Threat Alert: Kriminelle übernehmen SSH-Server mit SSH-Tunneling

• Cyberkriminelle haben Wege gefunden, die gängige Methode SSH-Tunneling für ihre Zwecke zu nutzen.
• Ziele von Kriminellen sind SPAM-Verbreitung, Informationsdiebstahl oder Kryptomining.
• Ausgenutzte SSH-Server werden im Dark Web als Proxy-Pools angeboten.
• Acht Empfehlungen, um SSH-Server zu schützen.

Aqua Security, der Pionier im Bereich Cloud Native Security, hat eine seit langem bestehende aber kaum bekannte Bedrohung für SSH-Server näher beleuchtet. Über SSH-Tunneling können Bedrohungsakteure SSH-Server als Slave-Proxy nutzen und Datenverkehr über ihn weiterleiten. Eine mehrmonatige Forschung von Aquas Research-Team „Nautilus“ ergab, dass Cyberkriminelle einen Weg gefunden haben, um SSH-Tunneling zu nutzen, um Proxy-Pools zu erstellen. Die Cyberkriminellen haben es dabei vornehmlich auf die Verbreitung von SPAM abgesehen, doch es wurden auch Hinweise auf Informations-Diebstahl oder Kryptomining gefunden. Im Rahmen der Untersuchung fand das Team Nautilus zahlreiche Hinweise darauf, dass kompromittierte SSH-Server im Dark Web als Teil von Proxy-Pool-Paketen angeboten werden. Um SSH-Server zu kompromittieren, nutzen Cyberkriminelle unter anderem Brute-Force-Angriffe. Das Research-Team Nautilus konnte während Beobachtungen seiner SSH-Honeypots jedoch auch Kampagnen beobachten, die laterale Bewegungen zu SSH-Verbindungen durchführten.

Was ist SSH-Tunneling?
SSH-Tunneling ist eine häufig genutzte Methode, mit der sichere und verschlüsselte Netzwerkverbindungen zwischen zwei Servern hergestellt werden. So lassen sich Daten über ein nicht vertrauenswürdiges Netzwerk übertragen. Der Hauptzweck besteht darin, einen sicheren Kommunikationskanal zwischen einem lokalen und einem entfernten Host zu schaffen, der dann zum Tunneln verschiedener Netzwerkprotokolle und -dienste verwendet werden kann.

Spam-Versand, Stehlen von Informationen oder Kryptomining
Cyberkriminelle haben verschiedene Ziele bei der Übernahme von SSH-Servern. Ein Anwendungszweck für Kriminelle ist die Verbreitung von SPAM, die normalerweise durch die Ausnutzung von Webanwendungen, Kontoübernahmen oder Malware erfolgt. Cyberkriminelle haben nun offenbar Wege gefunden, um SSH-Server zu kompromittieren und ihre SPAM-Kampagnen mittels SSH-Tunnelings über die kompromittierten SSH-Server ihrer nichtsahnenden Opfer abzuwickeln. Des Weiteren haben es die Kriminellen auf Informationen auf den Servern abgesehen. Es wurden Domain-Lookup-Anfragen beobachtet, bei denen versucht wurde, „Whois“-Daten abzurufen, sowie Geolocation-Anfragen, bei denen Informationen über IP-Adressen gesucht wurden. Außerdem fielen API-Anfragen auf, die an verschiedene Dienste gerichtet waren, darunter auch die Steam-API. Steam ist eine Spiele-Website, und es scheint, dass diese Anfragen darauf abzielen, Informationen über verschiedene Nutzer zu sammeln. Auch Kryptomining-Aktivitäten und Script-Kiddies wurden beobachtet.

Warum sollte man über SSH-Tunneling besorgt sein?
Angreifer können über einen kompromittierten SSH-Zugang die vollständige Kontrolle über einen Server erlangen. Dies kann zu erheblichen Auswirkungen führen. So kann ein kompromittierter SSH-Server den Ruf einer IP-Adresse schädigen, was zu IP-Adresssperren führen kann, die den ausgehenden E-Mail-, Daten- oder sonstigen Verkehr unterbrechen. Auch der Ruf eines Unternehmens kann durch die Assoziation mit betrügerischen oder bösartigen Aktivitäten leiden. Daher kann sich diese Art von Angriff auch ohne eine Datenverletzung negativ auf Unternehmen auswirken.

Wie kann man sich gegen die Übernahme von SSH-Servern mittels SSH-Tunneling schützen?
Wie immer gilt, dass bösartiges Verhalten so früh wie möglich erkannt werden sollte. Da es SSH-Tunneling auf SSH-Server abgesehen haben, die Teil der cloud-native Infrastruktur eines Unternehmens sind, ist die Abwehr nur so gut, wie die Sicherheit der cloud-native Umgebung. Mithilfe einer Cloud Native Application Protection Platform (CNAPP) können sowohl Fehlkonfigurationen in SSH-Servern als auch bösartiges Verhalten erkannt werden. Dies sind weitere Empfehlungen, um die Sicherheit betroffener Umgebungen zu gewährleisten:

  • Verhindern Sie unnötigen SSH-Zugang.
  • Verwenden Sie Tools zur Netzwerküberwachung, um den ein- und ausgehenden Datenverkehr zu blockieren oder einzuschränken.
  • Verwenden Sie starke, eindeutige Passwörter oder eine schlüsselbasierte Authentifizierung für den SSH-Zugang.
  • Implementieren Sie eine Multi-Faktor-Authentifizierung (MFA), um die SSH-Sicherheit zu erhöhen.
  • Überwachen Sie SSH-Protokolle auf ungewöhnliche Aktivitäten oder mehrfach fehlgeschlagene Anmeldeversuche.
  • Aktualisieren und patchen Sie SSH-Software regelmäßig, um bekannte Schwachstellen zu beseitigen.
  • Erwägen Sie die Verwendung einer auf SSH-Zertifikaten basierenden Authentifizierung, um die Sicherheit zu erhöhen.
  • Sie können das Tunneln von Ports leicht blockieren, indem Sie Folgendes ändern: „AllowTCPForwarding no“.

Einen detaillierten Blog des Research-Teams Nautilus über die neue Bedrohung SSH-Tunneling finden Sie hier: https://blog.aquasec.com/threat-alert-exploited-ssh-servers-offered-in-the-dark-web-as-proxy-pools.

Über Aqua Nautilus
Aqua Nautilus konzentriert sich auf die Cybersicherheitsforschung des Cloud Native Stacks. Das Team hat es sich zur Aufgabe gemacht, neue Schwachstellen, Bedrohungen und Angriffe aufzudecken, die auf Container, Kubernetes, serverless und Public-Cloud-Infrastrukturen abzielen, und neue Methoden und Tools für deren Bekämpfung zu entwickeln. Mit einem globalen Netzwerk von Honeypots fängt Aqua Nautilus jeden Monat mehr als 80.000 Angriffe auf Cloud-Native-Infrastrukturen ab, insbesondere solche, die für Container und Microservices einzigartig sind und von anderen Plattformen nicht erkannt werden.

Über Aqua Security Software Inc

Aqua Security stoppt Cloud-native Angriffe und ist das einzige Unternehmen, das die Sicherheit mit einer Cloud-Native-Protection-Warranty in Höhe von einer Million US-Dollar garantiert. Als Pionier und größtes reines Unternehmen für Cloud Native Security hilft Aqua Security seinen Kunden, Innovationen umzusetzen und die Zukunft ihres Unternehmens zu gestalten. Die Aqua-Plattform ist die branchenweit am stärksten integrierte Cloud Native Application Protection Platform (CNAPP), die Risiken priorisiert und die Prävention, Erkennung und Reaktion über den gesamten Lebenszyklus automatisiert. Aqua wurde 2015 gegründet und hat seinen Hauptsitz in Boston und Ramat Gan (Israel), mit Fortune-1000-Kunden in über 40 Ländern.

www.aquasec.com

Firmenkontakt und Herausgeber der Meldung:

Aqua Security Software Inc
800 District Avenue, Suite 510
USAMA 01803 Burlington
Telefon: +1 (781) 362-4787
http://www.aquasec.com/

Ansprechpartner:
Markus Hörmann
Aqua Security Team @ Touchdown PR
Telefon: +49 (89) 2152644-76
E-Mail: Aqua_DACH@touchdownpr.com
Für die oben stehende Story ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel