Forscher von Aqua Security entdeckt Eine raffinierte Kampagne unter der Leitung von HeadCrab-Bedrohungsakteuren, die es auf im Internet verfügbare Redis-Server abgesehen haben, um sie zu kapern und ihrem Botnet hinzuzufügen.
Dies wiederum wird für Krypto-Mining-Zwecke verwendet, insbesondere für die Monero-Münze. Die Forscher weisen darauf hin, dass die Malware speziell darauf ausgelegt ist, ihre Nutzlast in den Speicher einzuschleusen, um so einer Erkennung durch Sicherheitslösungen zu entgehen. Redis-Serveradministratoren wird aus Sicherheitsgründen empfohlen, Ports zu schließen und Zugriffsbeschränkungen anzuwenden.
Ausnutzung von Redis-Servern für Krypto-Mining
Nitzan Yaakov und Asaf Eitani von Aqua Security haben eine Botnet-Kampagne detailliert beschrieben: Dabei verbreitet ein Bedrohungsakteur eine neue Malware namens HeadCrab gegen Redis-Server. In diesem Bericht stellten die Forscher fest, dass die Kampagne seit September 2021 läuft und inzwischen mehr als 1.200 anfällige Redis-Server infiziert sind.
Hacker machen sich die Tatsache zunutze, dass Redis-Server nicht über eine Standardauthentifizierung verfügen, da sie für die Verwendung innerhalb des Netzwerks einer Organisation konzipiert sind und nicht ohne sinnvollen Zweck dem Internet ausgesetzt werden sollten.
Es kann jedoch vorkommen, dass Administratoren sie versehentlich offenlegen oder falsche Konfigurationen vornehmen, was dazu führt, dass Bedrohungsakteure sie für ihre Zwecke ausnutzen. Das Gleiche passiert in diesem Fall, da Bedrohungsakteure, die exponierte Redis-Server ausnutzen, die „‘ kommandiere und steuere sie aus der Ferne.
Mit dieser Funktion können sie auch HeadCrab installieren, eine relativ neue Malware, die sich im Systemspeicher gefährdeter Server installiert. Es löscht alle Protokolle und kommuniziert nur mit von Hackern kontrollierten Servern. Und da es sich hierbei um die anderen Redis-Server im Netzwerk handelt, werden sie von Sicherheitslösungen häufig nicht gekennzeichnet.
Darüber hinaus stellten die Forscher fest, dass die Nutzlast dieses Vorgangs in reinen Speicherdateien installiert wird, was verhindert, dass Antivirensoftware sie auf die schwarze Liste setzt. Alle diese kompromittierten Server schließen sich dann einem Botnetz für Krypto-Mining an: insbesondere Monero.
Die Forscher stellten fest, dass die mit dieser Botnet-Operation verknüpfte Monero-Wallet zeigte, dass jeder Arbeiter einen Jahresgewinn von 4.500 US-Dollar erzielte, was im Vergleich zu den üblichen Gewinnen von 200 US-Dollar pro Arbeiter bei ähnlichen Operationen einfach erstaunlich ist.
