Muhstik-Malware: Das Botnetz nutzt Schwachstellen aus

Was ist Muhstik-Malware?

Muhstik-Malware ist eine Art Schadsoftware, die vor allem dafür bekannt ist, dass sie auf Geräte des Internet of Things (IoT) und Linux-basierte Server abzielt. Muhstik wurde erstmals 2018 dokumentiert und ist dafür berüchtigt, Sicherheitslücken auszunutzen, um Systeme zu infiltrieren. Die Malware ist nach ihrer Angewohnheit benannt, sich als legitime Systemprozesse auszugeben, um nicht entdeckt zu werden. Sie wurde in verschiedenen Angriffskampagnen beobachtet und nutzt bekannte Sicherheitslücken in Webanwendungen, um sich zu verbreiten und neue Hosts zu infizieren.

Was macht die Muhstik-Malware?

Die bösartigen Aktivitäten der Muhstik-Malware sind vielfältig. Zu ihren Hauptfunktionen gehören das Mining von Kryptowährungen und das Ausführen von Distributed Denial of Service (DDoS)-Angriffen. Sobald Muhstik in ein System eingedrungen ist, schürft es Kryptowährungen, indem es die Rechenleistung des Geräts kapert, was das System erheblich verlangsamen und den Stromverbrauch erhöhen kann. Darüber hinaus kann es Zielserver mit Datenverkehr überfluten, sie überlasten und Dienstunterbrechungen verursachen. Diese doppelte Funktionalität macht Muhstik zu einer vielseitigen und gefährlichen Bedrohung für infizierte Systeme.

So verbreitet sich die Muhstik-Malware

Die Verbreitung der Muhstik-Malware beruht in hohem Maße auf der Ausnutzung bekannter Sicherheitslücken. Ein bemerkenswertes Beispiel ist die Ausnutzung von CVE-2023-33246, einem kritischen Fehler in Apache RocketMQ mit einem CVSS-Score von 9,8. Diese Sicherheitslücke ermöglicht es entfernten und nicht authentifizierten Angreifern, beliebigen Code auszuführen, indem sie den Inhalt des RocketMQ-Protokolls manipulieren oder die Funktion zur Aktualisierung der Konfiguration verwenden. Sobald der Angreifer den ersten Zugriff erhält, führt er ein Shell-Skript von einem Remote-Server aus, das dann die Muhstik-Binärdatei („pty3“) herunterlädt. Die Malware stellt ihre Persistenz sicher, indem sie sich selbst in mehrere Verzeichnisse kopiert und die Datei /etc/inittab so ändert, dass sie beim Systemstart automatisch neu gestartet wird.

Was die Muhstik-Malware will

Das Hauptziel der Muhstik-Malware besteht darin, infizierte Geräte in ein Botnetz einzubinden. Dieses Botnetz kann dann für verschiedene schändliche Zwecke verwendet werden, beispielsweise zum Mining von Kryptowährungen und für DDoS-Angriffe. Durch die Beschlagnahme der Rechenressourcen zahlreicher Geräte kann Muhstik durch das Mining von Kryptowährungen erhebliche Einnahmen erzielen. Darüber hinaus kann das Botnetz mächtige DDoS-Angriffe starten, die Onlinedienste stören, finanziellen Schaden verursachen und als Mittel zur Erpressung eingesetzt werden können.

Was greift die Muhstik-Malware an?

Muhstik zielt auf eine breite Palette von Geräten ab, mit besonderem Schwerpunkt auf IoT-Geräten und Linux-basierten Servern. Diese Ziele werden oft aufgrund ihrer hohen Anfälligkeit und ihrer weiten Verbreitung ausgewählt. Die Malware nutzt Sicherheitslücken in Webanwendungen und -diensten aus, um sich ersten Zugriff zu verschaffen. Apache RocketMQ beispielsweise war aufgrund seiner kritischen Sicherheitslücke kürzlich ein Ziel. Muhstiks Fähigkeit, Systemmetadaten zu sammeln und sich seitlich über Secure Shell (SSH) zu bewegen, erweitert seine Reichweite in infizierten Netzwerken noch weiter.

Präventionsmaßnahmen

Um Infektionen mit Muhstik-Malware zu verhindern, ist ein proaktiver Ansatz zur Cybersicherheit erforderlich. Hier sind einige wichtige Maßnahmen:

1. Regelmäßige Updates : Stellen Sie sicher, dass alle Software, insbesondere Webanwendungen und Serversoftware wie Apache RocketMQ, auf die neuesten Versionen aktualisiert wird. Patches für bekannte Schwachstellen sollten umgehend angewendet werden, um eine Ausnutzung zu verhindern.
2. Netzwerksegmentierung : Durch die Segmentierung von Netzwerken kann die Verbreitung von Malware innerhalb einer Organisation eingeschränkt werden. Durch die Isolierung kritischer Systeme verringern Sie das Risiko einer lateralen Ausbreitung durch böswillige Akteure.
3. Starke Authentifizierung : Implementieren Sie starke Authentifizierungsmechanismen wie die Multi-Faktor-Authentifizierung (MFA), um den Zugriff auf sensible Systeme zu schützen. Dies verringert das Risiko eines unbefugten Zugriffs durch kompromittierte Anmeldeinformationen.
4. Überwachen und prüfen : Überwachen Sie Systeme regelmäßig auf ungewöhnliche Aktivitäten und prüfen Sie Protokolle auf Anzeichen einer Gefährdung. Eine frühzeitige Erkennung kann dazu beitragen, die Auswirkungen einer Infektion zu mildern.
5. Sicherheitssoftware : Verwenden Sie umfassende Sicherheitslösungen, die Malware-Erkennung, Intrusion Detection Systems (IDS) und Firewalls umfassen. Diese Tools können eine zusätzliche Verteidigungsebene gegen Malware wie Muhstik bieten.
6. Benutzerschulung : Informieren Sie Benutzer über die Gefahren von Malware und die Notwendigkeit, bewährte Sicherheitspraktiken einzuhalten. Phishing und Social Engineering sind häufig eingesetzte Techniken, um sich ersten Zugriff zu verschaffen.

Durch das Verständnis der Muhstik-Malware und die Umsetzung dieser Präventivmaßnahmen können Unternehmen das Infektionsrisiko erheblich senken und ihre Systeme vor dieser vielseitigen und hartnäckigen Bedrohung schützen.