Von den vielen Bedrohungsakteuren, die den Zero-Day-Bug von Confluence ausnutzen, CheckPoint-Forscher haben eine Gruppe namens 8220 Gang entdeckt, die Krypto-Miner installiert, um Kryptowährungen zu schürfen.
Sie zielen mit ihrer Mining-Malware sowohl auf Linux- als auch auf Windows-Rechner ab und erschöpfen alle Ressourcen auf anfälligen Confluence-Servern, bis sie entfernt werden. Um dies zu vermeiden, riet der Erfinder von Confluence – Atlassian – den Benutzern, das vor einer Woche verfügbare Patch-Update anzuwenden.
Ausnutzung des Confluence-Zero-Day-Bugs
Ende letzten Monats entdeckten Forscher eine neue Zero-Day-Sicherheitslücke in Confluence von Atlassian, einem Kollaborationstool, das Unternehmen zur Verwaltung von Arbeit und Kommunikation verwenden. Als CVE-2022-26134 verfolgt, wurden kurz darauf mehrere Proof-of-Concept-Exploits für diesen Fehler veröffentlicht.
Dies führte dazu, dass viele Bedrohungsakteure anfällige Confluence-Server auf der ganzen Welt ausnutzten, wobei die meisten neue Administratorkonten erstellten, Web-Shells installierten und Remote-Befehle ausführten, um schließlich die Kontrolle über die ausgenutzten Server zu übernehmen.
Aber Forscher aus CheckPoint hat einen neuen Bedrohungsakteur namens „8220-Gang“ entdeckt, der diesen Fehler zum Schürfen von Kryptowährungen ausnutzt. Ihrer Notiz zufolge beginnt die Hackergruppe ihre Kampagne damit, dass sie eine speziell gestaltete HTTP-Anfrage an den anfälligen Confluence-Server sendet, sei es Linux oder Windows.
Dieses Skript nutzt den Fehler aus, um eine Base64-codierte Nutzlast zu löschen, die wiederum eine ausführbare Datei erhält: ein Malware-Dropper-Skript unter Linux und einen Spawner für untergeordnete Prozesse unter Windows. In beiden Fällen zielen diese ausführbaren Dateien darauf ab, über Cron-Jobs oder Home-Ordner eine Neustart-Persistenz zu erreichen.
Darüber hinaus deinstallieren sie alle laufenden Agenten und aktivieren dann den Miner, um den Minting-Prozess zu starten. Langfristiges (oder kurzfristiges, wenn Sie so hart sind) Krypto-Mining würde zu einem schnelleren Hardware-Verschleiß, einer verringerten Serverleistung und sogar zu Betriebsunterbrechungen führen.
Schließlich soll das Linux-Skript sogar nach SSH-Schlüsseln suchen, um andere Systeme im Netzwerk zu kapern und zu gruppieren. ZUAbgesehen davon nutzen auch einige andere Linux-Botnetze wie Kinsing, Hezb und Dark.IoT diesen Zero-Day-Bug aus, um Hintertüren und Kryptominer zu implementieren, sagen die Forscher.
Um dies zu verhindern, hat der Entwickler der infizierten Confluence-Suite, Atlassian, am 3. Juni 2022 einen Patch veröffentlicht und den Benutzern empfohlen, diesen so schnell wie möglich anzuwenden.
