Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03617.jsonl.gz/1483

Die cyberkriminelle Organisation hinter der Malware InterPlanetary Storm hat eine neue Variante veröffentlicht, die neben Windows- und Linux-Rechnern nun auch Mac- und Android-Geräte ins Visier nimmt. Die Malware baut ein Botnetz auf, das derzeit etwa 13.500 infizierte Computer in 84 verschiedenen Ländern der Welt umfasst, und diese Zahl wächst weiter.
Die erste Variante von InterPlanetary Storm, die auf Windows-Rechner abzielte, wurde im Mai 2019 aufgedeckt, und im Juni dieses Jahres wurde über eine Variante berichtet, die in der Lage ist, Linux-Rechner anzugreifen. Die neue Variante, die Barracuda-Forscher erstmals Ende August entdeckten, zielt auf IoT-Geräte wie beispielsweise Fernseher, die auf Android-Betriebssystemen laufen, sowie auf Linux-basierte Maschinen wie Router mit schlecht konfiguriertem SSH-Dienst. Das Botnetz, das diese Malware aufbaut, verfügt zwar noch über keine klare Funktionalität, aber bietet den Betreibern der Kampagne eine Hintertür in die infizierten Geräte, sodass diese später für Cryptomining, DDoS oder andere groß angelegte Angriffe missbraucht werden können.
Die Mehrzahl der von der Malware infizierten Rechner befindet sich derzeit in Asien. • 59% der infizierten Computer befinden sich in Hongkong, Südkorea und Taiwan.
• 8% in Russland und der Ukraine
• 6% in Brasilien
• 5% in den Vereinigten Staaten und Kanada
• 3% in Schweden
• 3% in China
• Alle anderen Länder verzeichnen 1% oder weniger (Deutschland aktuell 0,5%)
Funktionsweise der neuen InterPlanetary Storm-Malware Die neue Variante der InterPlanetary Storm-Malware verschafft sich Zugang zu Rechnern, indem sie einen Wörterbuch-Angriff auf SSH-Server ausführt, ähnlich wie FritzFrog, eine weitere Peer-to-Peer-(P2P)-Malware. Sie kann sich auch durch den Zugriff auf offene ADB-Server (Android Debug Bridge) Zugang verschaffen. Die Malware erkennt die CPU-Architektur und das Betriebssystem ihrer Opfer, und sie kann auf ARM-basierten Rechnern ausgeführt werden, eine Architektur, die bei Routern und anderen IoT-Geräten recht häufig anzutreffen ist. Die Malware wird als InterPlanetary Storm bezeichnet, da sie das IPFS (InterPlanetary File System)-p2p-Netzwerk und die zugrunde liegende libp2p-Implementierung verwendet. Dadurch können infizierte Knoten direkt oder über andere Knoten (bspw. Relays) miteinander kommunizieren.
Spezielle Eigenschaften der neuen Variante Diese Variante von InterPlanetary Storm ist in Go geschrieben, verwendet die Go-Implementierung von libp2p und ist mit UPX gepackt. Sie verbreitet sich unter Verwendung von SSH-Brute-Force und offenen ADB-Ports und stellt Malware-Dateien für andere Knoten im Netzwerk bereit. Die Malware ermöglicht auch Reverse Shell und kann Bash Shell ausführen. Die neue Variante verfügt über mehrere einzigartige Funktionen, die dazu beitragen sollen, dass die Malware persistent bleibt und geschützt wird, nachdem sie einen Rechner infiziert hat:
• Sie erkennt Honeypots. Die Malware sucht nach der Zeichenfolge "svr04" im Standard-Shell-Prompt (PS1), die zuvor vom Cowrie Honeypot verwendet wurde.
• Sie aktualisiert sich automatisch. Die Malware vergleicht die Version der laufenden Instanz mit der neuesten verfügbaren Version und aktualisiert sich entsprechend.
• Sie versucht, persistent zu bleiben, indem sie einen Dienst (system/systemv) installiert, unter Verwendung eines Go Daemon Package.
• Sie stoppt andere Prozesse auf dem Rechner, die eine Bedrohung für die Malware darstellen, wie zum Beispiel Debugger und konkurrierende Malware.
Maßnahmen zum Schutz vor neuer InterPlanetary Storm-Variante • Ordnungsgemäße Konfigurierung des SSH-Zugriffs auf allen Geräten: Dies bedeutet, dass Schlüssel anstelle von Passwörtern verwendet werden, was den Zugriff sicherer macht. Wenn die Passwort-Anmeldung aktiviert ist und der Dienst selbst zugänglich ist, kann die Malware die schlecht konfigurierte Angriffsfläche ausnutzen. Dies ist ein Problem, das bei Routern und IoT-Geräten häufig auftritt, sodass sie leichte Ziele für diese Malware darstellen.
• Verwendung eines Cloud Security Posture Management Tools zur Überwachung der SSH-Zugriffskontrolle, um jegliche Konfigurationsfehler zu vermeiden, die schwere Folgen haben können. Bei Bedarf sollte ein gesicherter Zugriff auf Shells bereitgestellt werden; anstatt die Ressource im Internet Bedrohungen auszusetzen, sollte eine MFA-fähige VPN-Verbindung bereitgestellt und die Netzwerke für die spezifischen Anforderungen segmentiert werden, statt den Zugriff auf breite IP-Netzwerke zu gewähren.
22. Juni 2020. Remote-Mitarbeiter extrahieren klassifizierte Daten in noch nie dagewesener Geschwindigkeit, so das Ergebnis des neuen Data Trends Reports von Digital Guardian, der das Risiko des Verlusts sensibler Daten während der COVID-19-Krise bewertet. Das Volumen der auf USB-Geräte heruntergeladenen Daten stieg um 123 Prozent seit der WHO-Pandemie-Erklärung und großflächigen Einführung von Homeoffice. Zudem zeigte sich ein Anstieg von 72 Prozent des Daten-Uploads in die Cloud.
Der Datenaustritt über alle Pfade (E-Mail, Cloud, USB usw.) stieg um 80 Prozent im ersten Monat nach der Pandemie-Erklärung. Cloud-Speicher und USB-Geräte wurden zu den bevorzugten Ausgangspfaden (89 Prozent). Auch gab es 62 Prozent mehr böswillige Aktivitäten durch externe Angreifer und 54 Prozent mehr erforderliche Incident-Response-Untersuchungen. Sicherheitsexperten sollten besonders dem deutlichen Anstieg bei der Nutzung von USB-Geräten Aufmerksamkeit schenken, da diese aufgrund der Wahrscheinlichkeit, verlegt, verloren oder gestohlen zu werden, das Risiko des Verlusts sensibler Daten erhöhen.
Der DG Data Trends Report basiert auf aggregierten, anonymisierten Daten von fast 200 Kunden des Managed Security Program von Digital Guardian weltweit. Die Untersuchung repräsentiert ein breites Spektrum von Unternehmensgrößen und Branchen, darunter Finanzdienstleistungen, Fertigung, Gesundheitswesen und Unternehmensdienstleistungen.
„Homeoffice wird für viele Unternehmen eine Notwendigkeit bleiben“, so Christoph M. Kumpa, Director DACH & EE bei Digital Guardian. „Deshalb sollten Führungskräfte und Sicherheitsteams die Implementierung von Lösungen in Betracht zu ziehen, die Einblick in die Datenbewegungen geben und ein Mittel zur Kontrolle bieten, um potenzielle Datenverstöße zu vermeiden.“
Ein kostenloses Exemplar des DG Data Trends Reports ist erhältlich unter:
Auch wenn Cyberkriminelle immer anspruchsvollere Angriffstechniken nutzen, um in Unternehmensnetzwerke einzudringen – oft sind Sicherheitsverletzung auf vermeidbare, häufig übersehene Fehlkonfigurationen zurückzuführen. Um Hackern nicht Tür und Tor auf sensible Daten und IT-Umgebungen zu öffnen, im Folgenden deshalb die fünf häufigsten Konfigurationsfehler, die es für Unternehmen zu vermeiden gilt.
1. Standard-Anmeldeinformationen Nicht konfigurierte Standard-Benutzernamen und -Passwörter von Geräten, Datenbanken, und Installationen sind vergleichbar mit dem Hinterlassen des Schlüssels in einer verschlossenen Tür. Selbst Hobbyhacker können hier mithilfe frei verfügbarer Tools einem Unternehmen weitreichenden Schaden zufügen. Standard-Anmeldedaten auf Netzwerkgeräten wie Firewalls, Routern oder sogar Betriebssystemen ermöglicht es Angreifern, simple Passwort-Checkscanner zu verwenden, um einen direkten Zugang zu erhalten. Bei etwas ausgeklügelteren Attacken führen Hacker eine Reihe von Skriptangriffen aus, um Geräte mit roher Gewalt zu knacken, indem sie sich entweder auf Standardbenutzernamen und -passwörter oder einfache Kennwörter wie "qwerty" oder "12345" konzentrieren.
2. Mehrfachverwendung von Passwörtern Werden in einer Flotte von Endpunkten auf jedem Gerät dasselbe Benutzerkonto und Passwort verwendet, gibt dies Cyberkriminellen die Möglichkeit, jede Maschine anzugreifen, selbst wenn nur eines der Geräte einen Sicherheitsverstoß erlitten hat. Von dort aus können Angreifer Credential-Dumping-Programme verwenden, um die Passwörter oder sogar die Hashes selbst in die Finger zu bekommen. Unternehmen sollten deshalb die Wiederverwendung von Passwörtern um jeden Preis vermeiden und nicht benötigte Konten deaktivieren.
3. Offene Remote Desktop Services und Standard-Ports Dienste wie Remote Desktop Protocol (RDP), ein von Microsoft entwickeltes proprietäres Protokoll, bieten Administratoren eine Schnittstelle zur Fernsteuerung von Computern. Zunehmend haben Cyberkriminelle dieses offene Protokoll missbraucht, wenn es nicht richtig konfiguriert war. Beispielsweise kann Ransomware wie CrySiS und SamSam Unternehmen über offene RDP-Ports ansprechen, sowohl durch Brute Force als auch durch Dictionary-Angriffe. Jedes nach außen gerichtete Gerät, das mit dem Internet verbunden ist, sollte deshalb durch einen mehrschichtigen Schutz abgesichert werden, um Zugriffsversuche wie etwa einen Brute-Force-Angriff zu bekämpfen. Administratoren sollten eine Kombination aus starken, komplexen Passwörtern, Firewalls und Zugriffskontrolllisten nutzen, um die Wahrscheinlichkeit eines Sicherheitsverstoßes zu reduzieren.
4. Verzögertes Software-Patching Oft machen Zero-Day-Bedrohungen Schlagzeilen, doch die häufigsten Schwachstellen, die durch Cyberkriminelle ausgenutzt werden, sind in der Regel digitale Fossilien. Daher ist die Aktualisierung von Betriebssystemen und Patches entscheidend, um einen Sicherheitsverstoß zu verhindern. Auch wenn täglich zahlreiche Exploits und Schwachstellen gefunden werden und es schwierig sein kann, Schritt zu halten, gilt es für Unternehmen, verzögertes Software-Patching zu vermeiden.
5. Ausgeschaltete Protokollierung Deaktiviertes Logging erlaubt es Angreifern nicht unbedingt, in ein System einzudringen, aber es ermöglicht ihnen, dort unbemerkt zu agieren. Einmal eingedrungen, können sich Hacker seitlich durch das Netzwerk bewegen, um nach Daten oder Assets zu suchen, die sie hinausschleusen wollen. Ohne entsprechende Protokollierung hinterlassen sie dabei keine Spuren. Dies schafft eine Nadel im Heuhaufen für IT-Teams bei der Rekonstruktion eines Sicherheitsvorfalls. Daher sollte die Protokollierung aktiviert sein und an einen zentralen Ort wie eine SIEM-Plattform (Security Information and Event Management) gesendet werden. Diese Daten liefern die Spuren, die forensische Analysten während einer Incident-Response-Untersuchung benötigen, um den Angriff nachzuvollziehen und den Einbruch zu erfassen. Darüber hinaus hilft dies, adäquat auf Bedrohungen zu reagieren, die eine Warnung aufgrund bereits protokollierter Ereignisse auslösen.
Durch Fehlkonfigurationen und das Belassen von Geräten oder Plattformen in ihrem Standardzustand haben Cyberkriminelle leichtes Spiel bei ihren Angriffen. Deshalb sollten Unternehmen die oben genannten Sicherheitsmaßnahmen implementieren, um sich und ihre sensiblen Daten zu schützen.
Quelle: Von Christoph M. Kumpa, Director DACH & EE bei Digital Guardian 12.10.2020