Befürchtete Ransomware-Angriffe auf Exchange Server starten weltweit

Derzeit vergeht kaum eine Woche, in der es nicht neue Mel­dun­gen über Angriffe auf ungepatchte Exchange-Server gibt. Nun folgt die nächste Stufe: Die Angreifer verteilen Ran­som­ware, die zunächst die Systemressourcen beansprucht und den Com­pu­ter lahmlegt. Die Hacker-Gruppe, die unter dem Namen LockFile agiert, verschlüsselt Windows-Domänen, nachdem sie mithilfe der kürzlich bekannt gewordenen ProxyShell-Schwachstellen in noch nicht aktualisierte Microsoft Exchange-Servern eingedrungen sind. Die neue Erpressungs-Welle nutzt dabei gleich zwei Schwachstellen aus, zum einen die Microsoft Exchange ProxyShell und zum anderen die Windows PetitPotam-Schwachstelle. ProxyShell ist der Name eines Angriffs, der aus drei verketteten Microsoft Exchange-Schwachstellen besteht, die eine unauthentifizierte Remotecodeausführung ermöglichen. Infografik Oft gehört - nie genutzt: Schutzmaßnahmen im Internet Obwohl Microsoft diese Schwachstellen vollständig gepatcht hat, werden immer weitere technische Details bekannt, die es Sicherheitsforschern und Bedrohungsakteuren ermöglichen, die Schwachstelle zu reproduzieren. Das führte nun laut dem Bericht des Online-Magazins Bleeping Computer dazu, dass es weltweit vermehrt zu Angriffen auf ungesicherte Exchange Server gibt. Schon letzte Woche wurde eine solche Welle befürchtet.

Hintertür wird jetzt genutzt

Cyber-Gangster suchen aktiv nach Microsoft Exchange-Servern, die angreifbar sind und installieren eine Backdoor, die wiederum zum Hochladen und Ausführen anderer Programme verwendet wird. Wenn die Bedrohungsakteure in ein Netzwerk eindringen, greifen sie zunächst über die ProxyShell-Schwachstellen auf den Microsoft Exchange-Server vor Ort zu. Sobald sie Fuß gefasst haben, nutzt die LockFile-Bande laut den Sicherheitsforschern von Symantec die PetitPotam-Schwachstelle, um einen Domänen-Controller und damit die Windows-Domäne zu übernehmen.

Damit ist es dann ein leichtes, die Ransomware im gesamten Netzwerk zu verteilen. Bei der Verschlüsselung der Systeme fügt die Ransomware die Erweiterung .lockfile an den Namen der verschlüsselten Datei an. Diese Art der Angriffe und Erpressung nehmen aktuell zu. Wie weit verbreitet LockFile bereits ist, ist derzeit noch unklar.

Download RogueKiller - Malware aufspüren & entfernen Download Malwarebytes Premium, Schutz vor Schadsoftware Siehe auch: