Krypto-Mining Bot greift Geräte mit SSH-Service an

Originalbeitrag von Jindrich Karasek und Loseway Lu

Die Durchführbarkeit des Schürfens von Kryptowährung auf mit dem Internet der Dinge (IoT) verbundenen Geräten ist häufig eine Frage der Rechenleistung. Dennoch gibt es genügend Betrüger, die vernetzte Geräte angreifen, und auch im Untergrund wird die entsprechende Schadsoftware angeboten. Die Honeypot-Sensoren der Sicherheitsforscher von Trend Micro (für die Emulation von Secure Shell (SSH), Telnet und File Transfer Protocol) entdeckten kürzlich einen Mining Bot mit Bezug zur IP-Adresse 192.158.228.46. Diese Adresse suchte sowohl nach SSH- als auch IoT-bezogenen Ports, einschliesslich 22, 2222 und 502. Bei diesem bestimmten Angriff landete die IP auf Port 22, einem SSH Service. Der Angriff ist jedoch auf alle Server und vernetzten Geräte mit einem laufenden SSH Service anwendbar.

Der Bot sucht nach Geräten mit einem offenen RDP-Port (Remote Desktop Protocol), der es dem Angreifer ermöglicht, anfällige Geräte auszunutzen. Sobald der Angreifer ein solches Gerät identifiziert, versucht er, einen wget-Befehl auszuführen, um ein Skript in ein Verzeichnis herunterzuladen, das anschliessend das Skript ausführt und die Malware installiert.

Der Bot nutzt hxxp://p1v24z97c[.]bkt[.]clouddn[.]com/ zum Hosten des bösartigen Skripts mservice_2_5.sh. Dieses lädt dann Dateien von hxxps://www[.]yiluzhuanqian[.]com/soft/linux/yilu_2_[.]tgzund speichert das Ergebnis im “/tmp”-Verzeichnis. Diese Technik findet sich häufig in Exploit-Techniken gegen Linux-basierte Server wieder. Dieser Bot kann Miner auf Linux laden und besitzt sogar einen Persistenzmechanismus in seinem Installer-Skript. Dadurch kann er einen Service dem crontab hinzufügen, einer Konfigurationsdatei, in der regelmässig wiederkehrende Befehle festgelegt werden.

Die Forscher stellten fest, dass es sich bei der Site, von der das Skript Dateien herunterlädt, um eine Finanz-Betrugsseite handelt. Dem Verhalten des Angreifers nach zu urteilen, könnte die erste URL lediglich als Startpunkt dienen. Das bedeutet, wird der Link geblockt, kann der Angreifer auf eine andere Domäne übergehen und seine Aktivitäten weiterführen, ohne die potenzielle Betrugsseite selbst zu verlieren.

Mit Hilfe von Social Engineering werden die Nutzer dazu gebracht, den Miner zu installieren, der dann Monero oder Ethereum schürft. Die Betrugsseite wird dem Aussehen einer regulären Website angepasst. Weitere technische Details auch zur Funktionsweise liefert der Originalbeitrag.

Gegenmassnahmen gegen Mining-Aktivitäten

Botnets sind wahrscheinlich die häufigste Art, um IoT für den eigenen Profit zu missbrauchen. Ein einzelnes kompromittiertes Gerät mag nicht ausreichende Leistung zu bringen, doch wenn die Schadsoftware in Bot-aktivierter Art verteilt wird, so ergibt dies eine Armee von Mining-Zombies, die sich dann als lukrativ erweisen.

Wichtig im Kampf gegen diese illegalen Mining-Aktivitäten ist der Einsatz von Standard-Sicherheitsmassnahmen, die das Risiko mindern können:

  • Regelmässige Aktualisierung der Firmware von Geräten, um Angriffe zu vermeiden, die bekannte Schwachstellen ausnutzen.
  • Ändern der Standard-Anmeldeinformationen von Geräten und Verwendung sicherer Passwörter, um unbefugten Zugriff zu verhindern.
  • Vorsicht vor bekannten Angriffsvektoren, wie z.B. sozial konstruierten Links, Anhängen und Dateien von verschiedenen Websites, Anwendungen von Drittanbietern und Mails.

Anwender sollten auch Sicherheitslösungen in Betracht ziehen, die Schutz vor verschiedenen Iterationen von Kryptowährungs-Mining-Malware durch eine generationenübergreifende Mischung von Abwehrtechniken bieten. Trend Micro XGen™ Security liefert eine generationsübergreifende Kombination aus Abwehrtechniken gegen eine Vielfalt von Bedrohungen für Datencenter, Cloud-Umgebungen, Netzwerke und Endpunkte. Die Lösung umfasst High-Fidelity Machine Learning, um Daten und Anwendungen am Gateway und den Endpunkten, ebenso wie physische, virtuelle und Cloud-Workloads zu sichern. Mit Fähigkeiten wie Web/URL-Filtering, Verhaltensanalysen und anpassbarem Sandboxing bietet XGen Schutz vor den heutigen gezielten Bedrohungen, die herkömmliche Mechanismen umgehen, bekannte, unbekannte und nicht veröffentlichte Sicherheitslücken ausnutzen, um persönlich identifizierbare Daten zu stehlen oder zu verschlüsseln. Die Trend Micro-Lösungen werden durch XGen™ Security unterstützt: Hybrid Cloud Security, User Protection und Network Defense.

Anwender von Trend Micro™ Smart Home Network sind vor SH Brute Force Login über folgende Regel geschützt:

  • 1059418, SSH Brute Force Login

Indicators of Compromise (IOCs) umfasst der Originalbeitrag.