ElasticSearch instances ingezet als C&C-server voor kassamalware
Meer dan 4.000 instances van ElasticSearch (ES) servers blijken in te worden gezet als Command & Control server voor de kassamalware AlinaPOS en JackPOS. 99% hiervan wordt gehost op Amazon Web Services (AWS).
De servers zijn ontdekt door beveiligingsonderzoekers van Kromtech Security Center tijdens een routine-onderzoek. Hierbij brachten de onderzoekers via Shodan.io in totaal 15.000 ES instances in kaart die zonder enige vorm van authentificatie toegankelijk zijn via internet. Nader onderzoek wijst uit dat 4.067 van deze servers bestanden bevatten die in verband zijn gebracht met de malwarevarianten AlinaPOS en JackPOS. Deze zijn beide gericht op het stelen van betaalgegevens van kassasystemen.
Gericht aangevallen
Opvallend is dat maar liefst 27% van alle ES instances die zonder authentificatie toegankelijk zijn, gekaapt blijken te zijn door cybercriminelen die deze instances als C&C servers inzetten. Gezien dit hoge percentage denkt Kromtech dat gebruikers van AlinaPOS en JackPOS gericht ES instances aanvallen om C&C server te verbergen.
Daarnaast blijkt 99% van deze ES instances gehost te worden op AWS. “Waarom Amazon? Aangezien je op Amazon Web Services een gratis t2 micro (EC2) instances kunt krijgen met maximaal 10GB aan opslagruimte”, legt Bob Diachenko, Chief Communication Officer van Kromtech, uit aan Bleeping Computer. “Tegelijkertijd maakt t2 micro het alleen mogelijk versies 1.5.2 en 2.3.2 van ES op te zetten.” Het is dan ook niet verrassend dat 52% van de 4.067 geïnfecteerde instances ES 1.5.2 bevat, terwijl 47% ES 2.3.2 draait.
Meer over
Lees ook
Supermalware The Mask bespioneert overheden, diplomaten en olie- & gassector
De supermalware The Mask bespioneert al zeker zes jaar lang ongemerkt allerlei doelwitten. De malware richt zich op zowel overheden en diplomaten als de gas- en oliesector. Dit stelt Kaspersky, dat meer details over de zeer geavanceerde malware bekend heeft gemaakt. De malware heeft van zijn makers de naam 'Careto' gekregen, wat het Spaanse woord1
Hackers verstoppen malware in metadata van PNG-bestand
Hackers zijn erin geslaagd malware te verstoppen in PNG-afbeeldingen. De malware nestelt zich in de metadata van de afbeeldingen en worden hierdoor op dit moment nog niet door virusscanners gedetecteerd. De nieuwe distributiemethode voor malware is ontdekt door de analist Peter Gramantik van het beveiligingsbedrijf Securi. Gramantik beschrijft de1
Supermalware The Mask vormt meest geavanceerde cyberbedreiging
Stuxnet was tot nu toe de meest geavanceerde malware. Het lijkt er echter op dat Stuxnet door een nieuw ontdekte vorm van malware van de troon is gestoten. De 'supermalware' The Mask wordt omschreven als 'de meest geavanceerde cyberbedreiging van dit moment'. De malware Stuxnet is wereldberoemd. De malware viel gericht Iraanse nucleaire installati1