Nach MongoDB: Erpresser räumen auch Elasticsearch-Installationen leer

Nach MongoDB trifft es Elasticsearch. Erpresser nutzen Schwachstellen in zahlreichen Installationen aus. Sicherheitsforscher warnen: In drei Wochen seien alle Datenbanken zerstört.

Artikel veröffentlicht am 17. Januar 2017, 11:30 Uhr, Hauke Gierow

Auch Elasticsearch-Nutzer werden erpresst. (Bild: Elastic)

Erpresser räumen offenbar nicht mehr nur ungeschützte MongoDB-Datenbanken leer, sondern auch ungeschützte Elasticsearch-Installationen. Das schreiben die Sicherheitsforscher Matt Bromiley, Victor Gevers und Niall Merrigan in einem Dokument [Google Docs]. Nach Angaben von The Register sind bislang etwa 360 Instanzen betroffen, die Sicherheitsforscher sprachen zwischenzeitlich von mehr als 700 betroffenen Installationen, mittlerweile sollen es 3.831 sein.

Die Erpresser fordern Lösegelder zwischen 0,1 und 0,2 Bitcoin, also etwa 80 bis 160 Euro. Amazon schickt AWS-Kunden Berichten zufolge bereits Warn-E-Mails, um Elasticsearch richtig abzusichern. Auch das BSI-Cert weist auf die Probleme hin. Einige der Opfer haben bereits bezahlt.

In drei Wochen sollen alle Datenbanken kaputt sein

Die Täter arbeiten offenbar mit hoher Geschwindigkeit. Bromiley, Gevers und Merrigan schreiben: "Der erste Angreifer hat seine Reichweite innerhalb von acht Stunden von 321 auf 708 'Infektionen' ausgedehnt. Bei dieser Geschwindigkeit und wenn man mögliche Nachahmer mit einberechnet, erwarten wir die komplette Zerstörung aller mit dem Internet einsehbar verbundenen Elasticsearch-Instanzen innerhalb von drei Wochen."

Wer seine eigene Installation absichern will, sollte einen Firewall-Filter auf Port 9200 einsetzen, um unbekannte IP-Adressen zu blockieren. Außerdem sollten eine Identitiy-and-Access-Management-Lösung (IAM) und ein Reverse Proxy eingesetzt werden. Auch Elastic selbst biete mit Shield eine Sicherheitslösung an. Wie auch sonst gilt natürlich, dass Backups die beste Versicherung gegen Datenverlust sind.