Samba Cry: Neue Malware zielt auf alte Sicherheitslücke ab

Offenbar ist die als Samba Cry bekanntgewordenen Lücke immer noch ein lohnendes Ziel für Angreifer. Jetzt gibt es eine weitere Malware, die diese Lücken ausnutzen will. Die Malware zielt offenbar auf verwundbare NAS ab.

Artikel veröffentlicht am ,
Samba gibt es nicht nur in Brasilien, sondern auch auf Linux-Rechnern.
Samba gibt es nicht nur in Brasilien, sondern auch auf Linux-Rechnern. (Bild: Luiza Brunet: Reina Imperatriz 2008)

Eigentlich wurde die Schwachstelle Samba Cry (CVE-2017-7494) längst repariert und es gibt Updates für verschiedene Linux-Systeme. Augenscheinlich ist der Patch aber nicht auf allen Geräten angekommen, die Windowsfreigaben über Samba bereitstellen. Und viele davon sind weiterhin direkt über das Internet erreichbar. Jetzt gibt es eine weitere Malware, die versucht, sich auf ungepatchten Geräten einzunisten. Der Hersteller Trend Micro, der die Malware entdeckte, nennt sie Elf_Shellbind.A. Die Malware wurde auch für Architekturen programmiert, die auf externen Speicherlösungen üblich sind, etwa ARM, MIPS und sogar PowerPC.

Stellenmarkt
  1. Teamleiter Technical IT Support (m/w/d)
    Hays AG, München
  2. IT Service Delivery Manager (m/w/d)
    nora systems GmbH, Weinheim
Detailsuche

Anders als die erste bekanntgewordene Malware, die Samba Cry ausnutzte und gleich eine Mining-Software (EternalMiner/CPUMiner) mit installierte, um die Kryptowährung Monero zu schürfen, hat die neue Malware keine Payload. Elf_Shellbind.A nistet sich zunächst als Datei mit der Endung .so in einem öffentlich zugänglichen Ordner ein. Der Angreifer muss anschließend einen IPC-Befehl an die abgelegte Datei senden, um sie auszuführen. Dazu wird der absolute Pfad zu der Datei benötigt, was den Angriff deutlich erschwert.

Malware wartet auf Befehle

Die Malware versucht nach der Initialisierung zunächst eine Verbindung zu einem Server mit der IP-Adresse 69.239.128.123 aufzubauen. Die Experten bei Trend Micro vermuten hinter der IP-Adresse einen Command-and-Control-Server. Mit dem Verbindungsaufbau wird auch die IP-Adresse des infizierten Geräts übermittelt. Gleichzeitig werden Iptable-Regeln so geändert, dass eine Verbindung über den Port 61422 Anfragen aus der Ferne akzeptiert. Bei einer erfolgreichen Infizierung des Systems erhält der Angreifer Zugriff auf die Shell und somit die volle Kontrolle über das Gerät.

Wer noch kein Update für möglicherweise verwundbare Geräte erhalten hat, sollte unbedingt beim Hersteller anfragen. In der Konfigurationsdatei des Samba-Servers lassen sich Dateien mit bestimmten Endungen mit der Option veto files blockieren. Die von Trend Micro genannte IP-Adresse des vermeintlichen Command-and-Control-Servers und auch die verwendete Portnummer könnten Nutzern Hinweise auf eine Infizierung geben. Allerdings dürfte sie sich in künftigen Versionen der Malware ändern. Und schließlich sollten öffentliche Ordner ohne Passwortschutz nicht über den Port 445 im Internet erreichbar sein, wenn nicht unbedingt nötig.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Infiltration bei Apple TV+
Die Außerirdischen sind da!

Nach Foundation wartet Apple innerhalb kürzester Zeit gleich mit der nächsten Science-Fiction-Großproduktion auf. Diesmal landen die Aliens auf der Erde.
Eine Rezension von Peter Osteried

Infiltration bei Apple TV+: Die Außerirdischen sind da!
Artikel
  1. Truth Social: Trumps soziales Netz bekommt Probleme mit Hackern und Lizenz
    Truth Social
    Trumps soziales Netz bekommt Probleme mit Hackern und Lizenz

    Hacker starten in Trumps-Netzwerk einen "Online-Krieg gegen Hass" mit Memes. Der Code scheint illegal von Mastodon übernommen worden zu sein.

  2. Krypto: NRW versteigert beschlagnahmte Bitcoin
    Krypto
    NRW versteigert beschlagnahmte Bitcoin

    Nordrhein-Westfalen hat Bitcoin im achtstelligen Eurobereich beschlagnahmt und will diese jetzt loswerden - im Rahmen einer Auktion.

  3. Rust, Deepfake, Sony, Microsoft: Konsolen-Termin für Among Us, mehr Speicher für die Xbox
    Rust, Deepfake, Sony, Microsoft
    Konsolen-Termin für Among Us, mehr Speicher für die Xbox

    Sonst noch was? Was am 22. Oktober 2021 neben den großen Meldungen sonst noch passiert ist, in aller Kürze.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Seagate SSDs & HDD günstiger (u. a. ext. HDD 14TB 326,99) • Dualsense PS5-Controller Weiß 57,99€ • MacBook Pro 2021 jetzt vorbestellbar • World of Tanks jetzt mit Einsteigerparket • Docking-Station für Nintendo Switch 9,99€ • Alternate-Deals (u. a. iPhone 12 Pro 512GB 1.269€) [Werbung]
    •  /