Meldung

Schwachstelle in Oracle WebLogic Server: Cryptomining und Ransomware

Palo Alto Networks warnt vor Exploit-Aktivitäten gegen eine kritische Zero-Day-Schwachstelle in Oracle WebLogic. Cyberkriminelle nutzen diese für Cryptomining und die Ausführung von Ransomware-Angriffen. Oracle hat die Lücke am 26. April 2019 mit einem Out-of-Band-Patch geschlossen.
Oracle WebLogic Server ist ein beliebter Anwendungsserver zur Erstellung und Bereitstellung von Java-EE-Anwendungen für Unternehmen. Nachdem die Schwachstelle (CVE-2019-2725) zusammen mit dem Patch [1] publik wurde, wurden zahlreiche Instanzen von Proof-of-Concept (PoC)-Code veröffentlicht, die diese Schwachstelle ausnutzen. Infolgedessen stieg die Zahl der bösartigen Aktivitäten in Zusammenhang mit dieser Schwachstelle.

Angesichts von über 41.000 öffentlich zugänglichen WebLogic-Instanzen im Web, sowie einer unbekannten Anzahl von privaten Instanzen in Unternehmensumgebungen, erwarten die Experten von Unit 42 [2] eine starke Zunahme der Exploit-Versuche. Im Zuge dieser Exploit-Aktivitäten haben die Forscher von Unit 42 eine Vielzahl von Nutzlasten beobachtet, darunter die Lieferung einer neuen Version des Muhstik-Botnets, eine neue Ransomware-Variante namens Sodinokibi und den Einsatz von Cryptominern in anfälligen Systemen. 

Bei einem Exploit-Versuch wurde ein bekanntes PowerShell-Downloader-Skript verwendet, um den kompromittierten Host zu nutzen, eine Kryptowährung für die Angreifer zu schürfen. Das Skript lud zunächst XMRig, einen Open-Source-Miner für Monero, von einer angreifergesteuerten Domain herunter. Anschließend wurden alle legitimen Oracle-Aktualisierungsdienste beendet, die die WebLogic-Schwachstelle patchen würden. Die Persistenz wurde hergestellt, indem sich die Malware selbst kopierte und eine geplante Aufgabe erstellte, die sich als Oracle-Aktualisierungsdienst ausgab.

Das Skript beendete dann eine Vielzahl von Prozessen, die auf dem Host ausgeführt werden können. Zu den Aufgaben, die beendet wurden, zählten Antivirendienste, um die Wahrscheinlichkeit einer Erkennung zu verringern, andere Cryptominer und die Persistenzmethoden anderer Malware.
7.05.2019/jm

Tipps & Tools

Sichere RFID-Geldbörse [15.06.2019]

Das ungewollte Auslesen von Chipsätzen auf Basis von NFC- oder RFID-Technologie stellt eine reale Gefahr da. Um hier für mehr Sicherheit zu sorgen, können Sie mit dem praktischen Kartenetui alle Ihre wichtigen Träger von Informationen wie Personalausweis oder Kreditkarten von der Außenwelt abschotten. Insgesamt lassen sich bis zu 15 Karten in dem Portemonnaie aus leichtem Carbon-Material unterbringen. [mehr]

Ausnahmen in Windows Defender setzen [7.06.2019]

Das Verwalten von Dateien und Ordnern unter Windows 10 in Sachen Sicherheitsüberwachung kann etwas gewöhnungsbedürftig sein. Gewünschte Ausnahmen in Windows Defender legen Sie in einem eher versteckten Untermenü fest. Einfacher gestaltet sich dieser Vorgang mit dem kostenfreien Tool "Defender Injector". Das portable Programm hilft beim Festlegen und Verwalten von Ausnahmen für die Prüfung durch Windows Defender. [mehr]

Fachartikel

Windows Server 2016: Mit dem Webanwendungsproxy Applikationen veröffentlichen (2) [17.06.2019]

Unter Windows Server 2016 lassen sich Webanwendungen wie Exchange im Internet mit dem Webanwendungsproxy zur Verfügung zu stellen. Dieser fungiert als sichere Schnittstelle vom internen Netzwerk zum Internet und ist somit der legitime Nachfolger des von Microsoft abgekündigten Threat Management Gateway. Als Windows-Server-Bordmittel arbeitet der Webanwendungsproxy zudem oft besser mit den vorhandenen Infrastrukturdiensten zusammen als lizenzpflichtige TMG-Alternativen von Drittanbietern. Im zweiten Teil des Workshops erklären wir, wie Sie das Active Directory passend konfigurieren, Exchange anpassen und ADFS einrichten. [mehr]

Buchbesprechung

Anzeigen