{"id":199799,"date":"2018-01-16T07:13:49","date_gmt":"2018-01-16T06:13:49","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=199799"},"modified":"2023-12-04T23:50:26","modified_gmt":"2023-12-04T22:50:26","slug":"linux-windows-server-ziel-von-rubyminer-malware","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/01\/16\/linux-windows-server-ziel-von-rubyminer-malware\/","title":{"rendered":"Linux &amp; Windows Server Ziel von RubyMiner Malware"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" align=\"left\" height=\"47\"\/>Noch eine Info f\u00fcr Administratoren von Linux und Windows Servern. Diese sind wohl Ziel einer aktuellen Malware-Kampagne, bei der die RubyMiner Malware installiert werden soll. <\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/162bca1925014b0cad40b2bff9fcc442\" width=\"1\" height=\"1\"\/>Sicherheitsforscher <a href=\"https:\/\/twitter.com\/stefant\" target=\"_blank\" rel=\"noopener\">Stefan Tanase<\/a> von Ixia hat Bleeping Computer gerade \u00fcber den Fall <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/linux-and-windows-servers-targeted-with-rubyminer-malware\/\" target=\"_blank\" rel=\"noopener\">informiert<\/a>. Cyber-Kriminelle, die der Gruppe der RubyMiner zugerechnet werden, verwenden ein Webserver-Fingerprinting-Tool namens <a href=\"https:\/\/en.wikipedia.org\/wiki\/P0f\" target=\"_blank\" rel=\"noopener\">p0f<\/a> verwendet, um Linux- und Windows-Server auf veraltete Software zu scannen und zu identifizieren.<\/p>\n<p>Werden ungepatchte Server identifiziert, setzen Angreifer bekannte Exploits ein, um auf die betreffenden Server mit dem RubyMiner zu infizieren. Die Sicherheitsfirmen Check Point und Ixia haben folgende Exploits in der j\u00fcngsten Angriffswelle gefunden:<\/p>\n<ul>\n<li>Ruby on Rails XML Processor YAML Deserialization Code Execution (<a href=\"http:\/\/cve.mitre.org\/cgi-bin\/cvename.cgi?name=CVE-2013-0156\" target=\"_blank\" rel=\"noopener\">CVE-2013-0156<\/a>)  <\/li>\n<li>PHP php-cgi Query String Parameter Code Execution (CVE-2012-1823; CVE-2012-2311; CVE-2012-2335; CVE-2012-2336; CVE-2013-4878); siehe <a href=\"https:\/\/web.archive.org\/web\/20190405121712\/https:\/\/www.checkpoint.com\/defense\/advisories\/public\/2012\/cpai-2012-233.html\" target=\"_blank\" rel=\"noopener\">hier<\/a>, <a href=\"https:\/\/web.archive.org\/web\/20230529155855\/https:\/\/forums.cpanel.net\/threads\/new-remote-exploit-suhosin.370722\/\" target=\"_blank\" rel=\"noopener\">hier<\/a>, <a href=\"https:\/\/web.archive.org\/web\/20230604173645\/https:\/\/forums.cpanel.net\/threads\/wget-abuse-hack.340232\/\" target=\"_blank\" rel=\"noopener\">hier<\/a> und <a href=\"https:\/\/blog.trendmicro.com\/trendlabs-security-intelligence\/plesk-zero-day-exploit-results-in-compromised-webserver\/\" target=\"_blank\" rel=\"noopener\">hier<\/a>.  <\/li>\n<li>Microsoft IIS ASP Scripts Source Code Disclosure (CVE-2005-2678)<\/li>\n<\/ul>\n<p>Aus den Exploits ist ersichtlich, dass sowohl Server mit Windows als auch mit Linux im Fokus stehen. Check Point gelang es, die Linux-Angreifer auf Honeypot-Servern zu beobachten. <\/p>\n<ul>\n<li>Der Exploit Code enth\u00e4lt eine Folge von Shell-Befehlen, die zuerst alle cron-Jobs killen und dann einen neuen, st\u00fcndlich laufenden cron-Auftrag anlegen.  <\/li>\n<li>Der neue cron Job l\u00e4dt ein Script aus dem Internet. Dieses ist in robots.txt-Dateien auf verschiedenen Domains versteckt.  <\/li>\n<li>Das Script l\u00e4dt dann eine modifizierte Version des XMRig Monero-Miners und installiert diese. <\/li>\n<\/ul>\n<p>Die Sicherheitsanbieter von CheckPoint schreiben <a href=\"https:\/\/web.archive.org\/web\/20190925064945\/https:\/\/research.checkpoint.com\/rubyminer-cryptominer-affects-30-ww-networks\/\" target=\"_blank\" rel=\"noopener\">hier<\/a> am 11. Januar, dass 30 % der Webserver weltweit Angriffsversuche erlebt haben. Zu den wichtigsten Ziell\u00e4ndern geh\u00f6ren die Vereinigten Staaten, Deutschland, Gro\u00dfbritannien, Norwegen und Schweden, obwohl kein Land unversehrt geblieben ist. Bis zum Zeitpunkt der Ver\u00f6ffentlichung wurden weltweit ca. 700 Server erfolgreich mit dem Miner infiziert. Der Angreifer konnte am ersten Tag nur 540 Dollar sch\u00fcrfen (wobei er die 5% Donation f\u00fcr den Autor des legitimen XMRig-Miners im Code wohl auch entfernt hat). Weitere Details sind in <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/linux-and-windows-servers-targeted-with-rubyminer-malware\/\" target=\"_blank\" rel=\"noopener\">diesem Beitrag bei Bleeping Computer<\/a> sowie im <a href=\"https:\/\/web.archive.org\/web\/20190925064945\/https:\/\/research.checkpoint.com\/rubyminer-cryptominer-affects-30-ww-networks\/\" target=\"_blank\" rel=\"noopener\">CheckPoint-Blog-Beitrag<\/a> nachlesbar. <\/p>\n","protected":false},"excerpt":{"rendered":"<p>Noch eine Info f\u00fcr Administratoren von Linux und Windows Servern. Diese sind wohl Ziel einer aktuellen Malware-Kampagne, bei der die RubyMiner Malware installiert werden soll.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[95,426,2557],"tags":[4305,1018,4328,4364],"class_list":["post-199799","post","type-post","status-publish","format-standard","hentry","category-linux","category-sicherheit","category-windows-server","tag-linux","tag-malware","tag-sicherheit","tag-windows-server"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199799","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=199799"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/199799\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=199799"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=199799"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=199799"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}