MySQL.com erneut von Malware kompromittiert

Die Webseite des Datenbank-Projekts MySQL ist erneut erfolgreich von Angreifern gekapert worden. Diese integrierten einen iFrame in die Seite, über den Schadcode eingebettet wurde. Entdeckt wurde das Problem von dem Sicherheits-Unternehmen Armorize. Der eingebettete Code wird von der Domain truruhfhqnviaosdpruejeslsuy.cx.cc bezogen. In einem Video demonstrieren die Security-Experten, wie anschließend auf einem Windows-System Java gestartet und Binär-Dateien mit Malware generiert und ausgeführt werden. Der Schadcode nistet sich so auf dem jeweiligen Rechner ein. Er kann neben Java auch andere Plugins wie Flash oder PDF nutzen, um sich per Exploit ins System zu schleusen. Die Infektion erfolgt vollständig ohne Interaktion mit dem Anwender.


Aktuell ist noch nicht genauer untersucht, was der so verbreitete Schädling anschließend tut. Die zum Zeitpunkt der Entdeckung in Umlauf befindlichen Versionen von Antiviren-Scannern schlugen allerdings meist nicht auf die Malware an, so dass es sich kaum um einen bereits bekannten Trojaner handeln kann. Eine Identifikation wird wohl erst nach dem nächsten Update erfolgreich sein wird.

Nachdem die Administratoren bei Oracle, unter dessen Dach MySQL derzeit angesiedelt ist, unterrichtet waren, wurde der Schadcode umgehend aus der Webseite entfernt. Es könnten sich jedoch Anwender, die in den letzten Tagen auf dem Angebot aufhielten, infiziert worden sein. Diese sollten ihr System nun mit aktuellen Scannern überprüfen.

Über die Angreifer ist derzeit ebenfalls noch nichts bekannt. Die Domain ist angeblich auf einen Nutzer aus dem kalifornischen Miami ausgestellt, deren Aufenthaltsort mit Berlin angegeben wird. Allerdings sind diese Angaben mit großer Sicherheit gefälscht. Die Adresse soll letztlich auf einen Server in Schweden verweisen, von dem aus der Schadcode ausgeliefert wird.