Kontrolle über 4.000 Backdoors durch abgelaufene Domains

MÜNCHEN (IT BOLTWISE) – In einer bemerkenswerten Sicherheitsoperation hat ein Unternehmen die Kontrolle über Tausende von Backdoors übernommen, indem es abgelaufene Domains registrierte.

In einer beispiellosen Sicherheitsmaßnahme hat das Unternehmen watchTowr Labs die Kontrolle über mehr als 4.000 einzigartige Web-Backdoors übernommen, die zuvor von verschiedenen Bedrohungsakteuren eingesetzt wurden. Dies gelang durch die Registrierung von über 40 Domainnamen, die ursprünglich für die Kommando- und Kontrollinfrastruktur (C2) dieser Backdoors vorgesehen waren. Diese Domains waren abgelaufen und wurden für lediglich 20 US-Dollar pro Domain erworben. In Zusammenarbeit mit der Shadowserver Foundation wurden die betroffenen Domains gesinkholed, um die Aktivitäten der kompromittierten Systeme zu überwachen. Laut Benjamin Harris, CEO von watchTowr Labs, und der Forscherin Aliz Hammond, ermöglichte diese Übernahme die Verfolgung der kompromittierten Hosts, die sich bei den neu registrierten Domains meldeten. Theoretisch hätte dies auch die Möglichkeit eröffnet, die Kontrolle über diese Systeme zu übernehmen. Zu den identifizierten Zielen gehörten Regierungsstellen aus Bangladesch, China und Nigeria sowie akademische Institutionen in China, Südkorea und Thailand. Die Backdoors, die im Wesentlichen Web-Shells sind, bieten persistenten Fernzugriff auf Zielnetzwerke und variieren in ihrer Funktionalität. Einige der bekanntesten Web-Shells sind c99shell, r57shell und China Chopper, die von China-nahen APT-Gruppen häufig genutzt werden. Diese Web-Shells sind in der Lage, beliebigen Code auszuführen, Dateien zu manipulieren, zusätzliche Payloads zu installieren und sich von kompromittierten Hosts zu entfernen. Interessanterweise beobachtete watchTowr Labs auch Fälle, in denen die Web-Shells von den Skriptentwicklern selbst mit Backdoors versehen wurden, um die Standorte der Installationen preiszugeben. Diese Entwicklung folgt auf eine frühere Enthüllung von watchTowr Labs, bei der das Unternehmen eine veraltete WHOIS-Server-Domain für die .mobi-Top-Level-Domain für nur 20 US-Dollar erwarb. Diese Domain wurde von über 135.000 Systemen weiterhin kontaktiert, obwohl der Server längst migriert war. Diese Systeme umfassten private Unternehmen wie VirusTotal sowie Mailserver zahlreicher Regierungs-, Militär- und Universitätseinrichtungen. Die betroffenen .gov-Adressen stammten aus Ländern wie Argentinien, Bangladesch, Bhutan, Äthiopien, Indien, Indonesien, Israel, Pakistan, den Philippinen, der Ukraine und den USA. Diese Vorfälle zeigen, dass auch Angreifer Fehler machen, indem sie veraltete Domains und unsichere Software verwenden. Dies bietet eine gewisse Erleichterung für Verteidiger, die oft das Gefühl haben, dass Angreifer unfehlbar sind.