Abo
  • Services:
Anzeige
MongoDB-Tabelle mit Lösegeldforderung
MongoDB-Tabelle mit Lösegeldforderung (Bild: Victor Gevers)

MongoDB: Hacker kapern über 1.800 Datenbanken und fordern Lösegeld

MongoDB-Tabelle mit Lösegeldforderung
MongoDB-Tabelle mit Lösegeldforderung (Bild: Victor Gevers)

Ein Unbekannter ist offenbar in Tausende unsichere MongoDB-Server eingedrungen und hat die dort vorgefundenen Datenbanken kopiert. Anschließend überschrieb er die Daten mit einer Lösegeldforderung. Die ersten Nachahmer sind bereits aktiv.

Die Angriffe begannen bereits vor über einer Woche, schreibt Victor Gevers, der die Masche eher zufällig auf der Suche nach angreifbaren Datenbankservern entdeckt hat. Meistens war der Zugriff auf die Datenbanken simpel: Sie waren offen über das Internet erreichbar, es fehlte schlicht ein Passwortschutz.

Anzeige

Für die Rückgabe der Daten forderte der ursprüngliche Hacker 0,2 Bitcoin, also rund 211 Euro. Gevers berichtet inzwischen jedoch von ersten Nachahmern, die 0,5 Bitcoin, also über 500 Euro fordern.

Datenbanken einfach kopiert

Das Vorgehen ist stets identisch: Der Eindringling verschafft sich Zugang zu einem ungeschützten MongoDB-Server, exportiert die vorhandenen Datenbanken und ersetzt sie mit einer einzigen Tabelle namens "WARNING". Diese Ransom-Tabelle enthält neben einer E-Mail-Adresse auch eine Aufforderung nach dem Schema "Sende 0,2 BTC an diese Bitcoin-Adresse und kontaktiere die E-Mail-Adresse mit der IP deines Servers, um deine Datenbank wiederzubekommen."

"Ich konnte das recht leicht bestätigen, weil die Logfiles eindeutig zeigten, dass das Datum des letzten Exports vor dem Erstellungsdatum der neuen Datenbank mit dem Tabellennamen WARNING lag", sagte Gevers Bleeping Computer. "Jeder Schritt auf dem Datenbankserver wurde geloggt."

GDI Foundation bietet Hilfe an

Gevers ist Sicherheitsexperte bei der niederländischen Regierung, verbringt seine Freizeit aber als Gründer der gemeinnützigen GDI-Foundation mit dem Finden und Schließen von Sicherheitslücken im Netz. GDI bietet betroffenen Organisationen Hilfe bei der Absicherung ihrer Datenbankserver.

Viele Organisationen, die eigene Server betrieben, wüssten nicht, wie sie diese korrekt absichern könnten. Einige der Betroffenen verfügten laut Gevers über Backups ihrer Daten und konnten diese so leicht wiederherstellen. Viele hätten aber vor allem wegen der für Ransomware-Standards eher moderaten Lösegeldforderung einfach bezahlt.

Angreifbare Hosting-Pakete für AWS

"Jeder verdient es, gewarnt zu werden", schreibt Gevers auf Twitter als Antwort auf den Vorwurf, die Betroffenen seien einfach naiv und selbst schuld. "Ich habe Jahre damit verbracht, angreifbare Systeme zu finden und diese ihren Betreibern verantwortungsvoll zu melden", ergänzt er in einem Interview.

Schuld seien vor allem alte MongoDB-Installationen auf Cloud-Hosting-Diensten. "Die meisten offenen und angreifbaren MongoDBs findet man auf [Amazons] AWS-Plattform", denn dafür gebe es oft fertige Images, die anschließend nicht mehr aktualisiert würden. "Rund 78 Prozent dieser Installationen liefen mit als angreifbar bekannten Versionen."

MongoDB Inc., das Unternehmen hinter MongoDB, empfiehlt zwar, die Serversoftware stets aktuell zu halten und stellt eine Sicherheitscheckliste zur Verfügung. Viele Admins halten sich aber offenbar nicht daran.

Laut der IoT-Suchmaschine Shodan waren bis zum 3. Januar insgesamt 1.853 MongoDB-Server von dem Angriff betroffen, teilte der Shodan-Gründer John Matherly auf Twitter mit. Damit landete der Datenbankname "WARNING" in der Suchmaschine auf Platz 4 nach "local", "admin" und "test".


eye home zur Startseite
Gandalf2210 06. Jan 2017

Muhaha, ich bin ja so ein krasser hacker-hacker. Und reife Frauen ab 60 findet der auch...

matzems 06. Jan 2017

Bin ganz deiner Meinung, wenn man mit Datenbanken hantiert die von Internet aus...

der_wahre_hannes 06. Jan 2017

Äh... und wie soll das Management die "richtigen Leute" erkennen? Kannst du denn...

Snooozel 05. Jan 2017

Es gibt halt immer noch zuviele Leute die meinen auf ein Backup kann man verzichten, ist...

JTR 05. Jan 2017

In so einer Welt von marodierenden Investment Banker, despotischen Politiker und...



Anzeige

Stellenmarkt
  1. K+S Aktiengesellschaft, Kassel
  2. via Harvey Nash GmbH, Berlin
  3. TenneT TSO GmbH, Bayreuth
  4. BIONORICA SE, Neumarkt / Oberpfalz


Anzeige
Hardware-Angebote
  1. 355,81€ für Prime-Mitglieder (Bestpreis!)
  2. auf Kameras und Objektive
  3. (reduzierte Überstände, Restposten & Co.)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Data Center-Modernisierung für mehr Performance und


  1. Wahlprogramm

    SPD will 90 Prozent der Gebäude mit Gigabit-Netzen versorgen

  2. Erziehung

    Erst schriftliche Einwilligung, dann Whatsapp für Kinder

  3. Grafikkarte

    Sapphire bringt Radeon RX 470 für Mining

  4. Betrug

    FTTH-Betreiber wehren sich gegen Glasfaser-Werbelügen

  5. Gamescom

    Mehr Fläche, mehr Merkel und mehr Andrang

  6. Anki Cozmo ausprobiert

    Niedlicher Programmieren lernen und spielen

  7. Hyperkonvergenz

    Red Hat präsentiert freie hyperkonvergente Infrastruktur

  8. Deutsche Telekom

    Narrowband-IoT-Servicepakete ab 200 Euro

  9. Malware

    Der unvollständige Ransomware-Schutz von Windows 10 S

  10. Skylake und Kaby Lake

    Debian warnt vor "Alptraum-Bug" in Intel-CPUs



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Risk: Kein normaler Mensch
Risk
Kein normaler Mensch

Mieten bei Ottonow und Media Markt: Miet mich!
Mieten bei Ottonow und Media Markt
Miet mich!
  1. Prime Reading Amazon startet dritte Lese-Flatrate in Deutschland
  2. Elektronikkonzern Toshiba kann Geschäftsbericht nicht vorlegen
  3. Übernahmen Extreme Networks will eine Branchengröße werden

WD Black SSD im Test: Mehr Blau als Schwarz
WD Black SSD im Test
Mehr Blau als Schwarz
  1. NAND-Flash Toshiba legt sich beim Verkauf des Flashspeicher-Fab fest
  2. SSD WD Blue 3D ist sparsamer und kommt mit 2 TByte
  3. Western Digital Mini-SSD in externem Gehäuse schafft 512 MByte pro Sekunde

  1. Re: Ethereum hat innerhalb 2 Tagen 15% an Wert...

    Rolf Schreiter | 19:03

  2. Re: BDSG

    xProcyonx | 19:01

  3. Re: Hat erschreckender Weise recht

    Koto | 18:59

  4. Wlan kann deine Bewegungen tracken...

    Vielfalt | 18:57

  5. Re: luft ist shared medium

    RipClaw | 18:57


  1. 18:32

  2. 18:15

  3. 18:03

  4. 17:47

  5. 17:29

  6. 17:00

  7. 16:23

  8. 15:42


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel