Web-Servern laufe bereits ein SSH-Daemon, was den Hackern den Umweg über ein Root-Konto möglicherweise erspare.

Darüber hinaus kritisierte Nadav Avital, Threat Analytics Manager bei Imperva, dass auch Monate nach der Veröffentlichung von Patches für Drupalgeddon 2 und Dirty Cow immer noch viele Webserver angreifbar seien. „Angesichts des lethargischen Tempos beim Patchen, der Schwere der Schwachstellen und der Tatsache, dass viele der Hacking-Tools diesen Angriff integriert haben, führt dies zu einer großen Anzahl von Angriffen“, ergänzte Avital. „Noch heute ist Drupalgeddon einer der beliebtesten Angriffsvektoren, die Hacker verwenden wollen.“