Abo
  • IT-Karriere:

MongoDB: Hacker kapern über 1.800 Datenbanken und fordern Lösegeld

Ein Unbekannter ist offenbar in Tausende unsichere MongoDB-Server eingedrungen und hat die dort vorgefundenen Datenbanken kopiert. Anschließend überschrieb er die Daten mit einer Lösegeldforderung. Die ersten Nachahmer sind bereits aktiv.

Artikel veröffentlicht am ,
MongoDB-Tabelle mit Lösegeldforderung
MongoDB-Tabelle mit Lösegeldforderung (Bild: Victor Gevers)

Die Angriffe begannen bereits vor über einer Woche, schreibt Victor Gevers, der die Masche eher zufällig auf der Suche nach angreifbaren Datenbankservern entdeckt hat. Meistens war der Zugriff auf die Datenbanken simpel: Sie waren offen über das Internet erreichbar, es fehlte schlicht ein Passwortschutz.

Stellenmarkt
  1. Computacenter AG & Co. oHG, verschiedene Standorte
  2. Camelot ITLab GmbH, Mannheim, Köln, München

Für die Rückgabe der Daten forderte der ursprüngliche Hacker 0,2 Bitcoin, also rund 211 Euro. Gevers berichtet inzwischen jedoch von ersten Nachahmern, die 0,5 Bitcoin, also über 500 Euro fordern.

Datenbanken einfach kopiert

Das Vorgehen ist stets identisch: Der Eindringling verschafft sich Zugang zu einem ungeschützten MongoDB-Server, exportiert die vorhandenen Datenbanken und ersetzt sie mit einer einzigen Tabelle namens "WARNING". Diese Ransom-Tabelle enthält neben einer E-Mail-Adresse auch eine Aufforderung nach dem Schema "Sende 0,2 BTC an diese Bitcoin-Adresse und kontaktiere die E-Mail-Adresse mit der IP deines Servers, um deine Datenbank wiederzubekommen."

"Ich konnte das recht leicht bestätigen, weil die Logfiles eindeutig zeigten, dass das Datum des letzten Exports vor dem Erstellungsdatum der neuen Datenbank mit dem Tabellennamen WARNING lag", sagte Gevers Bleeping Computer. "Jeder Schritt auf dem Datenbankserver wurde geloggt."

GDI Foundation bietet Hilfe an

Gevers ist Sicherheitsexperte bei der niederländischen Regierung, verbringt seine Freizeit aber als Gründer der gemeinnützigen GDI-Foundation mit dem Finden und Schließen von Sicherheitslücken im Netz. GDI bietet betroffenen Organisationen Hilfe bei der Absicherung ihrer Datenbankserver.

Viele Organisationen, die eigene Server betrieben, wüssten nicht, wie sie diese korrekt absichern könnten. Einige der Betroffenen verfügten laut Gevers über Backups ihrer Daten und konnten diese so leicht wiederherstellen. Viele hätten aber vor allem wegen der für Ransomware-Standards eher moderaten Lösegeldforderung einfach bezahlt.

Angreifbare Hosting-Pakete für AWS

"Jeder verdient es, gewarnt zu werden", schreibt Gevers auf Twitter als Antwort auf den Vorwurf, die Betroffenen seien einfach naiv und selbst schuld. "Ich habe Jahre damit verbracht, angreifbare Systeme zu finden und diese ihren Betreibern verantwortungsvoll zu melden", ergänzt er in einem Interview.

Schuld seien vor allem alte MongoDB-Installationen auf Cloud-Hosting-Diensten. "Die meisten offenen und angreifbaren MongoDBs findet man auf [Amazons] AWS-Plattform", denn dafür gebe es oft fertige Images, die anschließend nicht mehr aktualisiert würden. "Rund 78 Prozent dieser Installationen liefen mit als angreifbar bekannten Versionen."

MongoDB Inc., das Unternehmen hinter MongoDB, empfiehlt zwar, die Serversoftware stets aktuell zu halten und stellt eine Sicherheitscheckliste zur Verfügung. Viele Admins halten sich aber offenbar nicht daran.

Laut der IoT-Suchmaschine Shodan waren bis zum 3. Januar insgesamt 1.853 MongoDB-Server von dem Angriff betroffen, teilte der Shodan-Gründer John Matherly auf Twitter mit. Damit landete der Datenbankname "WARNING" in der Suchmaschine auf Platz 4 nach "local", "admin" und "test".



Anzeige
Top-Angebote
  1. Notebooks, PCs und Monitore reduziert
  2. (u. a. Sandisk Plus 1-TB-SSD für 88€, WD Elements Desktop 4 TB für 79€)
  3. 219,99€
  4. 279€ (Bestpreis!)

Gandalf2210 06. Jan 2017

Muhaha, ich bin ja so ein krasser hacker-hacker. Und reife Frauen ab 60 findet der auch...

matzems 06. Jan 2017

Bin ganz deiner Meinung, wenn man mit Datenbanken hantiert die von Internet aus...

der_wahre_hannes 06. Jan 2017

Äh... und wie soll das Management die "richtigen Leute" erkennen? Kannst du denn...

Snooozel 05. Jan 2017

Es gibt halt immer noch zuviele Leute die meinen auf ein Backup kann man verzichten, ist...

JTR 05. Jan 2017

In so einer Welt von marodierenden Investment Banker, despotischen Politiker und...


Folgen Sie uns
       


Fernsteuerung für autonome Autos angesehen

Das Fraunhofer-Institut für Offene Kommunikationssysteme zeigt die Fernsteuerung von Autos über Mobilfunk.

Fernsteuerung für autonome Autos angesehen Video aufrufen
Endpoint Security: IT-Sicherheit ist ein Cocktail mit vielen Zutaten
Endpoint Security
IT-Sicherheit ist ein Cocktail mit vielen Zutaten

Tausende Geräte in hundert verschiedenen Modellen mit Dutzenden unterschiedlichen Betriebssystemen. Das ist in großen Unternehmen Alltag und stellt alle, die für die IT-Sicherheit zuständig sind, vor Herausforderungen.
Von Anna Biselli

  1. Datendiebstahl Kundendaten zahlreicher deutscher Firmen offen im Netz
  2. Metro & Dish Tisch-Reservierung auf Google übernehmen
  3. Identitätsdiebstahl SIM-Dieb kommt zehn Jahre in Haft

Erneuerbare Energien: Die Energiewende braucht Wasserstoff
Erneuerbare Energien
Die Energiewende braucht Wasserstoff

Kein anderes Element ist so universell und dabei simpel aufgebaut wie Wasserstoff und das energiereiche Gas lässt sich aus fast jedem Energieträger gewinnen. Genauso vielseitig gestaltet sich seine Nutzung.
Ein Bericht von Jan Oliver Löfken

  1. Strom-Boje Mittelrhein Schwimmende Kraftwerke liefern Strom aus dem Rhein
  2. Speicherung von Überschussstrom Wasserstoff soll bei Engpässen helfen
  3. Energiewende DLR-Forscher bauen Kohlekraftwerke zu Stromspeichern um

In eigener Sache: Golem.de bietet Seminar zu TLS an
In eigener Sache
Golem.de bietet Seminar zu TLS an

Der Verschlüsselungsexperte und Golem.de-Redakteur Hanno Böck gibt einen Workshop zum wichtigsten Verschlüsselungsprotokoll im Netz. Am 24. und 25. September klärt er Admins, Pentester und IT-Sicherheitsexperten in Berlin über Funktionsweisen und Gefahren von TLS auf.

  1. In eigener Sache Zweiter Termin für Kubernetes-Seminar
  2. Leserumfrage Wie können wir dich unterstützen?
  3. In eigener Sache Was du schon immer über Kubernetes wissen wolltest

    •  /