Einen gehackten Server kaufen und darüber Malware verbreiten, Spammails absetzen oder ein Botnetz einrichten? Das ist nur eine Frage des Geldes. Im Untergrund-Store "SSH-Zone.net" sind derartige Server-Käufe möglich. Kürzlich haben die Spezialisten von AlienVault diese Seite genauer untersucht, um festzustellen, wer hinter diesem Geschäft steht und wie die Kriminellen in die Server einbrechen. Überwiegend machen sich die Cybergangster die Server per IP-Scanning und Brute-Force-Attacken zu eigen.
Die Domain "SSH-Zone.net" des Store ist seit dem 07. April 2013 registriert, die Website ist laut Vermutungen der AlienVault-Experten kurz darauf veröffentlicht worden. Zum Zeitpunkt der Analyse waren etwa 400 Kunden angemeldet, Anzahl täglich steigend. Um den Standpunkt des eigenen Servers zu verschleiern sowie digitale Attacken abzuwehren, haben die Inhaber die Site hinter dem Schutzwall des Security-Tools CloudFlare aufgezogen. Im Store findet der User verschiedene, international aufgestellte Server-Typen inklusive detaillierter technischer Informationen. Der Großteil der gerooteten Server ist den Labs-Spezialisten zufolge eher überholt und läuft mit alter Software. Den Kauf kann der Interessierte mittels der Online-Bezahlsysteme Perfect Money oder WebMoney tätigen.
Erst gescannt, dann gehackt
Außerdem hat AlienVault ermittelt, wie die Seitenbetreiber die Kontrolle über die betroffenen Server erlangen: Hauptsächlich hacken sie Nutzerkonten von SSH und dem Serververwaltungs-Tool Plesk. Als Secure Shell oder kurz SSH werden u.a. Programme bezeichnet, die Remote-Zugriffe per verschlüsselte Netzwerkverbindung auf andere Geräte ermöglichen. Vor den Brute-Force-Attacken scannen die Kriminellen mittels eines portablen Scanners namens Fever offene 8443- und 22-Ports. Es gibt Indizien dafür, dass manche "Mitarbeiter" der Site russisch sprechen, da auf dem Server installierte Software auf russische Sprache eingestellt war. Auf demselben Server werden außerdem gehackte PayPal-Accounts und Kreditkarten verkauft.
Fazit der AlienVault-Experten: Gerootet zu werden kann jedem Server bevorstehen, der nicht ausreichend abgesichert oder mit einem schwachen Passwort geschützt ist. Das Unternehmen rät Systemadministratoren verbeugend dazu, unnötige Services auszufiltern, die Software stets upzudaten sowie starke Passwörter oder besser: Authentifizierungsschlüssel zu verwenden. Des Weiteren empfiehlt sich das Monitoring aller Kommunikationsstrukturen, wie es die AlienVault Unified Security ManagementTM -Plattform ermöglicht. Mit ihrer Hilfe lassen sich forensische Daten nach Cyberangriffen analysieren und künftige Attacken abwehren.
Weitere Informationen zum Underground Store stehen im Blog der AlienVault Labs bereit.
Die Domain "SSH-Zone.net" des Store ist seit dem 07. April 2013 registriert, die Website ist laut Vermutungen der AlienVault-Experten kurz darauf veröffentlicht worden. Zum Zeitpunkt der Analyse waren etwa 400 Kunden angemeldet, Anzahl täglich steigend. Um den Standpunkt des eigenen Servers zu verschleiern sowie digitale Attacken abzuwehren, haben die Inhaber die Site hinter dem Schutzwall des Security-Tools CloudFlare aufgezogen. Im Store findet der User verschiedene, international aufgestellte Server-Typen inklusive detaillierter technischer Informationen. Der Großteil der gerooteten Server ist den Labs-Spezialisten zufolge eher überholt und läuft mit alter Software. Den Kauf kann der Interessierte mittels der Online-Bezahlsysteme Perfect Money oder WebMoney tätigen.
Erst gescannt, dann gehackt
Außerdem hat AlienVault ermittelt, wie die Seitenbetreiber die Kontrolle über die betroffenen Server erlangen: Hauptsächlich hacken sie Nutzerkonten von SSH und dem Serververwaltungs-Tool Plesk. Als Secure Shell oder kurz SSH werden u.a. Programme bezeichnet, die Remote-Zugriffe per verschlüsselte Netzwerkverbindung auf andere Geräte ermöglichen. Vor den Brute-Force-Attacken scannen die Kriminellen mittels eines portablen Scanners namens Fever offene 8443- und 22-Ports. Es gibt Indizien dafür, dass manche "Mitarbeiter" der Site russisch sprechen, da auf dem Server installierte Software auf russische Sprache eingestellt war. Auf demselben Server werden außerdem gehackte PayPal-Accounts und Kreditkarten verkauft.
Fazit der AlienVault-Experten: Gerootet zu werden kann jedem Server bevorstehen, der nicht ausreichend abgesichert oder mit einem schwachen Passwort geschützt ist. Das Unternehmen rät Systemadministratoren verbeugend dazu, unnötige Services auszufiltern, die Software stets upzudaten sowie starke Passwörter oder besser: Authentifizierungsschlüssel zu verwenden. Des Weiteren empfiehlt sich das Monitoring aller Kommunikationsstrukturen, wie es die AlienVault Unified Security ManagementTM -Plattform ermöglicht. Mit ihrer Hilfe lassen sich forensische Daten nach Cyberangriffen analysieren und künftige Attacken abwehren.
Weitere Informationen zum Underground Store stehen im Blog der AlienVault Labs bereit.
