Botnetz Mirai beschränkt sich nicht mehr nur auf IoT-Geräte

Ungepatchte Linux-Server über die Schwachstelle Hadoop Yarn sind gefährdet

[datensicherheit.de, 11.12.2018] Das Botnetz Mirai beschränkt sich nicht mehr länger auf ungesicherte IoT-Geräte. Das sind Erkenntnisse von ASERT, ein Team aus Sicherheitsspezialisten des Unternehmens NETSCOUT Arbor, ein Anbieter von Business Assurance-, Cybersicherheits- und Business-Intelligence-Lösungen. Kriminelle Betreiber der großen Botnetze haben die Malware von Mirai so angepasst, dass sie nun auch ungepatchte Linux-Server über die Schwachstelle Hadoop Yarn gefährden. Hadoop ist ein Framework von Apache, das Big-Data-Anwendungen verarbeitet und speichert, die in geclusterten Systemen ausgeführt werden. Yarn ist für die Zuweisung von Systemressourcen und Planungsaufgaben verantwortlich.

Schwachstelle in Hadoop Yarn

Die entdeckte Schwachstelle in Hadoop Yarn ermöglicht es den Angreifern, beliebige Shell-Befehle auszuführen und darüber Malware zu installieren. Dies sind Varianten der Mirai-Malware, die usrprünglich dafür entwickelt wurden, um Geräte im Internet of Things – wie zum Beispiel IP-Kameras und digitale Videorekorder – zu manipulieren. Da diese Art der Infizierung inzwischen in den Fokus der Öffentlichkeit gelangt ist und daher Schutzmaßnahmen besser werden, entwickelten die Cyberkriminellen nun die x86-Version.

Angreifer steuerndie die Verbreitung des Exploits selbst

Anstatt sich darauf zu verlassen, dass sich Bots selbstständig verbreiten, steuern die Angreifer die die Verbreitung des Exploits nun selbst. Eine relativ kleine Anzahl von Angreifern verwendet dazu eigens programmierte Tools, um die Hadoop-YARN-Schwachstelle zu erkennen und dann die Linux-Malware zu verbreiten. Die Vorteile einer solchen Anpassung liegen für die Angreifer auf der Hand: Verglichen mit IoT-Geräten haben Linux-Server in privaten Netzwerken deutlich mehr Bandbreite. Dies macht sie zu wesentlich effizienteren DDoS-Bots. Daher kann schon eine Handvoll gut ausgestatteter Linux-Server Angriffe erzeugen, die einem IoT-Botnetz mit deutlich mehr Geräten Konkurrenz macht.

Für die Angreifer ist es zudem deutlich einfacher, die x86-Monokultur von Linux-Servern anzugreifen als die breite Auswahl an CPU-Derivaten, die in IoT-Geräten verwendet werden. Das Ziel der, bisher noch eher kleinen, Hacker-Gruppe ist klar: die Malware auf möglichst vielen Geräten zu verbreiten. Und aufgrund der Leistungsfähigkeit der Server lauert hier ein enormes Gefahrenpotenzial.

Weitere Informationen zum Thema:

datensicherheit.de, 20.11.2018
Studie: Weit verbreiteter Mangel an Bewusstsein für IoT-Sicherheit

datensicherheit.de, 18.09.2018
Multi-Exploit-Botnets Mirai und Gafgyt zielen auf IoT- und Linux-Geräte

datensicherheit.de, 29.11.2016
Unternehmens-IT: Leichtsinnige Trägheit lädt Mirai-Schadsoftware geradezu ein