Malware per Fernzugriff Mirai-Variante namens V3G4 entdeckt

Anbieter zum Thema

Mimecast Germany GmbH

Diverse Malware-Varianten treiben gerade ihr Unwesen. Nun macht Palo Alto Networks auf eine weitere aufmerksam, die einen Fernzugriff auf IoT-Geräte ermöglicht. Sie nennt sich Mirai V3G4.

Bei der Mirai-Variante V3G4 handelt es sich zwar um eine weniger komplexe Bedrohung, dennoch gilt es, diese zu beobachten. Eine der möglichen Auswirkungen ist die Ausführung eines Remote-Codes. Sobald ein Angreifer über die neuentdeckte Malware die Kontrolle über ein Gerät erlangt, könnte er neu kompromittierte Geräte in das Botnet einbinden, um weitere Angriffe wie Distributed Denial-of-Service-Angriffe (DDoS) durchzuführen.

Als Variante des Mirai-Botnets identifiziert

Forscher von Palo Alto Networks, Unit 42, beobachteten von Juli bis Dezember 2022 die Mirai-Variante V3G4, die mehrere Schwachstellen ausnutzte, um sich zu verbreiten. Sie wurde aufgrund des Verhaltens und der Muster bei der Analyse der heruntergeladenen Botnet-Client-Samples enttarnt. Des Weiteren wurden drei Kampagnen beobachtet, die die Mirai-Variante V3G4 nutzen. Vermutlich wurden die Kampagnen von demselben Angreifer betrieben. Gründe dieser Vermutung:

• Die hartkodierten Command-and-Control-Domains (C2) dieser drei Kampagnen enthalten dieselbe Zeichenfolge (8xl9).

• Die Malware-Shell-Skript-Downloader sind bei allen drei Kampagnen nahezu identisch.

• Die Botnet-Client-Samples verwenden denselben XOR-Entschlüsselungsschlüssel.

• Die Botnet-Client-Samples verwenden dieselbe „Stop List“ (eine Liste von Zielprozessen, nach denen der Botnet-Client sucht und die er beendet).

• Die Botnet-Client-Samples verwenden nahezu identische Funktionen.

Zu den ausgenutzten Schwachstellen gehören:

• CVE-2012-4869: FreePBX Elastix – Schwachstelle zur Remote-Code-Ausführung

• Gitorious: Schwachstelle zur Remote-Code-Ausführung

• CVE-2014-9727: Schwachstelle zur Remote-Code-Ausführung in der FRITZ!Box-Webcam

• Mitel AWC: Schwachstelle zur Remote-Code-Ausführung

• CVE-2017-5173: Schwachstelle in der Remote-Code-Ausführung bei Geutebruck IP-Kameras

• CVE-2019-15107: Webmin Command Injection-Schwachstelle

• Spree Commerce: Schwachstelle zur Ausführung beliebiger Befehle

• FLIR-Wärmebildkameras: Schwachstelle zur Remote-Code-Ausführung

• CVE-2020-8515: Schwachstelle zur Remote-Befehlsausführung bei DrayTek Vigor

• CVE-2020-15415: Schwachstelle zur Remote-Command-Injection bei DrayTek Vigor

• •CVE-2022-36267: Schwachstelle zur Remote-Befehlsausführung bei Airspan Airspot

• CVE-2022-26134: Schwachstelle zur Remote-Code-Ausführung bei Atlassian Confluence

• CVE-2022-4257: Command-Injection-Schwachstelle im C-Data Web-Management-System

Risikobekämpfung mit Xpanse Active ASM

Cyberrisiken: Ein Wettlauf mit der Zeit

(ID:49225377)