Helldown-Ransomware Zyxel-Firewalls mit möglicher Zero-Day-Schwachstelle

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Eine neue, recht einfache, aber effektive Ransomware wurde von Security-Analysten untersucht. Helldown ziele vor allem auf Zyxel-Firewalls ab. Bisher gibt es aber keine Information von Zyxel über die Schwachstelle, die die Kriminellen bei den untersuchten Fällen ausgenutzt haben.

Im September 2024 musste der Hersteller Zyxel mehrere Sicherheitslücken in seinen Firewalls, darunter CVE-2024-42057, und die kritische CVE-2024-7261 in einigen Access Points stopfen. Mit einer neuen Firmware-Version und Updates für die Access Points wurden die Probleme behoben. Nun wurde auf der Data Leak Site einer Ransomware-Gruppe namens „Helldown“ eine europäische Niederlassung von Zyxel als Opfer genannt. Von Zyxel selbst gibt es bisher keine Stellungnahme dazu.

Update: drei neue Sicherheitslücken entdeckt

Noch kein Patch für kritische Veritas-Schwachstellen

Neue Ransomware-Gruppe Helldown

Das Cybersicherheitsunternehmen Sekoia vermutet, dass Helldown gezielt Firewalls von Zyxel als Einstiegspunkte nutzt. Helldown ist den Analysten zufolge noch eine recht junge Ransomware, die im August erstmals von Cyfirma, einem Anbieter für External Threat Management, getrackt wurde. Zu diesem Zeitpunkt setzte Helldown ihre Ransomware nur auf Windows-Systemen ein.

Am 31. Oktober 2024 entdeckte ein X-User namens „TuringAlex“ erstmals eine Linux-Variante von Helldown. In diesem Fall zielte sie auf einen VMware-ESX-Server ab.

Innerhalb von drei Monaten hätten die Cyberkriminellen von Helldown 31 Unternehmen angegriffen, darunter Zyxel. Mindestens acht der Unternehmen, die Helldown auf ihrer Data Leak Site veröffentlicht hat, haben Sekoia zufolge zum Zeitpunkt ihrer Kompromittierung Firewalls von Zyxel als IPSec-VPN-Zugangspunkte verwendet. Ende September 2024 meldeten dann mehrere Nutzer im Zyxel-Forum, dass Firewalls des Herstellers mit der Firmware V5.38 kompromittiert wurden. Damit wurde die Sicherheitslücke CVE-2024-42057 in Verbindung gebracht, die in einigen Firewalls von Zyxel bestand und Anfang September mit einem Hersteller-Patch geschlossen wurde. Der Risikograd von CVE-2024-42057 wird als hoch eingestuft, da sie es einem Angreifer ermöglicht, Schadcode ohne Authentifizierung auszuführen, wobei allerdings bestimmte Voraussetzungen erfüllt sein müssen. Für diese oder andere aktuelle Zyxel-Schwachstellen ist den Analysten zufolge jedoch kein öffentlicher Exploit-Code verfügbar. Deshalb schließen sie aus, dass Helldown eine der bekannten Sicherheitslücken ausnutzt.

Zwei der kompromittierten Zyxel-Kunden hätten nach dem Vorfall ihre Zyxel-Firewalls gegen andere Marken ausgetauscht. Auch das Threat Intelligence Team von Truesec hat den Cyberangriff auf Zyxel beobachtet und konnte feststellen, dass Helldown sich über die Zyxel-Firewalls Zugang auf die Systeme ihrer Opfer verschaffte.

Update: Neue BSI-Warnung

Kritische Schwachstellen in Palo Altos Firewalls und PAN-OS

Ransomware nutzt undokumentierte Schwachstellen aus

Die Helldown-Ransomware sei relativ einfach, schließen die Analysten von Sekoia ihren Bericht. Dennoch hat die Gruppe bisher große Erfolge verzeichnet und viele Unternehmen angegriffen. Das liegt den Forschern zufolge daran, dass die Cyberkriminellen Zero-Day-Schwachstellen ausnutzen und sich damit sehr effektiv Zugriff auf ihre Zielsysteme erschleichen.

Eine Schwachstelle in einer Zyxel-Firewall, die von einem Nutzer gemeldet wurde, stimme mit der von Truesec dokumentierten Helldown-Vorgehensweise überein. Allerdings findet sich hierzu kein dokumentierter CVE bei Zyxel. Gegenüber Sekoia habe Zyxel erklärt, dass der gemeldete Fehler mit dem neuesten Firmware-Update behoben worden sei. Für eine ordnungsgemäße Referenzierung ist es wichtig, dass Hersteller Informationen zu entdeckten Schwachstellen bereitstellen, was hier nicht der Fall ist. Zyxel sollte dahingehend nachbessern, um Klarheit und Sicherheit für die Kunden zu schaffen.

Wer hinter der Helldown-Ransomware steckt ist bisher noch unklar. Nachdem Anfang November 2024 Schneider Electric Opfer von Ransomware wurde, untersuchten Forscher eine mögliche Verbindung zwischen Helldown und der Hackergruppe Hellcat. Diesen Vermutungen gingen auch die Analysten von Sekoia nach, konnten jedoch keine Beweise dafür finden. Zudem hätten die X-Nutzer „grepcn“ und „ReyBreached“ auf der Plattform behauptet, Hellcat anzugehören und sich von Helldown abgegrenzt. In ihren Profilbeschreibungen hätten beide Nutzer den Link zur Data-Leak-Webseite von Hellcat verlinkt. Mittlerweile sind beide Profile von X gesperrt worden.

Baguettes als Lösegeld

Bissiger Baguette-Liebhaber erpresst Schneider Electric

(ID:50249989)