Hacker installieren Mirai Botnet auf anfälligen Spring4Shell-Servern

Forscher von TrendMicro haben eine Kampagne entdeckt, bei der Bedrohungsakteure anfällige Spring4Shell-Webserver angreifen, um Mirai-Malware einzuschleusen.

Diese infizierten Webserver werden später bei Bedarf für DDoS-Angriffe genutzt. Daher warnen Forscher Spring Framework-Administratoren, ihre Server mit verfügbaren Updates zu patchen, um sich vor solchen Angriffen zu schützen.

Obwohl es sich derzeit lediglich um die Rekrutierung von DDoS-Angriffen handelt, könnten sich die Bedrohungsakteure langsam weiterentwickeln, um auch andere bösartige Dinge zu tun, warnen Experten.

Ausnutzung von Spring4Shell für das Mirai-Botnetz

Seit letzter Woche ist die Cybersicherheits-Community damit beschäftigt, über eine neue Bedrohung zu diskutieren: Spring4Shell – eine kritische Sicherheitslücke bei der Remotecodeausführung im Spring Framework, einer in Unternehmen weit verbreiteten Java-Anwendungsentwicklungsplattform.

Lesen Sie auch: Microsoft erlangte die Kontrolle über 7 Domänen, die von einem russischen APT genutzt werden

Forscher, die als CVE-2022-22965 verfolgt werden, warnen, dass diese Spring4Shell eine weitere Welle von Log4Shell sein könnte, die die Community seit mehr als drei Monaten beunruhigt. Obwohl die Spring-Software Updates für diese Schwachstelle veröffentlicht hat, ist es die Pflicht der Endbenutzer, diese dauerhaft anzuwenden.

Daher werden jetzt alle im Internet exponierten anfälligen Webserver von Bedrohungsakteuren angegriffen, um das Mirai-Botnetz zu installieren. Anschließend werden die infizierten Server zu einem Netzwerk zusammengefügt, über das später DDoS-Angriffe durchgeführt werden können.

Dies wird von Forschern von TrendMicro verfolgt, die darauf hingewiesen haben, dass die Kampagne vor einigen Tagen gestartet ist und auf ungepatchte Webserver in Singapur abzielt, die für Spring4Shell-Angriffe ausgenutzt werden können. Obwohl es derzeit nur in Singapur entdeckt wird, könnten sich die Bedrohungsakteure bald weltweit ausbreiten.

Sie sagten, dass die Bedrohungsakteure über eine speziell gestaltete Anfrage eine JSP-Web-Shell in das Web-Root des ausgenutzten Webservers schreiben, die dann verwendet werden kann, um Befehle auf dem Server aus der Ferne auszuführen.

Bei diesem Prozess wurden mehrere Mirai-Beispiele erkannt, die implementiert wurden, um den verschiedenen CPU-Architekturen der kompromittierten Maschine gerecht zu werden. Während das passende Beispiel übrig bleibt, werden die anderen Samples nach der ersten Ausführungsphase entfernt.