Ransomware: Nextcry hat es auf Nextcloud-Installationen abgesehen
Die Ransomware Nextcry hat es auf Nextcloud-Installationen abgesehen und wurde bereits in freier Wildbahn gesichtet. Die Ransomware verschlüsselt die Dateien im Cloudspeicher mit dem Verschlüsselungsalgorithmus AES und löscht Ordner und Dateien, die bei der Wiederherstellung der Daten helfen können. Laut den Nextcloud-Entwicklern soll die Ransomware über eine Sicherheitslücke, die nicht in Nextcloud steckt und bereits geschlossen wurde, auf die Server gelangen. Zuerst hatte das Onlinemagazin Bleepingcomputer berichtet(öffnet im neuen Fenster) .
Der Sicherheitsforscher Michael Gillespie untersuchte eine Kopie der Ransomware. Laut Gillespie handelt es sich um ein Pythonscript, welches in eine ausführbare Datei umgewandelt wurde. Gelangt die Ransomware auf den Server, verschlüsselt sie die Nextcloud-Dateien per AES mit einem 256-Bit-Schlüssel, welcher wiederum mit einem in der Ransomware hinterlegten RSA-2048-Bit-Key verschlüsselt wird. Die Ransomware fordert 0,025 Bitcoin – knapp 200 Euro – Lösegeld.
Nextcry nutzt bereits gepatchte Sicherheitslücke in PHP-FPM unter NGINX
Anfangs war unklar, wie die Ransomware Nextcry auf die Server gelangen konnte. Im Forum von Bleepingcomputer meldeten sich Nutzer, deren Nextcloud-Installationen von der Ransomware befallen waren und die auf den Webserver NGINX setzen. Bleepingcomputer vermutete daher, dass die Ransomware auf eine Sicherheitslücke in dem FastCGI-Prozessmanager PHP-FPM ( CVE-2019-11043(öffnet im neuen Fenster) ), der PHP-Anwendungen beschleunigt, im Zusammenspiel mit NGINX setzte. Nextcloud warnte bereits vor einem Monat(öffnet im neuen Fenster) vor der Sicherheitslücke, die die Standardinstallation von Nextcloud unter NGINX betrifft. Die Lücke wurde im Oktober veröffentlicht und geschlossen.
Die Nextcloud-Entwickler bestätigten gegenüber Bleepingcomputer, dass diese Lücke das Einfallstor für die Ransomware sei. Mit PHP-FPM ließ sich im Zusammenspiel mit NGINX unter bestimmten Bedingungen Code auf dem Server ausführen. Nextcloud hatte daher bereits im Oktober dringend zu einem Update sowie einer Anpassung der Konfiguration geraten. Nextcloud-Betreiber, die ihre Installation entsprechend angepasst und aktuell halten, sollten daher nicht von Nextcry befallen werden. Gleiches gilt für Installationen, die auf Apache oder einen anderen Webserver setzen oder NGINX ohne PHP-FPM verwenden. Laut Nextcloud(öffnet im neuen Fenster) wurde ein Angriff nur bei zwei der über 300.000 Nextcloud-Installationen bekannt.
- Anzeige Hier geht es zu Kryptowährungen - Investments in Bitcoin & Altcoins bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.