ESET-Forscher decken Verbindung zwischen Mumblehard und Internetfirma Yellsoft auf. Der Security-Software-Hersteller ESET hat die Mumblehard-Malware bis ins Detail analysiert und stellt auf WeLiveSecurity detaillierte Einblicke dazu in einem Whitepaper (https://www.welivesecurity.com/wp-content/uploads/2015/04/mumblehard.pdf) bereit. Die Untersuchungsergebnisse decken eine Verbindung zwischen der Internetfirma «Yellsoft» und der Mumblehard-Malware-Familie auf.
WordPress und Joomla als Einfallstor
Die schon seit Ende 2009 aktive Mumblehard-Malware zielt auf Server ab, auf denen Linux- oder BSD-Systeme laufen. Sinn und Zweck der Malware ist es, infizierte Systeme als Spambots zu missbrauchen und darüber massenhaft Spam-Mails zu verschicken.
Als Einfallstore für die Schadsoftware dienen Verwundbarkeiten in veralteten Joomla- und WordPress-Installationen. Die erste eingeschleuste Komponente ist eine Backdoor, die von einem «Command and Control»-Server (C&C Server) gesteuert wird. Das zweite Modul ist ein Spammer-Daemon, der über die Backdoor auf infizierte Server gespielt wird.
«Im Rahmen unserer Nachforschung fiel uns eine steigende Anzahl infizierter Systeme ins Auge, deren Besitzer wir umgehend kontaktierten», so der leitende ESET-Forscher Marc-Etienne M. Léveillé. «Wir identifizierten in sieben Monaten mehr als 8‘500 einzigartige IP-Adressen. Mit der Veröffentlichung unserer Analyse-Ergebnisse zeigen wir Betroffenen, womit sie es zu tun haben und wie befallene Server bereinigt werden können».
Verbindung zu Yellsoft
Die ESET-Analyse ergab, dass eine Beziehung zwischen Mumblehard und Yellsoft besteht. Yellsoft verkauft die Software «DirectMailer», die in Perl geschrieben ist und genutzt wird, um Massen-Mails zu versenden.
Die erste Verbindung besteht darin, dass sich die IP-Adressen, die für beide Mumblehard-Komponenten als C&C-Server genutzt werden, im gleichen Adressbereich befinden wie der Webserver, der yellsoft.net hostet. Darüber hinaus stiess ESET auf Raubkopien von DirectMailer, die bei der Ausführung heimlich die Mumblehard-Backdoor installieren. Die Raubkopien wurden zudem von dem gleichen Packer verschleiert, der auch bei den schädlichen Komponenten von Mumblehard zum Einsatz kommt.
Betroffene sollten für alle Nutzer auf Servern nach unerwünschten Cronjob-Einträgen Ausschau halten. Dieser Mechanismus wird von Mumblehard genutzt, um die Backdoor alle 15 Minuten zu aktivieren.
ESET rät Server-Administratoren dazu, installierte Betriebssysteme und Applikationen wie WordPress stets durch Updates und Patches aktuell und sicher zu halten. Ebenso sollte eine leistungsfähige Security-Software wie die ESET Server Security das System schützen.
