Anzeige

Anzeige

VERANSTALTUNGEN

B2B Service Management
22.10.19 - 23.10.19
In Titanic Chaussee Hotel, Berlin

PM Forum 2019
22.10.19 - 23.10.19
In Nürnberg, NCC Ost

DILK 2019
28.10.19 - 30.10.19
In Düsseldorf

Digital X
29.10.19 - 30.10.19
In Köln

DIGITAL FUTUREcongress
05.11.19 - 05.11.19
In Essen, Halle 8 im Congress Center Ost

Anzeige

Anzeige

Krypto-Mining

SophosLabs entdecken diverse aktive Coin-Miner-Kampagnen, die Cyberkriminellen das Mining von Kryptowährung erleichtert – auf Kosten von Unternehmen und deren Netzwerke und Server.

Die SophosLabs haben mehrere aktive und organisierte Coin-Miner-Kampagnen entdeckt, die Unternehmensnetzwerke und Lateral-Movement-Techniken nutzen. Die Kampagnen dienen Cyberkriminellen zur effizienteren und schnelleren Gewinnung von Kryptowährungen. Unternehmensnetzwerke sind ein beliebtes Angriffsziel, da sie durch den großen Pool an Rechnerleistung auf vielen ähnlich konfigurierten Maschinen ein großes Potenzial bieten, um die Machenschaften effizient durchzuführen.

SophosLabs haben einen genaueren Blick auf die Kampagnen geworfen und die Vorgehensweise der Angreifer analysiert: Wird ein Rechner kompromittiert, durchsucht ein bösartiges Skript das Netzwerk nach geeigneten Zielen und löst eine Reihe von verschiedenen Exploits oder Privilege-Escalation-Funktionen aus, einschließlich Eternal Blue Exploit oder Pass-the-Hash, um sich im Netzwerk zu verbreiten. Dabei hat sich das Coin-Mining weiterentwickelt. Dazu zählen neue Techniken wie dateifreie Skript-Ausführung, Reflective Injection und Multi-Layer-Verschleierung, um der Erkennung durch Security-Lösungen zu entgehen. Dabei behalten die dateifreien Skripte ihre Beständigkeit durch ein verdrehtes Set von mehreren geplanten Aufgaben bei.

Weg der Coin-Minter-Malware im Unternehmen

Bild 1: Weg der Coin-Minter-Malware im Unternehmen (Quelle: Sophos Technology GmbH)

Der Infektionsverlauf

Sind die bösartigen Skripte heruntergeladen, werden diese in regelmäßigen Intervallen von einer Stunde geplant ausgeführt. Das anfänglich heruntergeladene Skript wird vor der Ausführung durch einen hart-codierten Hash validiert, gefolgt von einem zusätzlichen Download des Miner & Exploitation Moduls. Von dort an verbreitet sich die Malware im Netzwerk und bietet den Angreifern die Nutzung der IT-Ressourcen für ihre Zwecke.

Derzeitige Bedrohungslage

Die Anzahl der kompromittierten Maschinen auf der Weltkarte lässt die Vermutung zu, dass der erste Ausbruch in Südostasien stattfand. Von dort aus haben sich die Coin-Miner-Angriffe weltweit verbreitet, auch in Europa. Die DACH-Region scheint momentan noch wenig betroffen zu sein.

Krypto-Mining-Kampagne Weltkarte

Bild 2: Weltweit infizierte Computer, geolokalisiert nach ihrer IP-Adresse (Quelle: Sophos Technology GmbH)

Weitere Informationen:

Wie genau sich die Coin-Miner-Kampagnen im Netz verhalten und wie sich die Skripte gestalten, ist im Dokument „Lemon_Duck PowerShell malware cryptojacks enterprise networks“ beschrieben .

www.sophos.de
 

GRID LIST
Malware

Agent Tesla verbreitet sich wie ein Lauffeuer – Emotet erwacht wieder

Die Threat Intelligence-Abteilung von Check Point Software Technologies Ltd. (NASDAQ:…
hacker Anonymous

Cyber-Mythen aus Film und Fernsehen

Der Herbst ist da und mit ihm steht auch Halloween vor der Tür: Zur Einstimmung schauen…
Zeki Turedi

EU-Kommission warnt vor Cyberangriffen auf 5G-Netze

Die Kritik an der Vergabe der 5G-Netze an nicht europäische Anbieter reißt nicht ab.…
Cyber crime

Spionageangriffe auf Regierungen und Organisationen enttarnt

ESET-Forscher haben mehrere anspruchsvolle Spionageangriffe auf Regierungen und…
Tb W190 H80 Crop Int 7eb8d464864bbbdaf6fa999ca76291d9

Gravierende Sicherheitslücken in TwitterKit für iOS

Das TwitterKit für iOS 3.4.2, das zahlreiche Apps zur Kommunikation mit Twitter nutzen,…
Hacker

Erhöhte Gefahr für deutsche Lager- und Logistikbranche

Mimecast Limited (NASDAQ: MIME) warnt vor der aktuellen Bedrohungssituation in…