Aktuelles, Branche - geschrieben von cp am Donnerstag, April 2, 2020 22:30 - noch keine Kommentare
„Vollgar“: Neues Botnetz greift MS-SQL-Server an
RAT- und Krypto-Miner-Attacke infiziert täglich 2.000 bis 3.000 Rechner
[datensicherheit.de, 02.04.2020] Guardicore hat ein neues Botnetz entdeckt, das Windows-Computer durch Brute-Force-Angriffe auf den MS-SQL-Dienst gefährdet. Nach erfolgreicher Infektion nutzen die Angreifer sowohl RAT-Module (Remote Administration Tools, RAT) als auch Krypto-Miner.
Der komplizierte Angriffsmechanismus besteht aus mehrstufigen Skripten und verschiedenen Binärdateien, die nacheinander heruntergeladen und ausgeführt werden Seit Mai 2018 ist das weltweite Botnet bereits aktiv, das Guardicore Labs als „Vollgar“ bezeichnet, weil es die Kryptowährung VOLLAR schürft und sich dabei vulgärer, aggressiver Angriffsmethoden bedient. Aktuell werden täglich 2.000 bis 3.000 Rechner aus dem Industriesektor, Gesundheits- und Bildungswesen sowie der IT-, Luftfahrt- und Telekommunikationsbranche neu infiziert — besonders betroffene Regionen sind die USA, China, Indien, Südkorea und Türkei.
Hauptangriff der Vollgar-Attacke lief über einen CNC-Server in China
Der Hauptangriff der Vollgar-Attacke lief über einen CNC-Server in China, auf dem eine MS-SQL-Datenbank und ein Tomcat-Webserver betrieben wurden. Gleich mehrere Hackergruppen hatten den Server kompromittiert und nutzten ihn für eigene Angriffskampagnen. Insgesamt fanden die Sicherheitsforscher des Unternehmensfast zehn Hintertüren für den Zugriff auf den Server, die es erlaubten, Inhalte des Dateisystems auszulesen, Registrierungsdaten zu ändern, Dateien herunter- oder hochzuladen und Befehle auszuführen. Trotzdem befand sich der Server weiterhin im regulären Betrieb, um beispielsweise den Datenbankdienst sowie harmlose Hintergrundprozesse auszuführen. Die eigentlichen Betreiber des Servers erkannten nicht, dass verdächtige Aktivitäten von mehreren Nutzern mit erhöhten Zugriffsrechten durchgeführt wurden.
Kampf um MS-SQL-Ressourcen
Guardicore Labs hat die Anzeichen für eine potentielle Kompromittierung (IOC=Indicator of Compromise) auf seiner Webseite aufgelistet. Hier stellen die Sicherheitsexperten auch ein Powershell-Erkennungsskript zur Verfügung, um Spuren einer Vollgar-Infektion auf betroffenen Computern aufzuspüren. In diesem Fall empfehlen sie, alle Zugangsdaten des MS-SQL-Benutzerkontos auf neue und komplexe Passwörter umzustellen.
Datenbankserver mit großen gespeicherten Datenmengen
Es gibt eine Vielzahl von Angriffen auf MS-SQL-Server, aber weltweit nur etwa eine halbe Million Rechner, auf denen dieser Datenbankdienst überhaupt ausgeführt wird. Die relativ geringe Zahl potentieller Angriffsziele löst einen hackergruppenübergreifenden Kampf um die Kontrolle dieser IT-Ressourcen aus. Die Datenbankserver speichern große Datenmengen, was sie neben der reinen CPU-Leistung für Angreifer besonders attraktiv macht. Die Server speichern zudem häufig persönliche Informationen wie Benutzernamen, Passwörter oder Kreditkartennummern, die somit schnell in den Besitz der Angreifer fallen können.
Weitere Informationen zum Thema:
Guardicore Labs
The Vollgar Campaign: MS-SQL Servers Under Attack
datensicherheit.de, 04.12.2019
Vermehrt Angriffe auf biometrische Daten
datensicherheit.de, 04.12.2019
Vectra meldet Erfolg: Ermittlern gelang Schlag gegen RAT-Betreiber
datensicherheit.de, 16.08.2016
RAT-Trojaner Orcus beliebt bei Cyber-Kriminellen
Aktuelles, Experten, Veranstaltungen - Jul 27, 2024 0:58 - noch keine Kommentare
ULD-Sommerakademie 2024 in Kiel: Digitale Datenräume und Archive im Fokus
weitere Beiträge in Experten
- NIS-2-Umsetzungsfrist bis 18. Oktober 2024: eco warnt vor unzureichender Vorbereitung deutscher Unternehmen
- KI-Verordnung tritt am 1. August 2024 in Kraft
- Cyber-Resilienz – potenzielle Bedrohungen proaktiv erkennen und IT-Notfallplan vorbereiten
- CrowdStrike: Ein IT-Update und es wackelt die ganze Welt
- IT-Sicherheitsupdate sorgt für Chaos: eco kommentiert weltweite technische Probleme vom 19. Juli 2024
Aktuelles, Branche, Veranstaltungen - Jul 27, 2024 0:46 - noch keine Kommentare
Schutz persönlicher Daten: SOPHOS lädt zu Web-Seminar mit der Ethischen Hackerin Rachel Tobac ein
weitere Beiträge in Branche
- Job-Betrug in Sozialen Medien: Tipps zum Erkennen auf den ersten Blick
- Robuste Sicherheitspraktiken notwendig: CrowdStrike-Vorfall hat IT-Schwachstellen enthüllt
- Warnung von Kaspersky: Botnets bereits ab 99 US-Dollar im Darknet erhältlich
- Melissa Bischoping benennt Lehren aus dem CrowdStrike-Ausfall
- Crowdstrike-Vorfall als Weckruf für ganzheitliche digitale Sicherheit
Branche, Umfragen - Dez 21, 2020 21:46 - noch keine Kommentare
Threat Hunting: Bedeutung und Wertschätzung steigt
weitere Beiträge in Service
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
- Cybersicherheit: SANS-Studie zu Frauen in Führungspositionen
Kommentieren