Pressemitteilung -
ESET warnt: Mumblehard-Malware macht Linux- und BSD-Server zur Spam-Schleuder
Der Security-Software-Hersteller ESET hat die Mumblehard-Malware bis ins Detail analysiert und stellt auf WeLiveSecurity detaillierte Einblicke dazu in einem Whitepaper bereit. Die Untersuchungsergebnisse decken eine Verbindung zwischen der Internetfirma „Yellsoft“ und der Mumblehard-Malware-Familie auf.
Wordpress und Joomla als Einfallstor
Die schon seit Ende 2009 aktive Mumblehard-Malware zielt auf Server ab, auf denen Linux- oder BSD-Systeme laufen. Sinn und Zweck der Malware ist es, infizierte Systeme als Spambots zu missbrauchen und darüber massenhaft Spam-Mails zu verschicken.
Als Einfallstore für die Schadsoftware dienen Verwundbarkeiten in veralteten Joomla- und Wordpress-Installationen. Die erste eingeschleuste Komponente ist eine Backdoor, die von einem „Command and Control“-Server (C&C Server) gesteuert wird (Vgl. Bild auf WeLiveSecurity). Das zweite Modul ist ein Spammer-Daemon, der über die Backdoor auf infizierte Server gespielt wird.
„Im Rahmen unserer Nachforschung fiel uns eine steigende Anzahl infizierter Systeme ins Auge, deren Besitzer wir umgehend kontaktierten“, so der leitende ESET-Forscher Marc-Etienne M. Léveillé. „Wir identifizierten in sieben Monaten mehr als 8.500 einzigartige IP-Adressen. Mit der Veröffentlichung unserer Analyse-Ergebnisse zeigen wir Betroffenen, womit sie es zu tun haben und wie befallene Server bereinigt werden können“.
Verbindung zu Yellsoft
Die ESET-Analyse ergab, dass eine Beziehung zwischen Mumblehard und Yellsoft besteht. Yellsoft verkauft die Software „DirectMailer“, die in Perl geschrieben ist und genutzt wird, um Massen-Mails zu versenden.
Die erste Verbindung besteht darin, dass sich die IP-Adressen, die für beide Mumblehard-Komponenten als C&C-Server genutzt werden, im gleichen Adressbereich befinden wie der Webserver, der yellsoft.net hostet. Darüber stieß ESET auf Raubkopien von DirectMailer, die bei der Ausführung heimlich die Mumblehard-Backdoor installieren. Die Raubkopien wurden zudem von dem gleichen Packer verschleiert, der auch bei den schädlichen Komponenten von Mumblehard zum Einsatz kommt.
Betroffene sollten für alle Nutzer auf Servern nach unerwünschten Cronjob-Einträgen Ausschau halten. Dieser Mechanismus wird von Mumblehard genutzt, um die Backdoor alle 15 Minuten zu aktivieren.
ESET rät Server-Administratoren dazu, installierte Betriebssysteme und Applikationen wie Wordpress stets durch Updates und Patches aktuell und sicher zu halten. Ebenso sollte eine leistungsfähige Security-Software wie die ESET Server Security das System schützen.
Folgen Sie ESET:
Themen
- Computersicherheit
Kategorien
- sicherheit
- yellsoft
- mumblehard
- linux
- eset
- spam
- malware
ESET ist ein weltweiter Anbieter von IT-Sicherheitslösungen für Unternehmen und Privatanwender. Der Entwickler der preisgekrönten NOD32-Technologie gilt als Vorreiter in der proaktiven Bekämpfung selbst unbekannter Viren, Trojaner und anderer Bedrohungen. ESET ist auf diesem Gebiet seit über 25 Jahren führend.
Millionen von Nutzern vertrauen ESET NOD32 Antivirus, ESET Smart Security, ESET Cyber Security (Antivirenprogramm für Macs), ESET Mobile Security und IT Security for Business. Die Produkte zählen weltweit zu den am häufigsten empfohlenen Sicherheitslösungen.
ESET hat seine Zentrale in Bratislava (Slowakei) und besitzt regionale Vertriebszentren in San Diego (USA), Buenos Aires (Argentinien) und Singapur. In Jena (Deutschland), Prag (Tschechische Republik) und Sao Paulo (Brasilien) unterhält das Unternehmen eigene Niederlassungen. Außerdem verfügt ESET über Forschungszentren zur Malware-Bekämpfung in Bratislava, San Diego, Buenos Aires, Singapur, Prag, Košice (Slowakei), Krakau (Polen), Montreal (Kanada) und Moskau (Russland) sowie über ein Netz exklusiver Distributoren in mehr als 180 Ländern weltweit.
