Eine neue Untersuchung von Cybersicherheitsforschern bei ESET hat ein massives Botnetz aus über 400.000 kompromittierten Linux-Servern aufgedeckt, das für den Diebstahl von Kryptowährungen und andere illegale finanzielle Gewinne genutzt wird. Das Botnetz, das von der Bedrohungsgruppe hinter der Ebury-Malware betrieben wird, ist mindestens seit 2009 aktiv, hat sich jedoch in den letzten zehn Jahren erheblich weiterentwickelt. Die Ebury-Bande setzt verschiedene Techniken ein, um die Malware zu verbreiten und ihr Botnetz zu erweitern: - Kompromittierte Hosting-Anbieter: Nutzung des Zugangs zur Infrastruktur von Hosting-Unternehmen, um Ebury auf allen gehosteten Servern zu installieren - ARP-Spoofing-Angriffe: Abfangen und Umleiten von SSH-Verkehr innerhalb von Rechenzentren, um Anmeldedaten zu erfassen - Über 200 Bitcoin/Ethereum-Nodes als Ziel: Automatisches Stehlen von Kryptowallets, wenn Opfer sich einloggen Wie unten dargestellt, hat das Botnetz ein explosives Wachstum erlebt, mit immer noch über 100.000 infizierten Servern Ende 2023.
Zusätzlich zu traditionellem Spam und Traffic-Weiterleitungen enthüllt der Bericht von ESET neue Malware-Familien, die verwendet werden, um das Botnetz zu monetarisieren, darunter: - Diebstahl von Finanzdaten von Transaktions-Websites - Cryptojacking zur Kryptowährungsmine auf infizierten Systemen Die Ebury-Malware-Familie wurde ebenfalls verbessert. Das letzte große Versionsupdate, 1.8, wurde Ende 2023 veröffentlicht. Es wurden viele Änderungen vorgenommen, darunter neue Möglichkeiten zur Verdeckung von Informationen, ein neuer Domain-Generierungsalgorithmus (DGA) und bessere Userland-Rootkits, die Ebury verwendet, um sich vor Systemadministratoren zu verstecken. ESET hat Indikatoren für Kompromittierung und ein Erkennungsskript veröffentlicht, um Organisationen zu helfen festzustellen, ob sie betroffen sind.
Da dieses mächtige Botnetz weiter expandiert, ist es entscheidend, gepatchte Systeme und robuste Zugriffsberechtigungsrichtlinien aufrechtzuerhalten, um Kompromittierungen zu verhindern. Die Cybersicherheits-Community muss auch gegen die sich entwickelnde Bedrohung durch Ebury wachsam bleiben.
