- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Die Rückkehr der PBot-Malware


Angriffe auf Webanwendungen- und DDOS-Angriffe haben wieder zugenommen
Domain Generation Algorithms − Der Zusammenhang zwischen Mirai-C2 und Angriffszielen

- Anzeigen -





Angriffe auf Webanwendungen und DDoS-Attacken (Distributed Denial of Service) sind wieder auf dem Vormarsch. Das zeigen die neu veröffentlichten Daten im "State of the Internet"-Sicherheitsbericht für das 2. Quartal 2017 von Akamai Technologies, Inc. Konkret konnten die Experten von Akamai das erneute Auftreten der PBot-DDoS-Malware nachweisen. Diese Schadsoftware verursachte die größte DDoS-Attacke im vergangenen 2. Quartal.

Im Fall von PBot nutzten Cyberkriminelle einen Jahrzehnte alten PHP-Code, um den größten von Akamai gemessenen DDoS-Angriff des 2. Quartals 2017 zu erzielen. Den Angreifern gelang es dabei, ein kleines DDoS-Botnet zu erstellen, das einen DDoS-Angriff mit 75 Gigabit pro Sekunde (Gbit/s) durchführte. Obwohl das PBot-Botnet mit 400 Nodes relativ klein war, konnte es dennoch eine erhebliche Menge an Angriffs-Traffic generieren.

Bedrohung durch Domain Generation Algorithms
Eine weitere altbekannte Bedrohung ergab sich aus der Analyse des Enterprise Threat Research Teams von Akamai. Dieses untersuchte die Nutzung von Domain Generation Algorithms (DGA) in Command-and-Control-Malware-Infrastrukturen (C2). DGA trat zum ersten Mal 2008 im Zusammenhang mit dem Conficker-Wurm in Erscheinung und wird seit jeher häufig als Kommunikationstechnik für moderne Malwarebedrohungen verwendet.

Das Team fand heraus, dass infizierte Netzwerke 15 Mal höhere DNS-Abfrageraten als saubere Netzwerke generieren. Diese lassen sich durch die Abfrage der von der Malware zufällig generierten Domänen in den infizierten Netzwerken erklären. Da die meisten generierten Domänen nicht registriert waren, wurden durch die Abfrage aller Domänen eine Vielzahl von Ressourcen aufgewendet. Die Analyse von Verhaltensunterschieden zwischen infizierten und sauberen Netzwerken ist eine wichtige Methode, um Malwareaktivitäten zu erkennen.

Mirai trägt zur Kommerzialisierung von DDoS bei
Als das Mirai-Botnet im September des vergangenen Jahres entdeckt wurde, war Akamai eines der ersten Ziele. Die Unternehmensplattform war kontinuierlichen Angriffen des Mirai-Botnets ausgesetzt, konnte diese jedoch erfolgreich abwehren. Das Forschungsteam von Akamai hat sich die einzigartigen Einblicke in Mirai zunutze gemacht, um die verschiedenen Aspekte des Botnets zu studieren. Der Fokus im 2. Quartal lag dabei auf der C2-Infrastruktur.

Die Forschungsergebnisse von Akamai deuten stark darauf hin, dass Mirai, ebenso wie andere Botnets, nun zur Kommerzialisierung von DDoS beitragen. Während viele C2-Nodes dedizierte Angriffe gegen ausgewählte IPs durchführten, führten sogar noch mehr sogenannte "Pay-for-Play"-Attacken durch. Dabei griffen die C2-Nodes von Mirai IPs kurzzeitig an, wurden inaktiv und tauchten anschließend wieder auf, um andere Ziele zu attackieren.

"Angreifer suchen stets nach Schwachstellen in der Abwehr von Unternehmen. Je verbreiteter und effektiver die Schwachstelle, desto mehr Energie und Ressourcen investieren die Hacker darin", sagt Martin McKeay, Senior Security Advocate bei Akamai. "Ereignisse, wie das Mirai-Botnet, die Exploits von WannaCry und Petya, die stetige Zunahme von SQLi-Angriffen und die Rückkehr von PBot zeigen uns, dass Angreifer nicht immer nur neue Methoden ausprobieren, sondern auch gerne auf Altbewährtes zurückgreifen."

Das 2. Quartal 2017 in Zahlen:

>> Die Zahl der DDoS-Angriffe im 2. Quartal 2017
haben im Vergleich zum ersten Quartal um 28 Prozent zugenommen, nachdem die Zahlen über drei Quartale hinweg rückläufig waren.

>> Die DDoS-Attacken sind hartnäckiger als je zuvor. Durchschnittlich griffen sie Ziele 32 Mal im gesamten Quartal an. Ein Gaming-Unternehmen wurde allein 558 Mal angegriffen. Das entspricht durchschnittlich sechs Attacken pro Tag.

>> Mit einem globalen Gesamtanteil von 32 Prozent war Ägypten das Ursprungsland mit der höchsten Anzahl an eindeutigen IP-Adressen, die in häufigen DDoS-Angriffen verwendet wurden. Im letzten Quartal standen noch die USA an der Spitze und Ägypten war nicht einmal unter den Top 5 zu finden.

>> In diesem Quartal wurden weniger Geräte zur Durchführung von DDoS-Angriffen verwendet. Die Anzahl der in volumetrischen DDoS-Angriffen verwendeten IP-Adressen fiel von 595.000 um 98 Prozent auf 11.000.

>> Angriffe auf Webanwendungen nahmen im Quartalsvergleich um fünf Prozent und im Jahresvergleich um 28 Prozent zu.

>> Mehr als die Hälfte der Angriffe über Webanwendungen wurde im vergangenen Quartal mittels SQLi-Attacken getätigt. Zuvor waren es noch 44 Prozent. Das entspricht etwa 185 Millionen Warnungen im 2. Quartal.

Methodik
Der "State of the Internet"-Sicherheitsbericht für das 2. Quartal 2017 kombiniert Angriffsdaten aus der globalen Infrastruktur von Akamai und spiegelt die Forschung verschiedenster Teams im gesamten Unternehmen wider. Darüber hinaus bietet der Bericht Analysen zur aktuellen Cloudsicherheit und Bedrohungslandschaft sowie Einblicke zu Angriffstrends basierend auf den Daten der Akamai Intelligent Platform. Die am "State of the Internet"-Sicherheitsbericht beteiligten Personen sind Sicherheitsexperten aus den verschiedensten Abteilungen von Akamai. Hierzu zählen u. a. das Intelligence Response Team (SIRT), die Threat Research Unit sowie die Bereiche Information Security und Custom Analytics.
(Akamai Technologies: ra)

eingetragen: 04.10.17
Home & Newsletterlauf: 26.10.17


Akamai: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Erfolgreiche Methoden in neuem Gewand

    Forscher von Eset haben sich eine aktuelle Malware-Kampagne der asiatischen Hacker-Gruppe OceanLotus genauer angesehen. Diese Gruppe ist auch unter den Namen APT32 oder APT C-00 bekannt und greift vor allem Ziele in Ostasien an. Laut den Forschungsergebnissen nutzen die Cyberkriminellen zwar weitgehend die gleichen bekannten Prozesse wie bei vorherigen Angriffe, aber eine neue Backdoor. Ein White Paper von Eset zeigt die verschiedenen Methoden für drei Ziele auf: Nutzer zur Ausführung der Backdoor verleiten, die Malware-Analyse verzögern und Entdeckung verhindern.

  • Cyberattacke auf unvorsichtige Nutzer

    Barracuda Networks hat eine neue Form einer Cyberattacke auf unvorsichtige Nutzer identifiziert, die von Kriminellen genutzt werden kann, um Ransomware oder andere Malware zu verbreiten. Die Angreifer nutzen eine für die Nutzer unbekannte Dateiendung innerhalb eines Links, um den bereits bekannten Trojaner Quant Loader zu starten, der in der in der Lage ist, Ransomware zu verbreiten und Passwörter abzugreifen. Die Angriffstechnik über Links in E-Mails ist zwar nicht neu, neu bei dieser Variante ist, dass der URL nicht "http://" vorangestellt ist, sondern "file://", was sie mit Samba verknüpft anstatt eines Webbrowsers.

  • Ziel, sensible Daten stehlen

    Die Experten von Kaspersky Lab haben Teile der Infrastruktur der bekannten russischsprachigen APT-Gruppe "Crouching Yeti" - auch bekannt als Energetic Bear - aufgedeckt, darunter kompromittierte Server auf der ganzen Welt. Laut den Cybersicherheitsexperten waren seit dem Jahr 2016 zahlreiche Server in verschiedenen Ländern betroffen, auch um auf andere Ressourcen Zugriff zu erhalten. Weitere Server, einschließlich derjenigen, die russische Websites hosten, wurden für Wasserloch-Attacken genutzt. Kaspersky Lab hat im Vorfeld der Hannover Messe Industrie, die vom 23. bis zum 27. April 2018 stattfindet, bereits für die zweite Jahreshälfte 2017 überwiegend viele Cyberattacken gegen Organisationen aus den Branchen Energie sowie Maschinenbau und ICS-Integration gemeldet.

  • Miner für Kryptowährungen

    Sicherheitsforscher haben erstmals einen Miner für Kryptowährungen entdeckt, der eine "Kill List"-Funktion enthält. Sie stoppt laufende Prozesse anderer Coinminer und versucht so die Rechenleistung zur Transaktionsverarbeitung eines infizierten Computers komplett für sich in Beschlag zu nehmen. Also quasi rivalisierende Miner auszuschalten. Xavier Mertens, Sicherheitsforscher beim ICS Sans, hält diesen Coinminer an sich aber für nichts Ungewöhnliches, sondern für eine der vielen neuen Malware-Varianten, die sich auf das Mining von Kryptowährungen spezialisiert haben und insbesondere seit Beginn dieses Jahres auftauchen. Seit Anfang 2018 hat sich die Cyberkrimininalität ganz offensichtlich von Ransomware verstärkt auf die Verteilung von Coinminern verlagert.

  • Die Schadsoftware ist in Skins enthalten

    Eine 30-Tage-Datenanalyse von Avast ergab, dass nahezu 50.000 Minecraft-Accounts mit Malware infiziert wurden. Die Schadsoftware kann Festplatten neu formatieren und Backups und Systemprogramme löschen. Das verseuchte Powershell-Script, das die Sicherheitsexperten des Avast Threat Labs entdeckt haben, wird mit Hilfe der Minecraft "Skins" in Form von PNG-Dateien verbreitet. Diese Skins sind beliebte Features, um das Aussehen eines Minecraft Avatars zu verändern. Sie können von diversen Online-Quellen auf die Minecraft-Website hochgeladen werden und stehen dann für die Spieler zum Download bereit.