Mumblehard verwandelt Linux-Server in Spamschleudern

(Bild: Shutterstock)

Wer noch ein altes Wordpress oder Joomla nutzt, sollte dringend updaten, weil sonst die massive Gefahr besteht, dass der Linux-Server, auf dem das CMS läuft, gekapert und als Spambot missbraucht wird.

Wie die Security-Firma Eset erkannt hat, nutzt die Malware Mumblehard Linux-Server zum Verbreiten von Spam-Nachrichten, wobei Installationen von WordPress oder Joomla als Einfallstor genutzt werden. Die Lücken werden bereits aktiv ausgenutzt.

„Im Rahmen unserer Nachforschung fiel uns eine steigende Anzahl infizierter Systeme auf, deren Besitzer wir umgehend kontaktierten“, so Eset-Forscher Marc-Etienne M. Léveillé. „Wir identifizierten in sieben Monaten mehr als 8500 IP-Adressen. Mit der Veröffentlichung unserer Analyse-Ergebnisse zeigen wir Betroffenen, womit sie es zu tun haben und wie befallene Server bereinigt werden können.“
(Bild: Eset)
Die Schadsoftware nutzt laut Léveillé zunächst Schwachstellen in veralteten Joomla- und WordPress-Installationen. Darüber wird eine Backdoor eingeschleust, die von einem Command-and-Control-Server gesteuert wird. Durch diese Hintertür wird anschließend ein Spammer-Daemon auf die infizierten Server übertragen.

Bei ihrer Untersuchung ist den Sicherheitsexperten von Eset auch eine Verbindung zwischen Mumblehard und der Firma Yellsoft aufgefallen. Diese verkauft die in Perl geschriebene Software “DirectMailer”, die dazu dient, Massen-Mails zu versenden. Interessanterweise liegen die IP-Adressen, die für beide Mumblehard-Komponenten als Command-and-Control-Server genutzt werden, im gleichen Adressbereich wie der Webserver von yellsoft.net. Eset hat zudem auch Raubkopien von DirectMailer gefunden, die bei der Ausführung verdeckt die Mumblehard-Backdoor installieren. Diese Raubkopien wurden vom selben Packer verschleiert, der auch bei den Mumblehard-Komponenten verwendet wird.

Betroffene sollten für alle Nutzer auf Servern auf unbekannte Cronjob-Einträge achten. Dieser Mechanismus wird von Mumblehard verwendet, um die Backdoor alle 15 Minuten zu aktivieren. Unklar ist noch, ob der Spam-Versand das einzige Ziel der Mumblehard-Autoren ist. Theoretisch ist es nämlich durchaus möglich, über die Hintertür andere ausführbare Dateien einzuschleusen – sogar auf tausenden von Servern gleichzeitig.

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Tags :Quellen:Mit Material von Peter Marwan, ITespresso.de

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising