Gross angelegte Kampagne
02.04.2020, 15:42 Uhr
Hacker installieren Backdoor auf Microsoft-SQL-Servern
Forscher haben eine gross angelegte Schadcode-Kampagne entdeckt, die es auf Microsoft-SQL-Server abgesehen hat. Mittels Brute-Force-Attacken verschaffen sich die Hacker zugriff auf die Systeme, bauen Backdoor sein, installieren Malware, schürfen Kryptocoins und mehr.
(Quelle: enzozo / shutterstock.com)
Tausende Microsoft-SQL-Server sind in Gefahr. Wie die Forscher von Guardicore Labs schreiben, würden Hacker Backdoors, Malware und andere Schädlinge auf den Systemen installieren.
Um Zugriff zu erlangen, nutzen die Angreifer den Angaben zufolge vor allem Brute-Force-Attacken. So sei es den Kriminellen gelungen, in den vergangenen Wochen täglich fast 2.000 bis 3.000 Server erfolgreich zu infizieren. Die Opfer stammen dabei aus den verschiedensten Bereichen wie dem Gesundheitswesen, der Luftfahrt sowie der IT und Telekommunikation.
Gelingt ein Angriff, platzieren die Hacker Backdoors, führen Dutzende schädliche Module wie multifunktionale RATs (Remote Access Tools) aus und mehr. Ausserdem würden die Angreifer die infiltrierten Systeme zum Minen der Kryptowährung Vollar verwenden.
Laut den Forschern reichen die ersten Vorfälle bis Mai 2018 zurück. Seinerzeit habe Guardicore einen entsprechenden Angriff auf ein Netzwerk von Honeypots registriert. Seit Dezember 2019 sei die Anzahl der Attacken (auch ausserhalb geschützter Honeypot-Umgebungen) extrem gestiegen, so die Experten.
Für ihre kriminellen Machenschaften nutzen die Hacker den Angaben zufolge verschiedene IP-Adressen, die vorwiegend auch China stammen. Die Forscher gehen davon aus, dass es sich hierbei um kompromittierte IoT-Geräte handelt. Die IP-Adressen werden dazu verwendet, neue potenzielle Opfer ausfindig zu machen.
Infektionsdauer von bis zu zwei Wochen
Die Infektionsdauer der betroffenen Server dauert laut Guardicore meist länger als eine Woche in einigen Fällen sogar zwei Wochen. Daran sei zu erkennen, wie schwierig es offenbar ist, geeignete Schutzmassnahmen gegen die Angriffe zu starten. Auffällig sei zudem, dass bereits von der Malware bereinigte Geräte teils erneut erfolgreich angegriffen wurden (bei etwa 10 Prozent der Systeme wurde eine Reinfektion entdeckt).
Um einem Angriff generell vorzubeugen, raten die Experten, die Server gar nicht erst mit dem Internet zu verbinden. Stattdessen sollte eine Segmentierungs- und Whitelist-Zugriffsrichtlinie für ausgewählte Geräte verwendet werden. Ausserdem sollte regelmässig überprüft werden, wie sicher die Anmeldeinformationen sind und ein möglichst sicheres Passwort und dergleichen verwendet werden.
