Anzeige

Container

Unit 42, das Malware-Forschungsteam von Palo Alto Networks, entdeckt die erste bekannte Malware, die auf Windows-Container abzielt. Diese Entwicklung ist angesichts des massiven Anstiegs der Cloud-Nutzung in den letzten Jahren nicht überraschend.

Die Forscher benannten die Malware Siloscape, weil deren primäres Ziel darin besteht, aus dem Container zu entkommen, und in Windows wird dies hauptsächlich durch ein Server-Silo realisiert. Siloscape ist eine stark verschleierte Malware, die über Windows-Container auf Kubernetes-Cluster abzielt. Ihr Hauptziel ist es, eine Hintertür in schlecht konfigurierte Kubernetes-Cluster zu öffnen, um schädliche Container auszuführen.

Die Kompromittierung eines ganzen Clusters ist viel schwerwiegender als die eines einzelnen Containers, da ein Cluster mehrere Cloud-Anwendungen ausführen könnte, während ein einzelner Container in der Regel nur eine einzige Cloud-Anwendung ausführt. Der Angreifer könnte beispielsweise in der Lage sein, kritische Informationen wie Benutzernamen und Passwörter, vertrauliche und interne Dateien eines Unternehmens oder sogar ganze Datenbanken, die im Cluster gehostet werden, zu stehlen. Ein solcher Angriff könnte sogar als Ransomware-Angriff genutzt werden, indem die Dateien des Unternehmens als Geiseln genommen werden. Noch schlimmer ist, dass mit der Verlagerung in die Cloud viele Unternehmen Kubernetes-Cluster als Entwicklungs- und Testumgebungen nutzen. Eine Verletzung einer solchen Umgebung kann zu verheerenden Angriffen auf die Software-Lieferkette führen.

Siloscape verwendet den Tor-Proxy und eine .onion-Domain, um sich anonym mit ihrem Command-and-Control-Server (C2) zu verbinden. Den Forschern ist es gelungen, Zugang zu diesem Server zu erhalten. Sie identifizierten 23 aktive Siloscape-Opfer und entdeckten, dass der Server für insgesamt 313 Benutzer verwendet wurde, was darauf hindeutet, dass Siloscape ein kleiner Teil einer breiteren Kampagne war. Außerdem fanden sie heraus, dass diese Kampagne seit mehr als einem Jahr läuft.

Die Malware zeichnet sich durch mehrere Verhaltensweisen und Techniken aus:

  • Zielt für den Erstzugriff auf gängige Cloud-Anwendungen wie Webserver ab und nutzt dabei bekannte Schwachstellen („1-Days“) – vermutlich solche, für die ein funktionierender Exploit in freier Wildbahn existiert.
     
  • Verwendet Windows-Container-Escape-Techniken, um dem Container zu entkommen und Code-Ausführung auf dem zugrundeliegenden Knoten zu erlangen.
     
  • Versucht, die Zugangsdaten des Knotens zu missbrauchen, um sich im Cluster zu verbreiten.
     
  • Verbindet sich mit seinem C2-Server mithilfe des IRC-Protokolls über das Tor-Netzwerk.
     
  • Wartet auf weitere Befehle.

Diese Malware kann die Rechenressourcen in einem Kubernetes-Cluster für Cryptojacking nutzen und potenziell sensible Daten von Hunderten von Anwendungen, die in den kompromittierten Clustern laufen, exfiltrieren.

Die Untersuchung des C2-Servers zeigte, dass diese Malware nur ein kleiner Teil eines größeren Netzwerks ist und dass diese Kampagne bereits seit über einem Jahr läuft. Außerdem konnten die Forscher bestätigen, dass dieser spezielle Teil der Kampagne zum Zeitpunkt der Erstellung des Berichts mit aktiven Opfern online war.

Anders als die meiste Cloud-Malware, die sich überwiegend auf Ressourcen-Hijacking und Denial-of-Service (DoS) konzentriert, beschränkt sich Siloscape nicht auf ein bestimmtes Ziel. Stattdessen öffnet es eine Hintertür für alle Arten von bösartigen Aktivitäten.

Wie in einem früheren Beitrag von Unit 42 beschrieben, sollten Benutzer die Richtlinien von Microsoft befolgen und Windows-Container nicht als Sicherheitsfunktion verwenden. Microsoft empfiehlt, ausschließlich Hyper-V-Container für alles zu verwenden, was sich auf Containerisierung als Sicherheitsgrenze verlässt. Bei jedem Prozess, der in Windows Server-Containern ausgeführt wird, sollte davon ausgegangen werden, dass er die gleichen Berechtigungen wie der Administrator auf dem Host hat, der in diesem Fall der Kubernetes-Knoten ist. Wenn Unternehmen Anwendungen in Windows Server-Containern ausführen, die abgesichert werden müssen, empfiehlt Unit 42, diese Anwendungen in Hyper-V-Container zu verschieben.

Außerdem sollten Administratoren sicherstellen, dass ihr Kubernetes-Cluster sicher konfiguriert ist. Ein abgesicherter Kubernetes-Cluster ist nicht so anfällig für diese spezielle Malware, da die Berechtigungen der Knoten nicht ausreichen, um neue Bereitstellungen zu erstellen. In diesem Fall wird Siloscape beendet. Siloscape zeigt, wie wichtig die Sicherheit von Containern ist, da es ohne den Container-Ausbruch keinen nennenswerten Schaden anrichten könnte. Es ist wichtig, dass Unternehmen eine gut konfigurierte und gesicherte Cloud-Umgebung vorhalten, um sich vor solchen Bedrohungen zu schützen.

www.paloaltonetworks.com
 


Weitere Artikel

Phishing

Phishing-E-Mails werden immer raffinierter

KnowBe4, der Anbieter für Sicherheitsschulungen und Phishing-Simulationen, gibt die Ergebnisse seines Phishing-Berichts für das vierte Quartal 2021 bekannt.
Hacker

Gefahr durch Brand Impersonation und Ransomleaks wächst

Cyberkriminalität bleibt eine der größten Bedrohungen weltweit: Im neuen Cyber Threat Report Edition 2021/2022 veröffentlicht der E-Mail-Cloud-Security- und Backup-Provider Hornetsecurity die neusten Insights und Daten zur aktuellen Bedrohungslage mit Fokus…
Ukraine Hack

Der Angriff und das Defacement von Webseiten der ukrainischen Regierung

Am Freitagmorgen wurden mehrere Webseiten der ukrainischen Regierung und Botschaft angegriffen. Im Folgenden finden Sie einen Kommentar von John Hultquist, Vice President, Intelligence Analysis bei Mandiant, zu diesem Vorfall.
Cyberangriff

Noch vor Pandemie: Cyberangriffe die größte Gefahr für Unternehmen

Manager und Sicherheitsfachleute weltweit sehen in Cyberangriffen die größte Gefahr für Unternehmen. Im am Dienstag veröffentlichten «Risikobarometer» des zur Allianz gehörenden Industrieversicherers AGCS liegen kriminelle Hacker mit ihren Aktivitäten auf…
Windows

Über 3 Millionen unsichere Windows-PCs am Netz

In deutschen Haushalten gibt es rund 48 Millionen Computer, die mit dem Betriebssystem Windows laufen. Die Corona-Pandemie hat dazu geführt, dass Privatnutzer ihre Altgeräte erneuert und sogar mehr Geräte gekauft haben.
Corona Hacker

Dridex-Malware: Geschmacklose Omikron Phishing-Kampagne

„Eine bösartige Phishing-Kampagne verhöhnt die Opfer, nachdem sie ihre Geräte mit Dridex-Malware infiziert“, so Lawrence Abrams von BleepingComputer.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.