ElasticSearch instances ingezet als C&C-server voor kassamalware
Meer dan 4.000 instances van ElasticSearch (ES) servers blijken in te worden gezet als Command & Control server voor de kassamalware AlinaPOS en JackPOS. 99% hiervan wordt gehost op Amazon Web Services (AWS).
De servers zijn ontdekt door beveiligingsonderzoekers van Kromtech Security Center tijdens een routine-onderzoek. Hierbij brachten de onderzoekers via Shodan.io in totaal 15.000 ES instances in kaart die zonder enige vorm van authentificatie toegankelijk zijn via internet. Nader onderzoek wijst uit dat 4.067 van deze servers bestanden bevatten die in verband zijn gebracht met de malwarevarianten AlinaPOS en JackPOS. Deze zijn beide gericht op het stelen van betaalgegevens van kassasystemen.
Gericht aangevallen
Opvallend is dat maar liefst 27% van alle ES instances die zonder authentificatie toegankelijk zijn, gekaapt blijken te zijn door cybercriminelen die deze instances als C&C servers inzetten. Gezien dit hoge percentage denkt Kromtech dat gebruikers van AlinaPOS en JackPOS gericht ES instances aanvallen om C&C server te verbergen.
Daarnaast blijkt 99% van deze ES instances gehost te worden op AWS. “Waarom Amazon? Aangezien je op Amazon Web Services een gratis t2 micro (EC2) instances kunt krijgen met maximaal 10GB aan opslagruimte”, legt Bob Diachenko, Chief Communication Officer van Kromtech, uit aan Bleeping Computer. “Tegelijkertijd maakt t2 micro het alleen mogelijk versies 1.5.2 en 2.3.2 van ES op te zetten.” Het is dan ook niet verrassend dat 52% van de 4.067 geïnfecteerde instances ES 1.5.2 bevat, terwijl 47% ES 2.3.2 draait.
Meer over
Lees ook
Proofpoint: Cybercriminelen bereiden zich voor op een wereld zonder macro's
Microsoft kondigde in oktober 2021 en februari 2022 aan dat het XL4- en VBA-macro's standaard gaat blokkeren voor Office-gebruikers. De wijzigingen zijn uiteindelijk dit jaar van start gegaan. Cybercriminelen hebben hier op gereageerd door af te stappen van macro-gebaseerde aanvallen.
Wat te doen als je het slachtoffer wordt van een ransomware-aanval
Als je een IT-beheerder vraagt waar hij van wakker ligt zal het antwoord zeer vaak ‘ransomware’ zijn. Logisch, want elke medewerker kan door simpelweg op een link te klikken of een kwaadaardig bestand te downloaden zonder het te weten een ransomware-aanval ontketenen. In hun wanhoop zijn organisaties al snel geneigd om losgeld te betalen om weer t1
Ransomwarebesmettingen eerste kwartaal al verdubbeld ten opzichte van 2021
Het totale aantal ransomwarebesmettingen was in het eerste kwartaal van dit jaar al verdubbeld ten opzichte van heel 2021. Dat concludeert WatchGuard Technologies in de nieuwste editie van het Internet Security Report. De securityspecialist signaleert daarnaast een groei in Powerscript-aanvallen en kwaadaardige cryptomining.