- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Miner für Kryptowährungen


Obwohl Krypto-Miner für vertrauliche Daten weniger ein Risiko sind, bringen sie doch eine ganze Reihe anderer Probleme mit sich
Neben dem Ausschalten bekannter Malware könnten die Angreifer alerdings auch versuchen Sicherheitslösungen abzuschalten

- Anzeigen -





Sicherheitsforscher haben erstmals einen Miner für Kryptowährungen entdeckt, der eine "Kill List"-Funktion enthält. Sie stoppt laufende Prozesse anderer Coinminer und versucht so die Rechenleistung zur Transaktionsverarbeitung eines infizierten Computers komplett für sich in Beschlag zu nehmen. Also quasi rivalisierende Miner auszuschalten.

Xavier Mertens, Sicherheitsforscher beim ICS Sans, hält diesen Coinminer an sich aber für nichts Ungewöhnliches, sondern für eine der vielen neuen Malware-Varianten, die sich auf das Mining von Kryptowährungen spezialisiert haben und insbesondere seit Beginn dieses Jahres auftauchen. Seit Anfang 2018 hat sich die Cyberkrimininalität ganz offensichtlich von Ransomware verstärkt auf die Verteilung von Coinminern verlagert.

Weitere Informationen finden Sie unter anderem hier:

https://isc.sans.edu/forums/diary/The+Crypto+Miners+Fight+For+CPU+Cycles/23407/

Dazu ein Kommentar von Marta Janus, Senior Threat Researcher bei Cylance:
"Die meisten der derzeitigen Cyberbedrohungen konzentrieren sich auf Interaktionen mit den Daten eines Opfers. So werden entweder Daten und Anmeldeinformationen gestohlen oder die Dateien der Betroffenen verschlüsselt. Kryptomining-Malware funktioniert anders und wurde entwickelt um eine andere Art von Ressource zu missbrauchen, die physische.

Das Mining von Kryptowährungen verbraucht enorme Rechnerleistungen. Damit sich das Ganze für Cyberkriminelle auch tatsächlich lohnt müssen sie soviel CPU-Leistung wie nur irgend möglich nutzen. Gerade in jüngster Zeit konnten wir vermehrt Mining-Trojaner beobachten. Deshalb ist es für mich nicht überraschend, dass ein Angreifer mögliche Rivalen aus dem Feld schlagen will. Sprich, versucht, die Konkurrenz auf einem erfolgreich kompromittierten Rechner zu eliminieren.

Neben dem Ausschalten bekannter Malware könnten die Angreifer allerdings auch versuchen Sicherheitslösungen abzuschalten. Glücklicherweise verfügen die meisten der aktuellen Anti-Malware Software-Lösungen über einen Selbstschutzmechanismus. Dieser verhindert, dass Sicherheitsprozesse über ein simples PowerShell-Kommando angehalten und entfernt werden können.

Obwohl Krypto-Miner für vertrauliche Daten weniger ein Risiko sind, bringen sie doch eine ganze Reihe anderer Probleme mit sich. Zum Beispiel verlangsamen sich die Rechnerprozesse oder komplette Workflows werden abgebrochen oder unterbrochen. Daher ist es immens wichtig die Infektion zu beseitigen sobald man von ihr weiß. Miner sind üblicherweise leicht zu identifizieren, denn die ihnen zugrunde liegenden Prozesse verbrauchen normalerweise am meisten Leistung wenn ein Computer im Ruhemodus ist.

Manchmal reicht es nicht aus einen Prozess zu beenden und den ausführbaren Code zu entfernen, um das Wiederauftauchen der Malware zu verhindern.

In solchen Fällen ist es das Beste die infizierte Maschine neu abzubilden oder den Status vor der Infektion wiederherzustellen.

Eine der jüngsten Errungenschaften bei dieser Art von Malware sind JavaScript Miner. Sie werden nicht auf dem Rechner selbst installiert sondern arbeiten über den betreffenden Browser während der Benutzer eine infizierte Webseite besucht. Es ist also nach wie vor keine schlechte Idee JavaScript standardmäßig zu deaktivieren und nur für definitiv vertrauenswürdige Seiten zuzulassen. Dazu gibt es eine Vielzahl von Tools, die die CPU-Auslastung überwachen und so helfen potenzielle Miner-Infektionen aufzudecken."
(Cylance: ra)

eingetragen: 25.04.18
Newsletterlauf: 25.05.18

Cylance: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Heartbleed lebt & wird von Kriminellen ausgenutzt

    Heartbleed ist ein schwerwiegender Bug in OpenSSL, der bereits im Jahr 2014 entdeckt wurde und es Unbefugten und Kriminellen erlaubt, scheinbar sichere und verschlüsselte TLS-Verbindungen auszuspionieren und private Daten von Clients und Servern zu lesen. Der Global Threat Index für August 2018 von Check Point zeigt, dass der Fehler noch vier Jahre nach seiner Entdeckung zu einer der Schwachstellen zählt, die am häufigsten ausgenutzt werden. Kevin Bocek, VP Security Strategy and Threat Intelligence bei Venafi, erklärt dazu: "Heartbleed lebt und wird von Kriminellen ausgenutzt. Check Point erkennt, dass die zweithäufigste ausgenutzte Schwachstelle im August 2018 Heartbleed war (CVE-2014-0160; CVE-2014-0346). Dies ist ein Weckruf, dass der oft scheiternde Korrekturschritt, die Ersetzung aller Maschinenidentitäten wie TLS-Schlüssel und Zertifikate, noch ausgeführt werden muss."

  • Stehlen von Konto- und Kreditkartendaten

    Bei "Panda Banker" handelt es sich um einen Bankentrojaner, der sich den Source Code des bekannten Zeus-Trojaners zunutze macht. Der tauchte erstmals bereits 2016 auf, ist aber nach wie vor aktiv. Gerade in jüngster Zeit wurden zahllose Updates veröffentlicht. Panda Banker injiziert auf der Webseite des Opfers bösartigen Skript-Code und nutzt dabei "Man-in-the Browser"-Techniken. Der "Man-in-the-Browser"-Angriff ist eine Sonderform der "Man-in-the Middle"-Attacke". Bei einem MiTB-Angriff infiziert ein Trojaner den Browser des Nutzers.

  • Kamera des Smartphones kann übernommen werden

    Smartphone-Nutzer des Android-Betriebssystem sollten die Tage vorsichtig sein: Eine neue Malware für mobile Telefone ist im Umlauf und liest die Nachrichten und Kontakte der betroffenen Nutzer aus. Die Schadsoftware "Android.Trojan-Spy.Buhsam.A" für Android-Smartphones kann die Whatsapp-Historie der Nutzer ausspionieren, Kontakte auslesen und die Kamera des Smartphones übernehmen. Erstmals entdeckt wurde die Malware von dem Sicherheitsforscher Lukas Stefanko. G Data Analysten haben die Schadsoftware genauer analysiert. G Data Mobile Internet Security erkennt die Bedrohung unter dem Namen Android.Trojan-Spy.Buhsam.A. Nach Ansicht der G Data-Sicherheitsforscher ist die Malware derzeit entweder noch in der Entwicklungsphase oder schlecht programmiert. Denn nachdem die entsprechenden Dienste gestartet werden, erhalten Nutzer eine Benachrichtigung mit dem Inhalt "Service Started". Kriminelle versuchen normalerweise, so versteckt wie möglich zu agieren, um Ihre Spuren zu verwischen. Immer wieder gelangt noch in Entwicklung befindliche Malware versehentlich in den Umlauf, etwa weil die Autoren auf Seiten wie Virustotal überprüfen, ob ihre Schadsoftware von Virenscannern erkannt wird. Trotzdem hat die Malware einige besondere Funktionen.

  • Hide and Seek Botnet hat viele Geräten infiziert

    Hide and Seek, ein neues IoT-Botnet, das Anfang Januar vom Bitdefender Honeypot-System entdeckt wurde, hat schnell Bekanntheit erlangt. Innerhalb weniger Tage hat es über 90.000 Geräte in einem großen Botnet gesammelt. Während die erste Variante Brute-Force-Angriffe über den Telnet-Dienst durchführte, um sich in Geräte zu booten, wurden später durch weitere Updates neue Command Injection Exploits in der Webschnittstelle eines Geräts ausgelöst, die die Möglichkeiten des Botnets auf IPTV-Kameras erweiterten. Nun wurden neue Tricks bei Hide and Seek entdeckt: Indem die Android-Debug-Bridge-(ADB)-over-Wi-Fi-Schnittstelle in Android-Geräten genutzt wird, die Entwickler normalerweise zur Fehlerbehebung verwenden, erhält das Botnet neue Zugriffsmöglichkeiten. Obwohl diese Funktion eigentlich standardmäßig deaktiviert ist, werden einige Android-Geräte mit aktiviertem Gerät ausgeliefert. So werden Benutzer praktisch über die ADB-Schnittstelle, die über den TCP-Port 5555 zugänglich ist, einer Remote-Verbindung ausgesetzt. Jede Remote-Verbindung zum Gerät wird nicht authentifiziert und ermöglicht den Shell-Zugriff, so dass Angreifer praktisch jede Aufgabe im Administratormodus ausführen können.

  • UEFI-Rootkits extrem gefährliche Werkzeuge

    Eset-Forscher haben einen Cyberangriff entdeckt, bei dem erstmals ein sogenanntes UEFI-Rootkit erfolgreich eingesetzt wurde. Die von Eset Lojax getaufte Malware nutzt eine Schwachstelle in der UEFI des Mainboards aus und nistete sich in dessen Speicher ein. Dies ist extrem gefährlich, denn Lojax übernimmt von dort die Kontrolle des gesamten Rechners und kann nicht ohne weiteres gelöscht werden. Klassische Gegenmittel wie Virenprogramme oder gar der Festplattentausch sind wirkungslos. Als Drahtzieher der Kampagne wird die Sednit-Gruppe (auch APT28 oder FancyBear genannt) vermutet, die durch ihre Angriffe auf hochrangige Regierungsziele auf sich aufmerksam gemacht hat. Eset besitzt eine Schutzfunktion in ihren Antivirenlösungen vor dieser neuartigen Malware-Form.