Akamai warnt vor IptabLes- und IptabLex-Malware Linux-Server dienen als DDoS-Botnetz

Sicherheitsforscher von Akamai haben ein Botnetz entdeckt, das ausnahmslos aus Linux-Servern besteht, die vornehmlich in Asien und den USA stehen. Als Einfallstore dienten bekannte Sicherheitslücken in Apache-Diensten wie Struts, Tomcat und Elasticsearch. Über den Server-Verbund wurden gezielt Webseiten der Unterhaltungsindustrie lahmgelegt.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

Moxa Europe GmbH

Akamai Technologies GmbH

Das Prolexic Security Engineering & Response Team von Akamai hat jüngst eine Reihe von Dienstblockaden (Distributed Denial of Service, DDoS) untersucht. Diese ließen sich den Sicherheitsexperten zufolge auf infizierte Linux-Server zurückverfolgen. Anfangs befanden sich die meisten infizierten Systeme in Russland, mittlerweile finden sich infizierte Server hauptsächlich in Asien und vereinzelt auch in den USA.

Hacker hatten Schwachstellen in nicht gepatchten Apache-Diensten genutzt, um die Server unter ihre Kontrolle zu bringen. Nachdem sie in die Systeme vorgedrungen waren, erhöhten sie die Benutzerrechte und hinterlegten sogenannte IptabLes- und IptabLex-Malware auf den Servern. Das IptabLes-IptabLex-Botnet ist laut Akamai instabil, das Prolexic-Team erwartet für die Zukunft aber ausgereiftere Schadcode-Versionen.

Im Rahmen von DNS- und SYN-Flooding-Attacken produzieren die Bots große Datenmengen, um andere Domains bzw. Web-Dienste, vornehmlich aus der Unterhaltungsindustrie, in die Knie zu zwingen. Eine Kampagne erreichte laut Akamai eine Spitzenbandbreite von 119 Gigabit pro Sekunde bei 110 Millionen Datenpaketen pro Sekunde (Million packets per second, Mpps).

Zur Erkennung und Abwehr der IptabLes- und IptabLex-Malware sollten die Linux-Systeme mit den aktuellen Sicherheitsupdates und einer Antiviren-Software ausgestattet werden. In dem verlinkten Sicherheitshinweis erläutert Akamai, wie IT-Administratoren infizierte Systeme mit Hilfe von Bash-Befehlen reinigen können. Darüber hinaus gebe es für die Open-Source-Malware-Erkennung Yara bereits einen entsprechenden Eintrag für IpTables.

Ausführliche Details zu Gegenmaßnahmen finden sich im Blog-Eintrag „Akamai Offers Further Guidance to Blunt Linux DDoS Threat“.

(ID:42941640)