{"id":206162,"date":"2018-07-02T00:20:00","date_gmt":"2018-07-01T22:20:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=206162"},"modified":"2020-09-03T10:42:47","modified_gmt":"2020-09-03T08:42:47","slug":"linux-malware-wurm-im-anflug","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/07\/02\/linux-malware-wurm-im-anflug\/","title":{"rendered":"Linux Malware (Wurm) im Anflug?"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\"\/>Es sind zur Zeit nur recht vage Informationen, die ich \u00fcber Sicherheitsforscher aufgeschnappt habe. Aktuell scheint sich eine Malware, im Gegensatz zu Mirai aber wohl ein Wurm, auf Linux-Systemen zu verbreiten. <\/p>\n<p><!--more--><\/p>\n<p><a href=\"https:\/\/de.wikipedia.org\/wiki\/Mirai_(Computerwurm)\" target=\"_blank\" rel=\"noopener noreferrer\">Mirai<\/a> (japanisch Zukunft) ist eine auf Linux abgestimmte Schadsoftware, ein Botnet, welches sich auf \u00fcber 500.000 Linux IoT-Systemen (Router etc.) einnisten konnte. Die Infrastruktur von Mirai diente dazu, DDoS-Angriffe gegen Bezahlung auf w\u00e4hlbare Ziele durchzuf\u00fchren. Urheber des Botnetzes waren drei US-Studenten, wie man <a href=\"https:\/\/www.golem.de\/news\/mirai-botnetz-drei-us-studenten-bekennen-sich-schuldig-1712-131665.html\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a> nachlesen kann. Ein <a href=\"https:\/\/de.wikipedia.org\/wiki\/Computerwurm\" target=\"_blank\" rel=\"noopener noreferrer\">Wurm<\/a> verbreitet sich dagegen \u00fcber das Internet oder \u00fcber lokale Netzwerke von Rechner zu Rechner. <\/p>\n<h2>Neuer Wurm f\u00fcr Linux entdeckt<\/h2>\n<p>Aktuell ist das Ganze noch arg vage, sprich: Es ist bekannt, dass da eine Malware aktiv ist, die auf Linux-Systeme zielt. Aber es gibt keine Details. Alles, was ich bisher wei\u00df, ist <a href=\"https:\/\/twitter.com\/VessOnSecurity\/status\/1012997758213648384\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Tweet<\/a> und den Folgetweets zu entnehmen. <\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"en\" dir=\"ltr\">Executable is always downloaded from some non-standard port, like<\/p>\n<p>hxxp:\/\/212.70.128.162:49707\/GFdeDGGhlSAgjPOObAhb<\/p>\n<p>Probably a worm (unlike Mirai), because the uploads come from thousands of different IPs, instead of from a few repositories (like Mirai).<\/p>\n<p>\u2014 Vess (@VessOnSecurity) <a href=\"https:\/\/twitter.com\/VessOnSecurity\/status\/1012998273995550720?ref_src=twsrc%5Etfw\">30. Juni 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<p>Die Malware wird von tausenden Stellen mit unterschiedlichen IPs auf Linux-Systeme via Telnet\/SSH verbreitet. Mirai nutzte nur einige wenige Rechner zur Verteilung. Daher geht der Sicherheitsforscher von einem Wurm aus, der sich selbst vervielf\u00e4ltigt und weitere Systeme infiziert. Auf Virus Total wird der Sch\u00e4dling von einigen Scannern als Schadsoftware f\u00fcr das ELF-Format von Linux-Anwendungen erkannt.<\/p>\n<p><img decoding=\"async\" title=\"Linux-Malware\" alt=\"Linux-Malware\" src=\"https:\/\/i.imgur.com\/UE1XVAe.jpg\"\/><\/p>\n<p>ESET weist die Malware als Variante von Mirai aus. @VessonSecurity schreibt, dass die Schadsoftware gepackt sei und die Befehle, die abgesetzt werden, <a href=\"https:\/\/de.wikipedia.org\/wiki\/Polymorphie_(Programmierung)\" target=\"_blank\" rel=\"noopener noreferrer\">polymorph<\/a> sind. Die ausf\u00fchrbare Datei ist wohl seit einer Woche in Honeypots aufgefallen, aber die Malware muss schon seit Monaten aufgetreten sein, variiert aber h\u00e4ufig ihren Code.&nbsp;&nbsp; <\/p>\n<h2>Verbreitung unklar<\/h2>\n<p>Twitter-Nutzer @VessonSecurity hat in <a href=\"https:\/\/twitter.com\/VessOnSecurity\/status\/1013188018583240707\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Tweet<\/a> eine Karte ver\u00f6ffentlicht, von welchen L\u00e4ndern der Telnet &amp; SSH Honeypot am h\u00e4ufigsten aufgerufen wird. <\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"en\" dir=\"ltr\">Monthly summary of the results from our Telnet &amp; SSH honeypot.<\/p>\n<p>First, the big picture. As usual, the USA holds the top spot.<\/p>\n<p>Note the unusually large number of unique IPs and URLs. The reason is the Mirai-like worm I mentioned the other day. <a href=\"https:\/\/t.co\/C5mOJTPhJp\">pic.twitter.com\/C5mOJTPhJp<\/a><\/p>\n<p>\u2014 Vess (@VessOnSecurity) <a href=\"https:\/\/twitter.com\/VessOnSecurity\/status\/1013188018583240707?ref_src=twsrc%5Etfw\">30. Juni 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script>  <\/p>\n<p>Er schreibt, dass eine Gro\u00dfzahl von Angriffen von der gleichen IP\/URL ausgehe, wobei die angreifenden Systeme haupts\u00e4chlich in den USA stehen. Aber auch Europa taucht mit L\u00e4ndern wie Frankreich, Niederlande, England, Italien, Irland, Griechenland, Polen, Rum\u00e4nien und auch Deutschland in der Karte auf. Als Ursache f\u00fchrt er die oben erw\u00e4hnte Malware auf. Mal schauen, ob sich dort die kommenden Tage noch Details ergeben. <\/p>\n","protected":false},"excerpt":{"rendered":"<p>Es sind zur Zeit nur recht vage Informationen, die ich \u00fcber Sicherheitsforscher aufgeschnappt habe. Aktuell scheint sich eine Malware, im Gegensatz zu Mirai aber wohl ein Wurm, auf Linux-Systemen zu verbreiten.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-206162","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/206162","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=206162"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/206162\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=206162"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=206162"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=206162"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}