RedXOR Malware
Eine neue Angriffskampagne, von der Infosec-Forscher glauben, dass sie noch andauert, zielt auf Linux-Endpunkte und -Server ab. Der Vorgang stellt eine nie zuvor gesehene Bedrohung namens RedXOR-Malware bereit. Das Bedrohungs-Tool bettet sich in das gefährdete System ein, erstellt einen Backdoor-Kanal und gibt dem Bedrohungsakteur eine umfassende Kontrolle über das Gerät.
RedXOR verfügt über ein äußerst fokussiertes Design, das es für Angriffe auf eine größere Anzahl von Zielen ungeeignet macht. Stattdessen wird die Bedrohung so erstellt, dass sie für einige strategisch ausgewählte Opfer unsichtbar bleibt, da sie für die spezifische Kernelversion kompiliert werden muss, die auf dem ausgewählten System ausgeführt wird. Bisher wurde die anfängliche Sicherheitslücke für RedXOR-Malware nicht gefunden, aber Forscher stellen fest, dass die Bedrohung bei der Bereitstellung eine Vielzahl von Bedrohungsaktivitäten ausführen kann. Es kann das Dateisystem durchsuchen und bearbeiten, zusätzliche Dateien abrufen, gesammelte Daten exfiltrieren, Web-Shells ausführen oder den Netzwerkverkehr zu einem ausgewählten Ziel tunneln. Darüber hinaus kann RedXOR sich selbst aktualisieren. Diese Funktionalität ermöglicht es den Hackern, neue Versionen zu installieren, wenn sie glauben, dass die aktuelle erkannt wird, was die Chancen erhöht, eine Entdeckung zu vermeiden.
Die RedXOR-Malware weist einige bemerkenswerte Ähnlichkeiten mit den Malware-Tools der von China unterstützten APT (Advanced Persistence Threat) Winnti Group (APT 41) auf. Die Überschneidungen zwischen RedXOR und Winntis Arsenal umfassen die Codierungssprache für die Bedrohungen, die verwendeten Open-Source-Kernel-Rootkits und die Verwendung der XOR-Verschlüsselung für die Datencodierung. Es ist durchaus möglich, dass eine andere Gruppe die Kernel-Rootkits der Techniopen-Quelle und die Verwendung der XOR-Verschlüsselung für die Datencodierung nachgeahmt hat. Es ist durchaus möglich, dass eine andere Gruppe die Techniken von Winnti nachgeahmt hat. Die Forscher von Intezer, die RedXOR analysiert haben, glauben jedoch, dass ein solcher neuer Bedrohungsakteur höchstwahrscheinlich auch Verbindungen zur chinesischen Regierung haben wird.
