• IT-Karriere:
  • Services:

Kritische Infrastrukturen: Wenn die USV Kryptowährungen schürft

Mit Krypto-Mining lässt sich viel Geld verdienen - vor allem, wenn man fremde Computer für sich schürfen lässt. Eine Malware, die das ermöglicht, hat das Projekt Internetwache.org aufgespürt und analysiert. So harmlos die Software aussieht, so gefährlich ist sie.

Eine Analyse von Tim Philipp Schäfers und Sebastian Neef veröffentlicht am
Ciscos USV wird von Kriminellen zum Malware-Mining genutzt.
Ciscos USV wird von Kriminellen zum Malware-Mining genutzt. (Bild: Screenshot Golem.de)

Cyberkriminelle haben eine Malware programmiert, mit der sie auf fremden Geräten Krypto-Mining betreiben. Der autonome Wurm verbreitet sich über verschiedene Wege und nutzt als Wirtssystem auch industrielle Kontrollsysteme. Eine Analyse von Internetwache.org zeigt, wie die Malware arbeitet, was sich damit vermutlich verdienen lässt und warum das Vorgehen erhebliche Gefahren mit sich bringt.

Auf den ersten Blick sieht die Datei, hinter der sich die gefährliche Krypto-Mining-Schadsoftware verbirgt, harmlos aus, beinahe wie ein normaler Ordner unter Windows. Das einzige, was Benutzer, die die Anzeige von Dateierweiterungen eingeschaltet haben, wundern sollte, ist, dass es sich um eine SCR-Datei (Bildschirmschoner) handelt. Diese trägt meist den Namen "photo.scr" und findet sich auf zahlreichen FTP-Servern im Internet. Die Server haben einen Anonymous-Zugriff konfiguriert und lassen Schreibrechte zu.

  • Die Malware wird den Nutzern per Social Engineering untergeschoben. (Screenshot: Golem.de)
  • Die Malware tarnt sich als Bildschirmschoner. (Screenshot: Golem.de)
  • Die Malware tarnt sich als Bildschirmschoner. (Screenshot: Golem.de)
  • In der Malware sind Mining-Programme versteckt. (Screenshot: Golem.de)
  • In der Malware sind Mining-Programme versteckt. (Screenshot: Golem.de)
  • Auch eine USV von Cisco ist betroffen. (Screenshot: Golem.de)
Die Malware wird den Nutzern per Social Engineering untergeschoben. (Screenshot: Golem.de)


Zuletzt ist die Malware zunehmend auf eigentlich geschützte Systeme geraten, darunter beispielsweise auf eine USV (unterbrechungsfreie Stromversorgung) aus dem technischen Netzwerk von Cisco oder Gebäudesteuerungen in Deutschland. Wie sie sich ihren Weg dahin bahnt und warum das äußerst gefährlich werden kann, soll dieser Artikel erläutern.

Die Datei enthält, anders als der Name vermuten lässt, kein Foto und ist auch kein Ordner (Icon). Offenbar scheint die Neugier bei vielen Nutzern gegenüber der Vorsicht aber zu überwiegen, und sie führen die Schadsoftware trotzdem aus. Statt ein Foto oder deinen Bildschirmschoner zu öffnen, nimmt in dem Fall allerdings ein sich selbst entpackendes Archiv die Arbeit auf. Unter den entpackten Dateien befinden sich ein Krypto-Mining-Tool (für 32-Bit und 64-Bit-Rechner) und ein Programm zum Verbinden auf FTP-Server. Außerdem werden Registry-Einträge verändert, geplante Tasks angelegt und Starteinträge verändert. Danach passiert erstaunlicherweise erst einmal ... nichts.

Stellenmarkt
  1. Information und Technik Nordrhein-Westfalen (IT.NRW), Düsseldorf
  2. RWE Supply & Trading GmbH, Essen, London, Swindon (Großbritannien)

Für ein Antivirensystem ist es schwer, an dieser Stelle durch heuristische Methoden zu ermitteln, ob das entsprechende Verhalten gewollt ist oder nicht - es sich also um Schadsoftware oder gewollte Programme handelt. Schließlich wird das Programm durch den Nutzer bewusst ausgeführt. So haben etwa die Hersteller einer Software der Computerspiele-Community E-Sports Entertainment Association (ESEA) League eine gewisse Zeit eine Funktion zum Krypto-Mining in ihrer Software versteckt. Als das aufflog, mussten sie einem Vergleich in Höhe von einer Million US-Dollar zustimmen, um eine Anklage zu vermeiden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Schadsoftware erwacht nach fünf Wochen 
  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6.  


Anzeige
Spiele-Angebote
  1. (u. a. Rage 2 für 11€, The Elder Scrolls V: Skyrim Special Edition für 11,99€, Doom Eternal...
  2. 22,99€
  3. 2,99€
  4. (-82%) 11,00€

Bill Carson 05. Sep 2016

Mit einem Blockexlorer kannst du Coins nachverfolgen, aber das macht nicht unbedingt...

TrudleR 24. Aug 2016

Tim Schäfers 23. Aug 2016

"Jetzt bleibt noch die Frage, ob auf der USV von Cisco auch Windows lief, oder ob die...

Tim Schäfers 23. Aug 2016

Hallo zZz, vielen Dank für die wichtigen Nachfragen. Zur ersten Frage mit der Windows...

Tim Schäfers 23. Aug 2016

Danke für den Hinweis! Hier ist der korrekte Link (es hat nur ein "s" gefehlt): http://nj...


Folgen Sie uns
       


Zhaxoin ZX-U6780U - Fazit

Wir testen den ZX-U6780U von Zhaxoin, einen achtkernigen x86-Prozessor aus China, der im 16-nm-Verfahren gefertigt wird. Die x86-Lizenz stammt von Centaur, einer Tochter von Via Technologies.

Zhaxoin ZX-U6780U - Fazit Video aufrufen
Arlt-Komplett-PC ausprobiert: Mit Ryzen Pro wird der Büro-PC sparsam und flott
Arlt-Komplett-PC ausprobiert
Mit Ryzen Pro wird der Büro-PC sparsam und flott

Acht Kerne, schnelle integrierte Grafik, NVMe-SSD direkt an der CPU: Ein mit Ryzen Pro 4000G ausgestatteter Rechner ist vielseitig.
Ein Hands-on von Marc Sauter

  1. Udoo Bolt Gear Mini-PC stopft Ryzen-CPU in 13 x 13 Zentimeter
  2. Vermeer AMD soll Ryzen 4000 mit 5 nm statt 7 nm produzieren
  3. Vermeer AMD unterstützt Ryzen 4000 auf X470 und B450

Campus Networks: Wenn das 5G-Netz nicht jeden reinlässt
Campus Networks
Wenn das 5G-Netz nicht jeden reinlässt

Über private 4G- und 5G-Netze gibt es meist nur Buzzwords. Wir wollten von einer Telekom-Expertin wissen, was die Campusnetze wirklich können und was noch nicht.
Von Achim Sawall

  1. Funkstrahlung Bürgermeister in Oberbayern greifen 5G der Telekom an
  2. IRT Öffentlich-rechtlicher Rundfunk schließt Forschungszentrum
  3. Deutsche Telekom 5G im UMTS-Spektrum für die Hälfte der Bevölkerung

Funkverschmutzung: Wer stört hier?
Funkverschmutzung
Wer stört hier?

Ob WLAN, Bluetooth, IoT oder Radioteleskope - vor allem in den unlizenzierten Frequenzbändern funken immer mehr elektronische Geräte. Die Folge können Störungen und eine schlechtere Performance der Geräte sein.
Ein Bericht von Jan Rähm

  1. 450 MHz Bundesnetzagentur legt sich bei neuer Frequenzvergabe fest
  2. Aus Kostengründen Tschechien schafft alle Telefonzellen ab
  3. Telekom Bis Jahresende verschwinden ISDN und analoges Festnetz

    •  /