Sicherheitslücken in JDWP und neue Bedrohungen durch Hpingbot

LONDON (IT BOLTWISE) – Sicherheitsforscher haben kürzlich auf die Gefahren durch ungesicherte Java Debug Wire Protocol (JDWP) Schnittstellen hingewiesen, die von Angreifern genutzt werden, um Kryptowährungs-Miner auf kompromittierten Systemen zu installieren. Gleichzeitig taucht eine neue Bedrohung in Form des Hpingbot auf, der gezielt SSH-Schwachstellen ausnutzt, um DDoS-Angriffe zu starten.

Die Sicherheitslücke in den JDWP-Schnittstellen stellt eine erhebliche Bedrohung dar, da Angreifer diese nutzen können, um auf Java-Anwendungen zuzugreifen und schädlichen Code auszuführen. Besonders problematisch ist, dass JDWP standardmäßig keine Authentifizierungs- oder Zugriffskontrollmechanismen bietet, was es Angreifern erleichtert, die Kontrolle über Java-Prozesse zu übernehmen. Diese Schwachstelle wird häufig in Entwicklungs- und Debugging-Umgebungen übersehen, da viele Anwendungen automatisch einen JDWP-Server im Debug-Modus starten, ohne die Risiken für Entwickler offensichtlich zu machen.

Ein aktueller Bericht von Sicherheitsforschern zeigt, dass Angreifer modifizierte Versionen von XMRig verwenden, um Kryptowährungs-Miner auf betroffenen Systemen zu installieren. Diese modifizierten Miner sind so konfiguriert, dass sie verdächtige Befehlszeilenargumente vermeiden, die von Verteidigern häufig erkannt werden. Zudem nutzen die Angreifer Mining-Pool-Proxys, um ihre Kryptowährungs-Wallet-Adressen zu verbergen, was es Ermittlern erschwert, die Spur zurückzuverfolgen.

Parallel dazu hat das chinesische Cybersicherheitsunternehmen NSFOCUS eine neue Bedrohung in Form des Hpingbot identifiziert. Diese Go-basierte Malware zielt sowohl auf Windows- als auch auf Linux-Systeme ab und nutzt schwache SSH-Konfigurationen aus, um Systeme in ein Botnetz zu integrieren, das DDoS-Angriffe durchführen kann. Im Gegensatz zu bekannten Botnet-Malware-Familien wie Mirai und Gafgyt handelt es sich bei Hpingbot um einen völlig neuen Schädling, der innovative Ansätze zeigt.

Hpingbot nutzt die Plattform Pastebin, um DDoS-Anweisungen zu verteilen, und verwendet das Netzwerk-Tool hping3, um ICMP-, TCP- und UDP-Pakete zu senden. Diese Vorgehensweise verbessert nicht nur die Tarnung, sondern senkt auch die Entwicklungs- und Betriebskosten erheblich. Die Malware ist darauf ausgelegt, Persistenz zu etablieren und Spuren der Infektion zu verwischen, indem sie die Befehlsverlaufshistorie löscht.

Die Bedrohung durch Hpingbot wird durch die Tatsache verstärkt, dass die Windows-Version der Malware in der Lage ist, zusätzliche Payloads abzulegen und auszuführen, was darauf hindeutet, dass die Angreifer möglicherweise über die bloße Dienstunterbrechung hinausgehen wollen, um ein Netzwerk zur Verteilung von Schadsoftware aufzubauen. Diese Entwicklungen unterstreichen die Notwendigkeit, Sicherheitskonfigurationen regelmäßig zu überprüfen und zu aktualisieren, um solche Angriffe zu verhindern.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!