Neue Bedrohung durch Go-basierte Malware auf Linux-Hosts

MÜNCHEN (IT BOLTWISE) – Eine neue Bedrohung für Linux-Systeme ist aufgetaucht, die sich gezielt auf öffentlich zugängliche Redis-Server konzentriert. Diese Kampagne, bekannt als RedisRaider, nutzt legitime Redis-Konfigurationsbefehle, um bösartige cron-Jobs auf anfälligen Systemen auszuführen.

In der Welt der Cybersicherheit sorgt eine neue Kampagne für Aufsehen, die sich auf Linux-Hosts konzentriert und dabei öffentlich zugängliche Redis-Server ins Visier nimmt. Diese als RedisRaider bezeichnete Bedrohung wurde von den Sicherheitsforschern von Datadog Security Labs entdeckt. Die Angreifer nutzen legitime Redis-Konfigurationsbefehle, um bösartige cron-Jobs auf anfälligen Systemen zu installieren.

Das Hauptziel dieser Kampagne ist es, eine Go-basierte Nutzlast zu platzieren, die einen XMRig-Miner auf den kompromittierten Systemen entfesselt. Die Angreifer verwenden einen maßgeschneiderten Scanner, um öffentlich zugängliche Redis-Server im Internet zu identifizieren und mit einem INFO-Befehl zu überprüfen, ob die Instanzen auf einem Linux-Host laufen. Wird dies bestätigt, missbraucht der Scanner den Redis-SET-Befehl, um einen cron-Job zu injizieren.

Die Malware nutzt den CONFIG-Befehl, um das Arbeitsverzeichnis von Redis auf “/etc/cron.d” zu ändern und dort eine Datenbankdatei namens “apache” zu schreiben. Diese wird dann regelmäßig vom cron-Scheduler ausgeführt, um ein Base64-codiertes Shell-Skript herunterzuladen, das die RedisRaider-Binärdatei von einem entfernten Server lädt. Diese Nutzlast dient im Wesentlichen als Dropper für eine maßgeschneiderte Version von XMRig und verbreitet die Malware auf andere Redis-Instanzen, um ihre Reichweite zu erweitern.

Zusätzlich zur serverseitigen Kryptojacking-Aktivität hostet die Infrastruktur von RedisRaider auch einen webbasierten Monero-Miner, was eine mehrgleisige Einnahmestrategie ermöglicht. Die Kampagne umfasst subtile Anti-Forensik-Maßnahmen, wie kurze Zeit-zu-Leben-Einstellungen für Schlüssel und Änderungen an der Datenbankkonfiguration, um die Erkennung zu minimieren und die Analyse nach einem Vorfall zu erschweren.

Diese Enthüllung erfolgt zeitgleich mit der Bekanntgabe von Guardz über eine gezielte Kampagne, die veraltete Authentifizierungsprotokolle in Microsoft Entra ID ausnutzt, um Konten mit Brute-Force-Angriffen zu kompromittieren. Diese Aktivitäten, die zwischen dem 18. März und dem 7. April 2025 beobachtet wurden, nutzen BAV2ROPC, um Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung und bedingten Zugriff zu umgehen.

Die Angriffe stammen hauptsächlich aus Osteuropa und der Asien-Pazifik-Region und zielen vor allem auf Administratorkonten ab, indem sie veraltete Authentifizierungspunkte nutzen. Diese hochautomatisierte und konzentrierte Angriffskampagne ist speziell darauf ausgelegt, privilegierte Konten zu kompromittieren, während sie gleichzeitig eine breitere Angriffsfläche gegen reguläre Benutzer aufrechterhält.

Um die Risiken solcher Angriffe zu mindern, wird empfohlen, veraltete Authentifizierung über eine bedingte Zugriffspolitik zu blockieren, BAV2ROPC zu deaktivieren und SMTP AUTH in Exchange Online abzuschalten, wenn es nicht verwendet wird.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!