Sophos hat jüngste Forschungsergebnisse zur Log4Shell-Schwachstelle veröffentlicht. Angreifer nutzen diese, um Hintertüren einzubauen und Skripte für ungepatchte VMware Horizon Server zu erstellen. Dadurch erhalten sie dauerhaften Zugang auf VMware Horizon Server für zukünftige Ransomware-Attacken. In dem detaillierten Bericht Horde of Miner Bots and Backdoors Leveraged Log4J to Attack VMware Horizon Servers beschreiben die Sophos-Forscher die Werkzeuge und Techniken für die Kompromittierung von Servern sowie drei unterschiedliche Hintertüren und vier Cryptominer. Die Hintertüren kommen möglicherweise von Access Brokern.
Jeder System-Code ausführbar
Log4Shell ist eine Schwachstelle in der Java-Codebibliothek Log4J. Wenn Angreifer diese Lücke ausnutzen, erhalten sie die Möglichkeit, jeden System-Code ihrer Wahl auszuführen. Sie ist eingebettet in Hunderte von Software-Produkten. Die jüngsten Angriffsmöglichkeiten, die Log4Shell einsetzen, um anfällige Horizon Server anzugreifen, beinhalten:
Die Sophos-Analyse zeigt, dass Sliver manchmal zusammen mit Atera- und PowerShell- Profiling-Skripten geliefert und zur Übermittlung von Jin- und Mimu-Varianten der XMrig Monero Schürfer-Botnets genutzt wird. Die Angreifer verwenden unterschiedliche Vorgehensweisen, um ihre Ziele zu infizieren. Während einige der früheren Attacken Cobalt Strike zum Bereitstellen und Ausführen der Cryptominer einsetzen, begann die größte Welle der Angriffe Mitte Januar 2022: Sie führte das Cryptominer-Installations-Skript direkt von der Apache-Tomcat-Komponente des VMware Horizon Servers aus. Diese Welle der Angriffe ist immer noch aktiv.
Sophos empfiehlt Unternehmen
Die Sophos-Analyse gibt Hinweise drauf, dass mehrerer Kontrahenten diese Angriffe ausführen. Der wichtigste präventive Schritt wäre demnach, alle Geräte und Anwendungen mit der gepatchten Version der Software zu aktualisieren, die Log4J enthalten, inklusive der gepatchten VMware Horizon, sofern Organisationen die Applikationen in ihren Netzwerken verwenden. Log4J ist in Hunderten von Software-Produkte installiert, und vielen Unternehmen ist die Schwachstelle, die innerhalb ihrer Infrastruktur lauert, gar nicht bewusst, besonders bei gewerblicher, Open-Source- oder individueller Software, die keine reguläre Sicherheitsbetreuung hat. Selbst gepatchte Programme bieten keinen Schutz, wenn Angreifer bereits in der Lage waren, eine Web Shell oder eine Hintertür im Netzwerk zu installieren. Verteidigung in der Tiefe plus sofortigem Handeln bei jeglichem Hinweis auf z.B. Schürfer und andere ungewöhnliche Aktivitäten ist entscheidend, um derartigen Attacken nicht zum Opfer zu fallen.
Meist steht die Sicherheit von Infrastruktur und Cloud im Fokus. Auch Anwendungen sollten höchsten Sicherheitsanforderungen…
Das finnische Facility-Service-Unternehmen ISS Palvelut hat eine umfassende Transformation seiner Betriebsabläufe und IT-Systeme eingeleitet.
PDFs werden zunehmend zum trojanischen Pferd für Hacker und sind das ideale Vehikel für Cyber-Kriminelle,…
Laut Teamviewer-Report „The AI Opportunity in Manufacturing“ erwarten Führungskräfte den größten Produktivitätsboom seit einem Jahrhundert.
Microsoft erobert zunehmend den Markt für Cybersicherheit und setzt damit kleinere Wettbewerber unter Druck, sagt…
Nur 14 Prozent der Führungskräfte in der IT sind weiblich. Warum das so ist und…