Neuartige Backdoor öffnet Windows-Systeme über installiertes PHP

Sicherheitsforscher haben eine bisher unbekannte Backdoor-Malware entdeckt. Diese nutzt eine Sicherheitslücke in der Skriptsprache PHP aus, die besonders innerhalb einiger Windows-Installationen ihre Wirkung entfalten kann.

Asien-Versionen besonders betroffen

Gefunden und analysiert wurde die Backdoor von Experten des Security-Dienstleisters Symantec. Diese fanden den Schadcode bei der Aufarbeitung eines Angriffs auf eine Universität in Taiwan. Nach ihren Angaben nutzten die Angreifer hier eine Schwachstelle in PHP aus, die unter der Kennung CVE-2024-4577 bekannt ist und für die es auch schon einen Patch gibt.

Diese Sicherheitslücke betrifft hauptsächlich Windows-Installationen, die in chinesischer und japanischer Sprache betrieben werden. Ihre Ausnutzung könnte laut Symantec zur Ausführung von beliebigem Code auf den betroffenen Systemen führen. In den letzten Wochen haben die Forscher vermehrt Aktivitäten von verschiedenen Bedrohungsakteuren beobachtet, die nach anfälligen Systemen suchen.


"Bisher haben wir keine Beweise gefunden, die eine eindeutige Zuordnung dieser Bedrohung ermöglichen, und die Motive hinter dem Angriff bleiben weiterhin unbekannt", erklärten die Forscher. Da hier aber ein wertvolles Ziel in Taiwan attackiert wurde, liegt der Verdacht nahe, dass der Ursprung der Malware in China zu suchen sein könnte.

Tarnung per DNS-Tunneling

Bereits im Juni dieses Jahres entdeckten Sicherheitsforscher eine Kampagne, die von mutmaßlich staatlich geförderten Hackern aus China, bekannt unter dem Namen "RedJuliett", durchgeführt wurde. Diese Gruppe zielte auf Dutzende Organisationen in Taiwan ab, darunter Universitäten, staatliche Einrichtungen, Elektronikhersteller und religiöse Organisationen. Wie viele andere chinesische Bedrohungsakteure nutzte die Gruppe vermutlich Schwachstellen in Geräten wie Firewalls und Unternehmens-VPNs aus, da diese oft nur eingeschränkte Überwachungsmöglichkeiten bieten und anfällig für Angriffe sind.

Besonders bemerkenswert an der aktuellen Malware, die von den Forschern "Msupedge" getauft wurde, ist die Verwendung einer speziellen Technik namens DNS-Tunneling zur Kommunikation mit einem vom Angreifer kontrollierten Server. Im Gegensatz zu den weitverbreiteten Methoden wie HTTP- oder HTTPS-Tunneling ist DNS-Tunneling schwerer zu erkennen, da DNS-Verkehr im Allgemeinen als unbedenklich gilt und von vielen Sicherheitstools übersehen wird.


Siehe auch: