• IT-Karriere:
  • Services:

Ransomware: Nextcry hat es auf Nextcloud-Installationen abgesehen

Die Ransomware Nextcry verschlüsselt die Daten im Cloudspeicher von Nextcloud-Installationen. Auf den Server gelangt sie nicht über die Nextcloud, sondern über eine bereits gepatchte Sicherheitslücke in PHP.

Artikel veröffentlicht am ,
Eine Ransomware hat es auf Nextcloud abgesehen.
Eine Ransomware hat es auf Nextcloud abgesehen. (Bild: Nextcloud)

Die Ransomware Nextcry hat es auf Nextcloud-Installationen abgesehen und wurde bereits in freier Wildbahn gesichtet. Die Ransomware verschlüsselt die Dateien im Cloudspeicher mit dem Verschlüsselungsalgorithmus AES und löscht Ordner und Dateien, die bei der Wiederherstellung der Daten helfen können. Laut den Nextcloud-Entwicklern soll die Ransomware über eine Sicherheitslücke, die nicht in Nextcloud steckt und bereits geschlossen wurde, auf die Server gelangen. Zuerst hatte das Onlinemagazin Bleepingcomputer berichtet.

Stellenmarkt
  1. BG-Phoenics GmbH, München
  2. JaKuS gGmbH, Berlin

Der Sicherheitsforscher Michael Gillespie untersuchte eine Kopie der Ransomware. Laut Gillespie handelt es sich um ein Pythonscript, welches in eine ausführbare Datei umgewandelt wurde. Gelangt die Ransomware auf den Server, verschlüsselt sie die Nextcloud-Dateien per AES mit einem 256-Bit-Schlüssel, welcher wiederum mit einem in der Ransomware hinterlegten RSA-2048-Bit-Key verschlüsselt wird. Die Ransomware fordert 0,025 Bitcoin - knapp 200 Euro - Lösegeld.

Nextcry nutzt bereits gepatchte Sicherheitslücke in PHP-FPM unter NGINX

Anfangs war unklar, wie die Ransomware Nextcry auf die Server gelangen konnte. Im Forum von Bleepingcomputer meldeten sich Nutzer, deren Nextcloud-Installationen von der Ransomware befallen waren und die auf den Webserver NGINX setzen. Bleepingcomputer vermutete daher, dass die Ransomware auf eine Sicherheitslücke in dem FastCGI-Prozessmanager PHP-FPM (CVE-2019-11043), der PHP-Anwendungen beschleunigt, im Zusammenspiel mit NGINX setzte. Nextcloud warnte bereits vor einem Monat vor der Sicherheitslücke, die die Standardinstallation von Nextcloud unter NGINX betrifft. Die Lücke wurde im Oktober veröffentlicht und geschlossen.

Die Nextcloud-Entwickler bestätigten gegenüber Bleepingcomputer, dass diese Lücke das Einfallstor für die Ransomware sei. Mit PHP-FPM ließ sich im Zusammenspiel mit NGINX unter bestimmten Bedingungen Code auf dem Server ausführen. Nextcloud hatte daher bereits im Oktober dringend zu einem Update sowie einer Anpassung der Konfiguration geraten. Nextcloud-Betreiber, die ihre Installation entsprechend angepasst und aktuell halten, sollten daher nicht von Nextcry befallen werden. Gleiches gilt für Installationen, die auf Apache oder einen anderen Webserver setzen oder NGINX ohne PHP-FPM verwenden. Laut Nextcloud wurde ein Angriff nur bei zwei der über 300.000 Nextcloud-Installationen bekannt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (AMD Ryzen 9 5950X + Radeon RX 6900 XT)
  2. (u. a. TU7199 58 Zoll für 559€, Q80T QLED 49 Zoll für 859€, TU7199 75 Zoll für 899€, Q60T...
  3. (u. a. Konstruktionsspielzeug von LEGO)
  4. (u. a. MSI GeForce RTX 3060 VENTUS 3X OC 12G für 589€)

Joker86 20. Nov 2019

Der Entwickler von NextcloudPi findet es eine gute Idee ^^ https://help.nextcloud.com/t...


Folgen Sie uns
       


Gaming auf dem Chromebook ausprobiert

Wir haben uns Spielestreaming und natives Gaming auf dem Chromebook angesehen.

Gaming auf dem Chromebook ausprobiert Video aufrufen
    •  /