NSA-Exploit EternalBlue für Crypto-Malware genutzt

Bislang setzen so genannte Cryptojacker, also Malware, die die Ressourcen von befallenen Rechnern nutzt, auf eher einfache Angriffe. Jetzt berichten die Sicherheitsexperten on Imperva von einer Attacke, die auf dem NSA-Exploit EternalBlue basiert.

RedisWannMine ist ein mehrstufiger Cryptojacker, der auch GitHub-Tools umfasst (Bild: Imperva).

RedisWannaMine zielt darüber hinaus vor allem auf Windows Server. Neben einer Wurm-artigen Verbreitung sorgen komplexe Angriffs-Mechanismen für eine hohe Infektionsrate und damit auch für hohe Gewinne für die Kriminellen.

Wenn ein Ziel-Server von der Malware identifiziert wurde, dann wird CVE-2017-9805, ein Leck in Apache Struts ausgenutzt, das das Struts REST Plugin mit XStream Handler betrifft. Wenn dieses Leck erfolgreich ausgenutzt wurde, dann kann der Angreifer remote beliebigen Code ohne Authentifizierung auf dem Application-Server ausführen.

Diese Verwundbarkeit nutzen die Angreifer um einen Shell-Befehl auszuführen, der die Mining-Malware herunter lädt. Die Sicherheitsexperten von Imperva erklären, dass der Schädling höher entwickelt ist als andere vergleichbare Clickjacker. Denn die Malware sorgt mit verschiedenen Server-Einträgen in crontab dafür, dass sie auf den betroffenen Systemen bleibt. Über einen neuen SSH-Key in einem authorisierten Key-Sektor und in iptables stellen die Angreifer zudem dauerhaft Remote-Zugriff sicher.

So werden weitere Pakete über einen Linux Package-Manager heruntergeladen und ein GitHub-Tool, ein TCP-Port-Scanner namens masscan ist dann ebenfalls im Payload enthalten. Dann wird der Prozess redisscan gestartet, der über masscan nach verwundbaren Redis-Servern sucht und diese dann wiederum infiziert. Anschließend wird über den Prozess ebscan durchgeführt, um damit ebenfalls über masscan öffentlich zugänglich Windows-Server zu suchen und zu infizieren, die für die EternalBlue-Lücke verwundbar sind.

EternalBlue ist ein Expliot, der von dem US-Auslandsgeheimdienst National Security Agency (NSA) entwickelt wurde und von der Gruppe Shadow Brokers 2017 geleakt wurde. Dieser Exploit wurde auch in der WannaCry-Ransomware-Kampagne eingesetzt, die weltweit Organisationen befallen hatte und damit hohe wirtschaftliche Schäden verursachte.

Nachdem RedisWannaMine erfolgreich verwundbare Server gefunden hat, wird das eigentliche Cryptocurrency-Mining-Script gestartet. Und die neuen Kryptowährungen werden dann in eine Wallet geschleust, die von den Hackern kontrolliert wird. Imperva teilt nicht mit, wie viele Organisationen bereits infiziert wurden.

Kaspersky hatte vor wenigen Tagen bereits erklärt, dass Hacker vermehrt auf Cryptjacking umschwenken, weil dieses „Geschäftsmodell“ offenbar für die Betreiber weniger Risiko birgt.

Tipp: Wie gut kennen Sie sich mit der europäischen Technologie-Geschichte aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.