Meldung

Schwachstelle in Oracle WebLogic Server: Cryptomining und Ransomware

Palo Alto Networks warnt vor Exploit-Aktivitäten gegen eine kritische Zero-Day-Schwachstelle in Oracle WebLogic. Cyberkriminelle nutzen diese für Cryptomining und die Ausführung von Ransomware-Angriffen. Oracle hat die Lücke am 26. April 2019 mit einem Out-of-Band-Patch geschlossen.
Oracle WebLogic Server ist ein beliebter Anwendungsserver zur Erstellung und Bereitstellung von Java-EE-Anwendungen für Unternehmen. Nachdem die Schwachstelle (CVE-2019-2725) zusammen mit dem Patch [1] publik wurde, wurden zahlreiche Instanzen von Proof-of-Concept (PoC)-Code veröffentlicht, die diese Schwachstelle ausnutzen. Infolgedessen stieg die Zahl der bösartigen Aktivitäten in Zusammenhang mit dieser Schwachstelle.

Angesichts von über 41.000 öffentlich zugänglichen WebLogic-Instanzen im Web, sowie einer unbekannten Anzahl von privaten Instanzen in Unternehmensumgebungen, erwarten die Experten von Unit 42 [2] eine starke Zunahme der Exploit-Versuche. Im Zuge dieser Exploit-Aktivitäten haben die Forscher von Unit 42 eine Vielzahl von Nutzlasten beobachtet, darunter die Lieferung einer neuen Version des Muhstik-Botnets, eine neue Ransomware-Variante namens Sodinokibi und den Einsatz von Cryptominern in anfälligen Systemen. 

Bei einem Exploit-Versuch wurde ein bekanntes PowerShell-Downloader-Skript verwendet, um den kompromittierten Host zu nutzen, eine Kryptowährung für die Angreifer zu schürfen. Das Skript lud zunächst XMRig, einen Open-Source-Miner für Monero, von einer angreifergesteuerten Domain herunter. Anschließend wurden alle legitimen Oracle-Aktualisierungsdienste beendet, die die WebLogic-Schwachstelle patchen würden. Die Persistenz wurde hergestellt, indem sich die Malware selbst kopierte und eine geplante Aufgabe erstellte, die sich als Oracle-Aktualisierungsdienst ausgab.

Das Skript beendete dann eine Vielzahl von Prozessen, die auf dem Host ausgeführt werden können. Zu den Aufgaben, die beendet wurden, zählten Antivirendienste, um die Wahrscheinlichkeit einer Erkennung zu verringern, andere Cryptominer und die Persistenzmethoden anderer Malware.
7.05.2019/jm

Tipps & Tools

Mehr Privatsphäre auf dem Smartphone [2.05.2019]

In vielen Unternehmen werden mobile Geräte für den Arbeitseinsatz seit Bring Your Own Device nicht mehr sonderlich streng von der Außenwelt abgeschirmt. Dadurch können jedoch Sicherheitsprobleme entstehen. Als zusätzliche Maßnahme lohnt sich ein Blick auf das Tool 'Exodus Privacy' für Android. Dadurch lässt sich herausfinden, welche Schnüffel-Module im Hintergrund laufen. [mehr]

Vorschau Mai 2019: IT-Sicherheitsmanagement [22.04.2019]

Besonders in kleineren Firmen ohne eigenes IT-Sicherheitsteam fällt es Administratoren schwer, mit zunehmend gehäuften und raffinierten Angriffen umzugehen. In der Mai-Ausgabe beleuchtet IT-Administrator deshalb das Thema 'IT-Sicherheitsmanagement'. So lesen Sie, welche Sicherheitsfunktionen Windows Server sowie Exchange Server 2019 mitbringen. Außerdem erfahren Sie, wie Sie Ihre Azure-Umgebung absichern und Linux-Systeme härten. Unser Workshop zu 'Infection Monkey' lässt Sie ferner in die Rolle eines Angreifers schlüpfen, um das eigene Netzwerk auf Schwachstellen zu testen. [mehr]

AWS-Account absichern [21.04.2019]

Fachartikel

Netzwerksicherheit und der Faktor Mensch [22.05.2019]

Im stressigen Arbeitsalltag haben Mitarbeiter oft nur wenig Zeit, sich um Sicherheitsfragen zu kümmern. Gleichzeitig finden Cyberkriminelle immer neue Methoden, um an ihre Zugangsdaten zu gelangen. Der Artikel erklärt, warum IT-Administratoren deswegen gut daran tun, das Nutzerverhalten in ihre Überlegungen einzubeziehen. Zum Glück gibt es einige Maßnahmen, mit denen Admins den Nutzer schützen können, ohne dabei den Aufwand merklich zu erhöhen. [mehr]

Buchbesprechung

IT-Sicherheit

von Prof. Dr. Claudia Eckert

Anzeigen