Hacker haben erneut den Java EE-Anwendungsserver WebLogic von Oracle ins Visier genommen und greifen gezielt anfällige Server an. Dabei nutzen sie eine kritische Sicherheitslücke (CVE-2020-14882) die es ihnen ermöglicht, Schadcode auf infizierte Systeme zu laden und auszuführen. Juniper Networks warnt in einem Artikel vor weiterhin als 3000 weltweit verwundbaren Servern, darunter 133 in Deutschland. Das Botnetz DarkIRC wurde als Dreh- & Angelpunkt der Angriffe identifiziert. Das Netzwerk schickt eine HTTP-GET-Anfrage an die gefährdeten Server und lädt dann mittels eines Powershell-Skripts die Schadsoftware auf diese. Eine schnelle Installation der Patches wird dringend empfohlen, da ein Exploit für lediglich 75 US-Dollar im Umlauf ist.
Anschließend machen sich der Angreifer-Code in Form von beispielsweise DDoS-Komponenten, Keyloggern und Bitcoin Stealern breit. Dem Bericht der Sicherheitsforscher zufolge könnte sich der Schadcode wurmartig verbreiten und so ganze Netzwerke infizieren.
Botnetz verhökert
Juniper Networks berichtet. Dass Kriminelle die Dienste des Botnetzes in einem Hacker-Forum für 75 US-Dollar in Anspruch nehmen können. Unklar ist derzeit; ob die Verkäufer ebenfalls hinter den Attacken stehen.
Betroffen sind die WebLogic-Versionen 10․3․6.0.0, 12․1․3.0.0, 12․2․1.3.0, 12․2․1.4.0 und 14․1․1.0.0. Sicherheitspatches hat Oracle im Rahmen seines vierten Quartalsupdate 2020 veröffentlicht. In einem Beitrag führt Oracle aus, ebenso wie Admins WebLogic-Server weiter absichern können.
Bereits Ende Oktober warnten Sicherheitsforscher des SANS Internet Strom Center (ISC) vor Attacken die sich vergleichsweise trivial ausführen lassen. Das soll direkt über das Internet und ohne Authentifizierung möglich sein.
Kommentare