Neue Versionen der KAIJI-Malware Große Malware-Kampagne greift Linux-Server an

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Cyberkriminelle zielen bei einer neuen, gut organisierten Malware-Kampagne auf anfällige Linux-Server ab. Dabei setzen sie auf neue Versionen einer altbekannten Malware.

Elastic Security Labs hat eine umfangreiche Malware-Kampagne namens REF6138 offengelegt, die auf anfällige Linux-Server abzielt. Sie zeichnet sich den Sicherheits-Experten von Elastic durch den Einsatz verschiedener Malware-Tools, Verschleierungstechniken und komplexer Angriffsstrategien aus. Die Kampagne wurde von März bis September 2024 beobachtet.

Um erste Zugriffe auf das System zu erhalten, nutzten die Angreifer anfällige Apache2-Webserver. Nachdem sie Zugang unter dem Benutzer "www-data" erlangt hatten, erlangten sie über ein komplexes Toolkit die Kontrolle über den kompromittierten Host. Sie luden ein Skript (00.sh) herunter, um Mining-Malware auszuführen und weitere Angriffe vorzubereiten. Unter den eingesetzten Malware-Tools fanden sich unter anderem KAIJI, eine Malware mit DDoS-Fähigkeiten, sowie RUDEDEVIL, ein Kryptowährungs-Miner. Ziel der Angriffe war es, Ressourcen der kompromittierten Systeme zu nutzen und Kryptowährungen wie Bitcoin zu minen.

Die Malware setzte verschiedene Techniken ein, um ihre Aktivitäten zu verschleiern und die Kontrolle über das System aufrechtzuerhalten. So kommunizierte sie mit den Angreifern verschlüsselt über das Open-Source-Tool GSOCKET und Telegram. Dabei diente GSOCKET dazu, verdeckte Kommunikationskanäle aufzubauen, die über das Global Socket Relay Network gesichert waren. Weitere Persistenz-Mechanismen wurden durch Cron-Jobs und die Manipulation von Systemdateien sichergestellt.

Cyberkriminalität auf Telegram Messaging-App

Hacker nutzen Telegram um Datenlecks zu teilen

Angreifer setzten neue KAIJI-Malware ein

Ein Teil der Kampagne bestand darin, dass die Angreifer kontinuierlich neue Versionen der KAIJI-Malware entwickelten und verwendeten. Sie passten regelmäßig die Konfigurationsdateien und Kommunikationsmethoden der Malware an. So konnten sie ihre Angriffe effektiv steuern und verhindern, entdeckt zu werden. Durch den Vergleich alter und neuer KAIJI-Versionen stellte Elastic Security Labs fest, dass der Quellcode größtenteils unverändert blieb, sich jedoch die C2-Serveradressen unterschieden.

Zur Kontrolle der kompromittierten Systeme setzten die Angreifer auf Befehle, mit deren Hilfe sie DDoS-Angriffe durchführen, Krypto-Mining starten oder neue Malware herunterladen konnten. Die RUDEDEVIL-Malware überwachte kontinuierlich die System- und Netzwerkauslastung, stoppte konkurrierende Mining-Prozesse und maximierte die Ressourcennutzung für ihre eigenen Aktivitäten.

GorillaBot mit über 300.000 DDoS-Angriffen

Neue Botnet-Malware zielt auf kritische Infrastrukturen

Darüber hinaus analysierten die Forscher einen PHP-Payload, der als "404.php" heruntergeladen wurde und wahrscheinlich als Hintertür für zukünftige Zugriffe dient. Über ein weiteres benutzerdefiniertes Tool namens "pspy64" überwachten die Angreifer Prozesse auf Linux-Systemen. So konnten die Angreifer tiefer in das kompromittierte System eindringen und Privilegien erweitern. Ebenfalls zu diesem Zweck nutzten die Angreifer die Sicherheitslücke CVE-2021-4034 aus, die in dem Kommandozeilenprogramm pkexec von polkit zu unberechtigter Rechteausweitung führen kann. Damit versuchten sie, Root-Zugriff auf das System zu erlangen.

Hacker sind gut organisiert

Bei der Untersuchung der aktuellen Linux-Malware-Kampagne stellte Elastic Security Labs fest, wie gut organisierte Bedrohungsakteure die Schwachstellen von Linux-Servern für eine Vielzahl böswilliger Aktivitäten ausnutzen – von Kryptowährungs-Mining bis hin zu DDoS-Angriffen. Die Sicherheits-Experten betonen, wie wichtig es ist, Sicherheitsmechanismen wie Web Application Firewalls, starke Authentifizierungsprotokolle und regelmäßige Systemupdates zu implementieren, um solchen Angriffen vorzubeugen.

Über den Autor: Thorben Jändling, Principal Solutions Architect in der Global Security Specialist Group bei Elastic.

Dragos Industrial Ransomware-Analyse Q2 2024

Eskalierende Ransomware-Bedrohungen für die Industrie

(ID:50206471)