Kontakt
QR-Code für die aktuelle URL

Story Box-ID: 1020500

Sophos Technology GmbH Gustav-Stresemann-Ring 1 65189 Wiesbaden, Deutschland http://www.sophos.de
Ansprechpartner:in Herr Thilo Christ +49 8081 954617

Lemon Duck kann weit mehr als nur Cryptominig

Deutschland hat mittleres Bedrohungspotenzial, in Asien sind die Spitzenreiter / "Professionelle" Weiterentwicklung von Lemon Duck sorgt für ständig neue Angriffsvektoren - auch auf Linux

(PresseBox) (Wiesbaden, )
Lemon Duck ist eine der Malware-Typen, die von den Cyberkriminellen kontinuierlich weiterentwickelt werden. Grund dafür ist, dass der Cryptominer durch die ständigen Updates ein lukratives Geschäft verspricht. Die Schadsoftware nutzt intensiv die Computerressourcen ihrer Opfer, um Crypto-Geschäfte schneller und mit viel Gewinn abzuwickeln. Hinzu kommt, dass sich Cryptominer hervorragend für weitere Angriffe eignen, indem die infizierten Rechner als Stützpunkt für die Verbreitung anderer Schadcodes im Netzwerk dienen. Lemon Duck ist nach den Beobachtungen der SophosLabs einer der auffälligsten Cryptominer, von dem durch immer neu hinzugefügte Angriffsvektoren und Verschleierungstechniken eine kontinuierlich hohe Bedrohungslage ausgeht. Ein entscheidendes Kriterium für den Erfolg von Lemon Duck ist das dateilose Konzept: die Malware bleibt im Speicher und hinterlässt damit keine Spuren im Dateisystem. Laut jüngsten Einschätzungen der SophosLabs liegt Deutschland im weltweiten Vergleich im Mittelfeld des Bedrohungspotenzials. In Europa ist Großbritannien mit am meisten betroffen, weltweit liegen Singapur, Taiwan, Teile von China und die Philippinen an der Spitze der Angriffe.

Neue Angriffsvektoren erhöhen Bedrohungslage

Das Unangenehme an einer Malware wie Lemon Duck ist die beständige Unbeständigkeit. Die kontinuierliche Aktualisierung der Angriffsvektoren machen es schwer, die Malware mit herkömmlichen Security-Programmen ohne automatisierte Verhaltens- und Mustererkennung zu entdecken und einzugrenzen.

Die Kriminellen hinter Lemon Duck sind dabei besonders kreativ und nutzen aktuelle Ereignisse, um mit der Malware auch über Spam zu verbreiten. Dabei bauen sie auf die vielen technischen Möglichkeiten von Lemon Duck, um die Spam-Mails authentisch aussehen zu lassen. In der Folge kann ein infizierter Computer selbst zum Spam-Super-Spreader werden indem er an all seine Mailkontakte die Spam-Nachricht versendet.

Lemon Duck nutzt auch die SMBGhost-Schwachstelle aus und sendet ein speziell erstelltes Paket gezielt an SMBv3-Server. Microsoft hat im März 2020 einen Security Patch veröffentlicht – in wieweit alle Windows 10 Betriebssysteme auf dem neuesten Stand gebracht worden sind, bleibt offen.

Die Lemon Duck-Akteure verwenden zudem auch den Exploit-Code für EternalBlue und eine Implementierung von Mimikatz. Besonders interessant ist, dass sie nach dem Angriff und der Ausführung des bösartigen Codes beginnen, die SMBv3-Komprimierung über die Registrierung zu deaktivieren und die Standard-SMB-Netzwerkports 445 & 135 zu blockieren. Damit hindern sie andere Hacker daran, über die gleiche Schwachstelle einzudringen, die sie ausgenutzt haben. Es scheint, als ob ein ausgeprägtes Konkurrenzdenken unter den Cybergangstern besteht.

Ein weiterer beliebter Angriffsvektor ist der binäre BruteForce-Angriff unter Zuhilfenahme von EternalBlue. Der Miner lädt eine bösartige ausführbare Datei in das Temp-Verzeichnis. Diese python-kompilierte Binärdatei lädt dann eine Komponente von Mimikatz, die versucht, eine zufällige Liste von IP-Adressen zu generieren, um nach Schwachstellen für den EternalBlue-Exploit zu suchen. Besonders bemerkenswert ist der SSH-BruteForce-Angriffsvektor, mit dem das Crypto-Mining auch auf Linux ausgeweitet wird. Ziel sind also schon lange nicht mehr nur Windows-Systeme.

Zusätzliche Details über die Lemon Duck Angriffsvektoren stehen auf dem Sophos Blog zur Verfügung unter: https://news.sophos.com/en-us/2020/08/25/lemon_duck-cryptominer-targets-cloud-apps-linux/
Für die oben stehenden Stories, das angezeigte Event bzw. das Stellenangebot sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Herausgeber (siehe Firmeninfo bei Klick auf Bild/Titel oder Firmeninfo rechte Spalte) verantwortlich. Dieser ist in der Regel auch Urheber der Texte sowie der angehängten Bild-, Ton- und Informationsmaterialien. Die Nutzung von hier veröffentlichten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Bei Veröffentlichung senden Sie bitte ein Belegexemplar an service@pressebox.de.
Wichtiger Hinweis:

Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die unn | UNITED NEWS NETWORK GmbH gestattet.

unn | UNITED NEWS NETWORK GmbH 2002–2024, Alle Rechte vorbehalten

Für die oben stehenden Stories, das angezeigte Event bzw. das Stellenangebot sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Herausgeber (siehe Firmeninfo bei Klick auf Bild/Titel oder Firmeninfo rechte Spalte) verantwortlich. Dieser ist in der Regel auch Urheber der Texte sowie der angehängten Bild-, Ton- und Informationsmaterialien. Die Nutzung von hier veröffentlichten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Bei Veröffentlichung senden Sie bitte ein Belegexemplar an service@pressebox.de.