Hacker installieren Backdoor auf Microsoft-SQL-Servern

Tausende Microsoft-SQL-Server sind in Gefahr. Wie die Forscher von Guardicore Labs schreiben, würden Hacker Backdoors, Malware und andere Schädlinge auf den Systemen installieren.

Um Zugriff zu erlangen, nutzen die Angreifer den Angaben zufolge vor allem Brute-Force-Attacken. So sei es den Kriminellen gelungen, in den vergangenen Wochen täglich fast 2.000 bis 3.000 Server erfolgreich zu infizieren. Die Opfer stammen dabei aus den verschiedensten Bereichen wie dem Gesundheitswesen, der Luftfahrt sowie der IT und Telekommunikation.

Gelingt ein Angriff, platzieren die Hacker Backdoors, führen Dutzende schädliche Module wie multifunktionale RATs (Remote Access Tools) aus und mehr. Außerdem würden die Angreifer die infiltrierten Systeme zum Minen der Kryptowährung Vollar verwenden.

Laut den Forschern reichen die ersten Vorfälle bis Mai 2018 zurück. Seinerzeit habe Guardicore einen entsprechenden Angriff auf ein Netzwerk von Honeypots registriert. Seit Dezember 2019 sei die Anzahl der Attacken (auch außerhalb geschützter Honeypot-Umgebungen) extrem gestiegen, so die Experten.

Für ihre kriminellen Machenschaften nutzen die Hacker den Angaben zufolge verschiedene IP-Adressen, die vorwiegend auch China stammen. Die Forscher gehen davon aus, dass es sich hierbei um kompromittierte IoT-Geräte handelt. Die IP-Adressen werden dazu verwendet, neue potenzielle Opfer ausfindig zu machen.

Die Infektionsdauer der betroffenen Server dauert laut Guardicore meist länger als eine Woche in einigen Fällen sogar zwei Wochen. Daran sei zu erkennen, wie schwierig es offenbar ist, geeignete Schutzmaßnahmen gegen die Angriffe zu starten. Auffällig sei zudem, dass bereits von der Malware bereinigte Geräte teils erneut erfolgreich angegriffen wurden (bei etwa 10 Prozent der Systeme wurde eine Reinfektion entdeckt).

Um einem Angriff generell vorzubeugen, raten die Experten, die Server gar nicht erst mit dem Internet zu verbinden. Stattdessen sollte eine Segmentierungs- und Whitelist-Zugriffsrichtlinie für ausgewählte Geräte verwendet werden. Außerdem sollte regelmäßig überprüft werden, wie sicher die Anmeldeinformationen sind und ein möglichst sicheres Passwort und dergleichen verwendet werden.