Microsoft warnt vor neuartiger Schadsoftware für Windows und Linux

Microsoft hat eine neue Crypto-Mining-Malware entdeckt, die Windows- und Linux-Systeme befällt. Für deren Verbreitung setzen Hacker auf Phishing-E-Mails, Exploits, USB-Geräte und Brute-Force-Attacken. Darüber hinaus nehmen sie mit dem LemonDuck genannten Schädling auf die im März entdeckten und inzwischen gepatchten Sicherheitslücken in Exchange Server ins Visier.

In erster Linie nutzen die Hintermänner von LemonDuck jedoch ältere Sicherheitslücken, und zwar bevorzugt zu Zeiten, in denen Sicherheitsteams mit Patches für andere kritische Schwachstellen beschäftigt sind. “LemonDuck nutzt weiterhin ältere Schwachstellen, was den Angreifern in den Zeiten zugutekommt, in denen sich der Fokus auf das Patchen einer beliebten Schwachstelle verlagert, anstatt eine Kompromittierung zu untersuchen”, teilte Microsofts Threat Intelligence Team mit. “Insbesondere entfernt LemonDuck andere Angreifer von einem kompromittierten Gerät, indem es konkurrierende Malware beseitigt und neue Infektionen verhindert, indem es die Schwachstellen patcht, über die es sich Zugang verschafft hat.”

Laut Microsoft war LemonDuck zunächst in China aktiv. Inzwischen hätten sich die Hacker aber auf die USA, Russland, Deutschland, Großbritannien, Indien, Korea, Kanada, Frankreich und Vietnam ausgerichtet. Sie konzentrierten sich zudem auf die Bereiche Fertigung und IoT. Die Opfer würden zudem gezielt ausgesucht.

LemonDuck hat seinen Namen von der Variable “Lemon_Duck” in einem PowerShell-Skript, das als Benutzeragent fungiert, um infizierte Geräte zu verfolgen. Die Schwachstellen, auf die es die Hacker abgesehen haben, sind CVE-2017-0144 (EternalBlue), CVE-2017-8464 (LNK RCE), CVE-2019-0708 (BlueKeep), CVE-2020-0796 (SMBGhost), CVE-2021-26855 (ProxyLogon), CVE-2021-26857 (ProxyLogon), CVE-2021-26858 (ProxyLogon) und CVE-2021-27065 (ProxyLogon).

Infizierte Systeme werden zudem benutzt, um die Malware an weitere Geräte zu verteilen. “Sobald LemonDuck in ein System mit einem Outlook-Postfach eingedrungen ist, versucht es als Teil seines normalen Angriffsverhaltens ein Skript auszuführen, das die auf dem Gerät vorhandenen Anmeldeinformationen nutzt. Das Skript weist die Mailbox an, Kopien einer Phishing-Nachricht mit voreingestellten Nachrichten und Anhängen an alle Kontakte zu senden”, ergänzte Microsoft.