HeadCrab-Malware
Ein Forschungsteam des Sicherheitsunternehmens Aqua Nautilus hat eine gefährliche und gerissene Malware namens HeadCrab gefunden, die seit Ende 2021 weltweit Server infiltriert. Diese hochmoderne Bedrohung nutzt eine maßgeschneiderte, schwer zu erkennende Malware, um Redis-Server zu kompromittieren , und hat die Kontrolle über mindestens 1.200 Server übernommen. Die HeadCrab-Malware ist in der Lage, agentenlose und herkömmliche Antivirenlösungen zu umgehen.
Was ist Redis – die Plattform, auf die HeadCrab-Angriffe abzielen?
Redis ist ein Open-Source-In-Memory-Datenspeicher, der als Datenbank, Cache oder Nachrichtenbroker verwendet werden kann. Da es in einem sicheren, geschlossenen Netzwerk ausgeführt werden soll, sind standardmäßige Redis-Server, auf die über das Internet zugegriffen werden kann, anfällig für unbefugten Zugriff und die Ausführung von Befehlen. Der Redis-Cluster ermöglicht die automatische Aufteilung und Speicherung von Daten auf mehrere Knoten mit einem Master- und Slave-Server für eine einfache Datenreplikation und -synchronisierung. Ein Server kann mit dem SLAVEOF-Befehl als Slave bestimmt werden, wodurch er sich mit dem Master synchronisieren kann, einschließlich des Herunterladens aller auf dem Master vorhandenen Module. Redis-Module sind ausführbare Shared Object-Dateien, die die Funktionalität des Servers erweitern. Module werden mit dem Befehl MODULE LOAD über den Redis-Port hochgeladen und auf einen Server geladen.
Redis-Server wurden in den letzten Jahren aufgrund von Fehlkonfigurationen und Schwachstellen von Angreifern ins Visier genommen. Mit der wachsenden Popularität von Redis-Servern hat auch die Häufigkeit von Angriffen zugenommen, wobei Vorfälle wie die Redigo-Malware und TeamTNT auf Redis-Server abzielen.
Der Angriff auf einen von Aqua Nautilus betriebenen Honeypot-Server begann damit, dass der Angreifer einen Redis-Server ins Visier nahm. Der Server wurde schließlich kompromittiert, als der SLAVEOF-Befehl verwendet wurde, um ihn als Slave eines anderen Redis-Servers einzustellen, der vom Angreifer kontrolliert wurde. Der Master initiierte eine Synchronisation des Slaves, der wiederum die HeadCrab-Malware als schädliches Redis-Modul auf den Slave-Honeypot-Server herunterlud. Diese Taktik wurde von Angreifern verwendet, um schädliche Redis-Module auf betroffene Hosts zu laden.
Die HeadCrab-Malware ist eine hochentwickelte und komplizierte Bedrohung. Als böswilliges Redis-Modul-Framework konstruiert, verfügt es über eine Vielzahl von Optionen und Fähigkeiten.
Das einzigartige Profil und Verhalten von HeadCrab
Die von Aqua Nautilus angetroffene HeadCrab-Probe hat unter Verwendung ihrer MD5-Prüfsumme keine Ergebnisse zu Virus Total erzeugt. Trotz der Versuche, weitere Exemplare zu beschaffen, war das Team erfolglos, was den Glauben bestärkt, dass es sich um eine höchst schwer fassbare und originelle Malware handelt.
Zu Beginn ihrer Ausführung verwendet die Malware die Funktion RedisModule_OnLoad, die aktiviert wird, wenn der Redis-Server das Modul lädt. Die Malware speichert dann die Adressen wichtiger Redis-API-Funktionen für die zukünftige Verwendung und überprüft, ob ein Modul namens rds bereits geladen ist. Wenn dies der Fall ist, wird die Malware sofort gestoppt, ohne böswillige Aktivitäten auszuführen.
Das Modul kann mit zwei Argumenten oder magischen Zahlen geladen werden, die eigentlich zwei globale magische Zahlen sind, die als Verschlüsselungsschlüssel dienen und bestätigen, dass der Benutzer tatsächlich der Bedrohungsakteur ist. Später kann die Malware diese magischen Zahlen in verschiedenen Teilen ihrer Ausführung modifizieren. Das Modul kann mit oder ohne die magischen Zahlen geladen werden, was einige der Fähigkeiten der Malware während der Ausführung beeinträchtigt.
Die schädliche Software identifiziert den Weg zur dynamischen Ladekomponente und ermöglicht ihr, Programme auszuführen. Durch Bereitstellen der gewünschten ausführbaren Datei als Parameter kann die dynamische Ladekomponente Prozesse unter ihrem eigenen Namen ausführen. Diese Technik kann Sicherheitsmaßnahmen umgehen, die schädliche Dateien identifizieren, indem die Ausführung von Prozessen untersucht wird. Da es sich um eine echte Binärdatei handelt, wird die dynamische Ladekomponente nicht als bösartig erkannt, und die Malware kann sich vor diesen Sicherheitsmaßnahmen verbergen.
