CISA und FBI warnen vor AndroxGh0st-Malware-Bedrohung

CISA und FBI haben gemeinsam eine Warnung vor der Bedrohung durch die AndroxGh0st-Malware herausgegeben und betonen, dass diese zum Aufbau eines Botnetzes für die "Identifizierung von Opfern und die Ausnutzung von Zielnetzwerken" verwendet wird. AndroxGh0st, eine Python-basierte Malware, geht auf einen Lacework-Bericht vom Dezember 2022 zurück und hat ähnliche Tools wie AlienFox, GreenBot (alias Maintance), Legion und Predator hervorgebracht.

Dieses Cloud-Angriffstool kann in Server mit bekannten Sicherheitslücken eindringen, um Zugriff auf Laravel-Umgebungsdateien zu erhalten. Anschließend erbeutet es Anmeldeinformationen für hochkarätige Anwendungen wie AWS, Microsoft Office 365, SendGrid und Twilio. Zu den von AndroxGh0st ausgenutzten Schwachstellen gehören CVE-2017-9841 (PHPUnit), CVE-2021-41773 (Apache HTTP Server) und CVE-2018-15133 (Laravel Framework).

AndroxGh0st Malware-Fähigkeiten

Lacework unterstreicht die Fähigkeiten von AndroxGh0st beim SMTP-Missbrauch durch Scannen, Ausnutzen offener Anmeldeinformationen und APIs sowie der Bereitstellung von Web-Shells. Speziell für AWS scannt und analysiert die Malware nicht nur AWS-Schlüssel, sondern besitzt auch die Fähigkeit, Schlüssel für Brute-Force-Angriffe zu generieren.

Die kompromittierten AWS-Anmeldeinformationen werden verwendet, um neue Benutzer und Benutzerrichtlinien zu erstellen und in einigen Fällen neue AWS-Instanzen für weitere bösartige Scan-Aktivitäten einzurichten. Diese Funktionen machen die AndroxGh0st-Malware zu einer gewaltigen Bedrohung, die in der Lage ist, zusätzliche Nutzdaten herunterzuladen und dauerhaften Zugriff auf kompromittierte Systeme zu erhalten.

Alex Delamotte von SentinelLabs stellt fest, dass auf Cloud-Malware ausgerichtete Empfehlungen selten sind, und lobt die CISA dafür, dass sie sich mit dieser Art von Bedrohung befasst. Diese Empfehlung folgt auf die Enthüllungen von SentinelOne über ein ähnliches, aber anderes Tool namens FBot, das von Angreifern zum Einbruch in Webserver, Cloud-Dienste, CMS und SaaS-Plattformen verwendet wird.

Delamotte verweist auf die sich entwickelnde Cloud-Bedrohungslandschaft, in der Tools wie AlienFox und Legion Code von AndroxGh0st und FBot in ein ganzheitliches Ökosystem integrieren. Mit der zunehmenden Monetarisierung von Cloud-Diensten ist zu erwarten, dass maßgeschneiderte Tools für bestimmte Dienste auftauchen werden, ähnlich denen, die auf Mail-Dienste für Spamming-Angriffe abzielen.

Letzte Worte

Abschließend unterstreicht die gemeinsame Empfehlung von CISA und FBI die eskalierende Gefahr, die von AndroxGh0st-Malware und ihren Derivaten ausgeht. Da diese Angriffe schwerpunktmäßig bekannte Schwachstellen ausnutzen, sind proaktive Cybersicherheitsmaßnahmen und ein erhöhtes Bewusstsein erforderlich, insbesondere in Cloud-Umgebungen. Da sich die Landschaft weiter entwickelt, sind Zusammenarbeit und Sensibilisierung nach wie vor von entscheidender Bedeutung, um die Risiken dieser ausgeklügelten Cloud-basierten Angriffe einzudämmen.

Zu den Quellen für diesen Artikel gehört ein Artikel von TheHackerNews.

Zusammenfassung

Artikel Name

CISA und FBI warnen vor AndroxGh0st-Malware-Bedrohung

Beschreibung

Informieren Sie sich über die wachsende Bedrohung durch AndroxGh0st-Malware. Erfahren Sie, wie dieses Cloud-Angriffstool bekannte Schwachstellen ausnutzt und Anmeldedaten stiehlt.

Autor

Rohan Timalsina

Name des Herausgebers

TuxCare

Logo des Herausgebers