400.000 Server mit Malware infiziert

Der IT-Sicherheitshersteller ESET hat einen neuen Forschungsbericht veröffentlicht, der das schädliche Treiben der Hacker-Gruppe „Ebury“ enthüllt. Sie infizierte mit ihrer Malware mehr als 400.000 Linux-, FreeBSD- und OpenBSD-Server im Laufe der vergangenen 15 Jahre. Allein in den vergangenen 18 Monaten kamen 100.000 neue hinzu. In vielen Fällen konnten die Ebury-Betreiber vollen Zugriff auf große Server von Internetprovidern und bekannten Hosting-Anbietern erlangen.

Die Cyberkriminellen betreiben somit eine der fortschrittlichsten serverseitigen Malware-Kampagnen, die immer noch im Gange ist und wächst. Zu den Aktivitäten der Ebury-Gruppe und ihres Botnets gehörten im Laufe der Jahre die Verbreitung von Spam, Umleitungen von Web-Traffic und der Diebstahl von Anmeldedaten. In den letzten Jahren sind die Hacker darüber hinaus auch in Kreditkarten- und Krypto-Währungsdiebstähle eingestiegen.

Ebury ist vielseitig einsetzbar

Seit mindestens 2009 dient Ebury als OpenSSH-Hintertür und zum Diebstahl von Anmeldedaten. Sie wird verwendet, um zusätzliche Malware zu installieren, um das Botnet zu monetarisieren (z. B. Module für die Umleitung des Web-Traffics), den Datenverkehr für Spam zu projizieren, Adversary-in-the-Middle-Angriffe (AitM) durchzuführen und unterstützende bösartige Infrastruktur zu hosten. Bei AitM-Angriffen hat ESET zwischen Februar 2022 und Mai 2023 über 200 Ziele in mehr als 75 Netzwerken in 34 verschiedenen Ländern identifiziert.

Die Betreiber haben das Ebury-Botnet verwendet, um Kryptowährungs-Wallets, Anmeldedaten und Kreditkartendetails zu stehlen. ESET hat neue Malware-Familien aufgedeckt, die von der Bande zu finanziellen Zwecken entwickelt und eingesetzt wurden, darunter Apache-Module und ein Kernel-Modul zur Umleitung des Webverkehrs. Die Ebury-Gruppe nutzt auch Zero-Day-Schwachstellen in der Administratorensoftware aus, um Server massenhaft zu kompromittieren.

Namhafte Opfer weltweit

Zu den Opfern gehören Universitäten, kleine und große Unternehmen, Internetprovider, Krypto-Händler, Tor-Exit-Nodes, Shared-Hosting-Anbieter und Dedicated-Server-Provider. Ende 2019 wurde die Infrastruktur eines großen und populären US-basierten Domain-Registrars und Web-Hosting-Anbieters kompromittiert. Insgesamt wurden etwa 2.500 physische und 60.000 virtuelle Server von den Angreifern kompromittiert. Ein sehr großer Teil, wenn nicht alle dieser Server, wird zwischen mehreren Nutzern für die Websites von mehr als 1,5 Millionen Konten gemeinsam genutzt. Bei einem anderen Vorfall wurden insgesamt 70.000 Server dieses Hosting-Anbieters 2023 durch Ebury kompromittiert. Auch Kernel.org, der Host für den Quellcode des Linux-Kernels, war ein Opfer.

„Ebury stellt eine ernsthafte Bedrohung und eine Herausforderung für die Linux-Community dar. Es gibt keine einfache Lösung, die Ebury unwirksam machen würde. Aber eine Handvoll Abhilfemaßnahmen können angewandt werden, um die Verbreitung und die Auswirkungen zu minimieren. Man muss sich darüber im Klaren sein, dass es nicht nur Organisationen oder Einzelpersonen trifft, die sich weniger um die Sicherheit kümmern. Viele technisch versierte Personen und große Organisationen stehen auf der Liste der Opfer“, schließt Léveillé.

Eine ausführliche Analyse kann hier heruntergeladen werden:

Bild: Dee / Pixabay