{"id":201061,"date":"2018-02-18T10:25:43","date_gmt":"2018-02-18T09:25:43","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=201061"},"modified":"2021-07-17T23:50:44","modified_gmt":"2021-07-17T21:50:44","slug":"achtung-jenkins-server-werden-kompromittiert","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/02\/18\/achtung-jenkins-server-werden-kompromittiert\/","title":{"rendered":"Achtung: Jenkins-Server werden kompromittiert"},"content":{"rendered":"

Eine Hackergruppe greift Jenkins-Server an und installiert einen Monero-Miner. Bisher haben die Cyber-Kriminellen 3 Millionen US $ an Kryptogeld gesch\u00fcrft.<\/p>\n

<\/p>\n

Vorab: Das Thema tangiert private Nutzer eher nicht, da Jenkins-Server im Umfeld der Softwareentwicklung eingesetzt werden.<\/p>\n

Was sind Jenkins-Server?<\/h2>\n

Die Wikipedia h\u00e4lt eine Beschreibung<\/a> bereit: Es ist ein erweiterbares, webbasierendes Software-System zur kontinuierlichen Integration von Komponenten zu einem Anwendungsprogramm. Oder in 'modernem Deutsch':\u00a0 Jenkins<\/a> ist eine kontinuierliche Integrations-\/Deployment-Webanwendung in Java, die es Entwicklerteams erm\u00f6glicht, automatisierte Tests durchzuf\u00fchren und verschiedene Operationen auf der Grundlage von Testergebnissen auszuf\u00fchren, einschlie\u00dflich der Bereitstellung von neuem Code auf Produktionsservern. Aus diesem Grund sind Jenkins-Server sowohl bei freiberuflichen Webentwicklern als auch bei gro\u00dfen Unternehmen \u00e4u\u00dferst beliebt. Auf entwickler.de findet sich hier<\/a> eine Einf\u00fchrung. Das Ganze ist ein Fork der Software Hudson, welche heute bei Oracle segelt. Jenkins setzt auf JAVA auf.<\/p>\n

Angriff auf Jenkins-Server<\/h2>\n

Hacker greifen seit Monaten solche Jenkins-Server an, wie Bleeping Computer hier<\/a> berichtet. Das Ganze wurde Freitag durch die israelische Sicherheitsfirma Check Point publik, die die gro\u00df angelegte Hacker-Aktion aufgedeckt hat. Die Kampagne zielt auf Jenkins-Server, die mit dem Internet verbunden sind.<\/p>\n

Angreifer nutzten die Schwachstelle CVE-2017-1000353<\/a> in der Jenkins Java-Deserialisierungsimplementierung aus. Diese erm\u00f6glicht es Angreifern, b\u00f6sartigen Code remote auszuf\u00fchren, ohne sich vorher authentifizieren zu m\u00fcssen. Die Experten von Check Point haben das Ganze hier<\/a> ver\u00f6ffentlicht (deren Server ist momentan extrem langsam).<\/p>\n

Nach der Injektion von Code l\u00e4dt der Jenkins-Servers (per PowerShell) einen Monero-Miner (minerxmr.exe) von einer IP-Adresse, die in China dem Huaian Government Network zugeordnet ist. Es ist unklar, ob es sich dabei um den Server des Angreifers oder um einen kompromittierten Server handelt, auf dem der Miner im Namen der Hacker gehostet wird.<\/p>\n

Die Angreifer sind seit Monaten aktiv. Dies hat es ihnen erm\u00f6glicht, bereits \u00fcber 10.800 Monero im Wert von momentan 3,4 Millionen Dollar zu sch\u00fcrfen und zur Auszahlung zu bringen.<\/p>\n

\"Payment
\n(Quelle: Check Point\/Bleeping Computer)<\/p>\n

Mehr als 25.000 Jenkins-Server online<\/h2>\n

Die gro\u00dfe Zahl der Jenkins-Server, die online verf\u00fcgbar sind, locken auch andere Hacker an. Mitte Januar ver\u00f6ffentlichte<\/a> der Sicherheitsforscher Mikail Tun\u00e7 eine Studie, in der er hervorhob, dass zum Zeitpunkt seiner Ver\u00f6ffentlichung mehr als 25.000 Jenkins-Server online im Internet errreichbar waren.<\/p>\n

Ebenfalls am Freitag ver\u00f6ffentlichte FireEye neue Forschungsergebnisse<\/a> zu anderen Hackern, die den Fehler CVE-2017-10271 nutzen, um Oracle WebLogic-Server mit Malware zu infizieren. Diese Sicherheitsl\u00fccke wird seit Anfang Dezember 2017 aktiv ausgenutzt, und eine Gruppe hat bereits mehr als 226.000 Dollar verdient.<\/p>\n

Neben Jenkins und Oracle WebLogic-Servern zielen Hacker auch auf Ruby on Rails, PHP- und IIS-Server und setzen auch Monero-Mining-Malware ein. Monero-Mining-Malware ist bereits der gr\u00f6\u00dfte Malware-Trend bzw. das gr\u00f6\u00dfte Malware-Problem in diesem Jahr. Zahlreiche Malware-Verteilungskampagnen verbreiten solche Nutzlasten auf jeden ungesicherten Computer\/Server-Betr\u00fcger. Vielleicht ist die Info f\u00fcr den einen oder anderen Blog-Leser hilfreich.<\/p>\n","protected":false},"excerpt":{"rendered":"

Eine Hackergruppe greift Jenkins-Server an und installiert einen Monero-Miner. Bisher haben die Cyber-Kriminellen 3 Millionen US $ an Kryptogeld gesch\u00fcrft.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-201061","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/201061","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=201061"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/201061\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=201061"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=201061"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=201061"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}