[datensicherheit.de, 19.09.2018] Am 18.09.2018 meldete Palo Alto Networks die Entdeckung der neuen Malware Xbash, die sowohl Windows- als auch Linux-Systeme mit einer neuen Strategie angreift. Die Schadsoftware verwendet Eigenschaften von Ransomware, unzulässigem Cryptomining und verbreitet sich zugleich wie ein Wurm.

Als Experte für die Erkennung sowie Bekämpfung von Hackern und Malware auf Basis eines Systems künstlicher Intelligenz und maschinellen Lernens, bewertet Gérard Bauer, VM EMEA bei Vectra die Entdeckung dieses neuen Malwaretyps:

„Oberflächlich betrachtet, mag diese Malware extrem erscheinen, aber sie ist an sich lediglich eine Kombination aus bestehenden Methoden von Cyberangreifern. Sie umfasst den gesamten Lebenszyklus eines Angriffs – von der Infektion bis zur Datenvernichtung. In der typischen Reihenfolge sind diese Verhaltensweisen: Infektion bzw. Eindringen, heimliches Auskundschaften des Netzwerks, laterale Ausbreitung, gefolgt vom Endergebnis in Form von Verschlüsselung, Datenvernichtung oder Crypto-Mining, je nach Absicht der Angreifer.

Diese Malware ist nicht das, was wir normalerweise als fortschrittlich betrachten würden. Sie ist nicht die Art von Malware, die bei einem gezielten Angriff zum Einsatz kommt, wie er von staatlichen Akteuren durchgeführt wird, um Daten zu entwende

Xbash besteht aus einer Reihe von Angriffsmethoden bzw. Verhaltensweisen, die bei jedem Angriff immer auftreten, unabhängig von der Absicht der Hacker. Was wir in den letzten Jahren gesehen haben, ist die kontinuierliche Automatisierung des Angriffslebenszyklus bei opportunistischen Angriffen. Ziel der Angreifer ist es, schneller zu agieren und eine breitere Angriffsfläche zu erreichen, um erfolgreich zu sein. Die Idee ist, dass der Angreifer so viele Systeme wie möglich infizieren muss, um Schaden anzurichten, bevor der Verteidiger den Angriff erkennt und reagieren kann.

Somit ist die Cybersicherheit zu einem Wettrennen zwischen Angreifer und Verteidiger geworden. Die Angriffe erfolgen schnell, daher müssen die Verteidiger noch schneller sein. Schnelligkeit ist mehr denn je das A und O in der Cybersicherheit.“

Weitere Informationen zum Thema:

datensicherheit.de, 18.09.2018
Xbash: Neue Malware nimmt Linux und Windows ins Visier

datensicherheit.de, 10.09.2018
Multi-Exploit-Botnets Mirai und Gafgyt zielen auf IoT- und Linux-Geräte

[datensicherheit.de, 18.09.2018] Das Unternehmen Palo Alto Networks meldet die Entdeckung einer neuen Malware-Familie, die auf Linux- und Microsoft Windows-Server abzielt, und hat ihr den Namen XBash zugewiesen. Den IT-Sicherheitsexperten gelang es, diese Malware mit der Iron Group zu verknüpfen, eine Hackergruppe, die in der Vergangenheit bereits für mehrere Ransomware-Angriffe verantwortlich war.

Xbash hat Fähigkeiten zur Selbstverbreitung

Xbash verfügt über Ransomware- und Coin-Mining-Funktionen. Die Malware hat auch Fähigkeiten zur Selbstverbreitung, also wurmartige Eigenschaften, ähnlich wie bei WannaCry oder Petya/NotPetya. Zudem verfügt Xbash auch über Funktionen, die derzeit nicht implementiert sind, es aber ermöglichen könnten, sich bei der Implementierung sehr schnell innerhalb des Netzwerks eines Unternehmens zu verbreiten. Dies ist ebenfalls ähnlich wie bei WannaCry oder Petya/NotPetya.

Die Malware verbreitet sich, indem es schwache Passwörter und nicht gepatchte Schwachstellen angreift. Mit seinen Ransomware-Funktionen zerstört Xbash Daten und Linux-basierte Datenbanken. Die Forscher von Palo Alto Networks haben dabei keine Funktionalität in Xbash gefunden, die eine Wiederherstellung nach Zahlung des Lösegeldes ermöglichen würde. Dies bedeutet, dass Xbash, wie NotPetya, eine datenvernichtende Malware ist, die Ransomware nachahmt. Im Gegensatz zu NotPetya ist Xbash jedoch multifunktional, plattformübergreifend und kombiniert Funktionen, die normalerweise in einzelnen Teilen von Malware zu sehen sind. Diese Funktionen sind nun in einem einzigen, effektiven Paket vereint.

Xbash ist somit eine neuartige und komplexe Linux-Malware und das neueste Werk einer aktiven cyberkriminellen Gruppe. Ausgehend von den Eigenschaften und Verhaltensweisen der Malware konnten die Experten für Cybersicherheit viele Trends erkennen, die die aktuelle IoT/Linux-Sicherheit betreffen:

• Die Angreifer erweitern ihre profitorientierten Strategien vom Abbau von Kryptowährungen auf das Entwenden von Kryptowährungen und auf Lösegeldforderungen.
• Die Angreifer dehnen ihr Territorium aus, indem sie Domain-Namen scannen und das Intranet von Unternehmen angreifen.
• Sie suchen nach mehr potenziellen Opfern, indem sie immer mehr Schwachstellen sammeln, egal, ob die Schwachstelle neu oder alt ist, und egal, ob sie bekannt ist oder nicht, also eine CVE-Nummer vergeben wurde oder noch nicht.
• Die Angriffe sind plattformübergreifend und durch eine schnelle Entwicklung gekennzeichnet.
• Verschiedene Arten von Skriptdateien dienen als Mittler zwischen der Ausnutzung von Schwachstellen und der Ausführung von Malware.

Unternehmen können sich durch folgende Maßnahmen gegen Xbash schützen:

• Verwendung von sicheren, nicht voreingestellten Passwörtern.
• Auf dem Laufenden bleiben bezüglich Sicherheitsupdates.
• Implementierung von Endgerätesicherheit auf Microsoft Windows- und auf Linux-Systemen.
• Verhinderung des Zugriffs auf unbekannte Hosts im Internet, um die Kommunikation mit Command-and-Control-Servern (C2) zu unterbinden.
• Implementierung und Aufrechterhaltung strenger und effektiver Backup- und Wiederherstellungsprozesse.

Weitere Informationen zum Thema:

Palo Alto Networks Blog
Xbash Combines Botnet, Ransomware, Coinmining in Worm that Targets Linux and Windows

datensicherheit.de, 10.09.2018
Multi-Exploit-Botnets Mirai und Gafgyt zielen auf IoT- und Linux-Geräte

datensicherheit.de, 11.07.2018
USB-Laufwerke: Palo Alto Networks warnt vor eingeschleustem Trojaner

datensicherheit.de, 06.12.2017
Studie von Palo Alto Networks: IT-Manager im Gesundheitswesen setzen auf Cyber-Sicherheit