Hackergruppe macht im Schnelldurchlauf Jagd auf Exchange Server

Eine Hackergruppe namens "Hive" ist derzeit auf der Suche nach anfälligen Microsoft Exchange-Servern, um sie mit schnellen Ransomware-Attacken einzunehmen und Unternehmen zu er­pres­sen. Sie machen dabei Druck auf ihre Opfer, rasch zu bezahlen. Seit Mitte vergangenen Jahres ist die Hackergruppe Hive aktiv und bedroht vorrangig Unternehmen und Behörden. Wie jetzt aus einem Bericht des Online-Magazins ZDNet und den Sicherheitsforschern von Varonis Forensics hervorgeht, gibt es einen aktuellen Fall einer Erpressung, die mehr über die Cybergangster und ihre Vorgehensweise verrät. Interessant dabei: Die Unbekannten versuchen sich Zugriff auf Netzwerke zu beschaffen, indem sie eine alte Microsoft Exchange Server-Schwachstelle ausnutzen. Infografik Oft gehört - nie genutzt: Schutzmaßnahmen im Internet Microsoft hatte die ProxyShell-Sicherheitslücke bereits im vergangenen Jahr gepatcht, doch noch immer gibt es zahlreiche für die Hacker über das Internet zugängliche nicht-aktualisierte Exchange Server, die sich für den Angriff ausnutzen lassen. Laut ZDNet ist eine der Besonderheiten, dass Hiev besonders schnell vorgeht und seinen Opfern nicht viel Zeit lässt zu handeln.

Eindringen, Passwörter scannen, Systeme übernehmen

In einem Fall brauchten sie weniger als 72 Stunden, um ein Unternehmen zu infiltrieren und Lösegeld zu verlangen. Wenn die Hackergruppe Zugriff bekommt, kann sie sich durch die ProxyShell-Schwachstelle selbst Systemrechte zuweisen und versucht den Account des Administrators durch Passwortdiebstahl zu übernehmen.

Schließlich wird eine benutzerdefinierte Malware-Nutzlast bereitgestellt und über eine "windows.exe"-Datei ausgeführt, die weitere Dateien stiehlt und verschlüsselt, Schattenkopien und Ereignisprotokolle löscht und Sicherheitsmechanismen außer Kraft setzt. Dann erfolgt das Erpresser-Schreiben an die eingenommenen Opfer. Hive droht damit, bei Nicht-Zahlung die gestohlenen Informationen über ihre Leak-Webseite zu veröffentlicht. Auf der gleichen Website wird ein Countdown angezeigt, um das Opfer zur Zahlung zu bewegen.

Varonis empfiehlt, dass Systemadministratoren sicherstellen, dass ihre Exchange-Server gepatcht sind. Administratoren sollten außerdem häufige Passwort-Rotationen erzwingen, SMBv1 blockieren und SMB-Signierung verwenden.

Download RogueKiller - Malware aufspüren & entfernen Download Malwarebytes Schutz vor Schadsoftware Siehe auch: