Seit Juni 2023 beobachten wir einen plötzlichen Anstieg von Ransomware-Vorfällen. Dabei werden Dateien mit der Erweiterung „.malox“ verschlüsselt. Diese Ransomware wurde als Variante der Mallox-Ransomware-Familie (auch bekannt als TargetCompany) identifiziert.
Die Ransomware-Nachricht mit der Bezeichnung „File Recovery.txt“ wird während des Angriffs abgelegt. Diese Nachricht enthält einen Onion-Link für die Kommunikation mit den Angreifern zur Entschlüsselung:
Führen Sie den TOR-Browser aus und öffnen Sie die Site: wtyafjyhwqrgo4a45wdvvwhen3cx4euie73qvlhkhvlrexljoyuklaad.onion/mallox/privateSignin
Unsere Untersuchungen deuten darauf hin, dass die Mallox-Ransomware (auch bekannt als TargetCompany) ungesicherte Microsoft SQL-Server als Angriffsvektor nutzt, um in die Systeme der Opfer einzudringen und die Ransomware zu verbreiten. Darüber hinaus setzt der Angreifer Brute-Force-Angriffe auf öffentlich zugängliche MSSQL-Instanzen ein, um sich initialen Zugriff auf das Netzwerk des Opfers zu verschaffen.
Wir haben verdächtige Befehlszeilenaktivitäten entdeckt, die hauptsächlich mit „sqlservr.exe“ in der MSSQLServer-Umgebung in Verbindung stehen. Aufgrund dieser Erkenntnisse empfehlen wir dringend, unsere Kunden zu schulen, bewährte Sicherheitspraktiken zu befolgen, um ihren Schutz vor diesen potenziellen Bedrohungen zu verbessern.
Die Absicherung von Microsoft SQL Server- Instanzen ist entscheidend, um Mallox-Ransomware-Angriffe zu verhindern. Befolgen Sie die folgenden empfohlenen Schritte, um die Sicherheit Ihrer SQL Server-Umgebung zu verbessern:
- Firewall-Schutz/Zugriffsbeschränkung: Verwenden Sie eine Firewall, um den Zugriff auf SQL-Server einzuschränken. Erlauben Sie eingehenden Datenverkehr nur von vertrauenswürdigen Netzwerken und IP-Adressen. Blockieren Sie insbesondere den eingehenden Datenverkehr auf Port 1433, mit Ausnahme autorisierter Benutzer.
- Standardport ändern: Vermeiden Sie es, SQL Server über den Standardport (1433) im Internet verfügbar zu machen, da dieser ein beliebtes Ziel für Hacker ist. Verwenden Sie für den Remotezugriff auf SQL Server eine sichere Verbindung wie ein VPN.
- Sichere Kontoverwaltung: Deaktivieren Sie das SA-Konto (Systemadministrator) oder legen Sie ein sicheres, eindeutiges Kennwort fest, um das Risiko eines unbefugten Zugriffs zu minimieren. Das SA-Konto verfügt über umfassende Berechtigungen.
- Starke Passwörter: Erzwingen Sie sichere, eindeutige Passwörter für alle SQL-Anmeldungen. Verwenden Sie Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, um die Passwortsicherheit zu erhöhen.
- Richtlinien zur Kontosperrung: Implementieren Sie Kontosperrungsrichtlinien, die SQL Server-Anmeldungen nach mehreren fehlgeschlagenen Versuchen vorübergehend sperren. Dies verhindert Brute-Force-Angriffe.
- SQL CLR-Assemblys prüfen: Überprüfen und deaktivieren Sie nicht unbedingt erforderliche SQL CLR-Assemblys. Bewerten und entfernen Sie regelmäßig redundante Assemblys, um potenzielle Sicherheitsrisiken zu minimieren.
- Daten während der Übertragung verschlüsseln: Verwenden Sie SSL/TLS-Protokolle, um Daten während der Übertragung zwischen Clients und SQL-Servern zu verschlüsseln. Dies schützt vor potenziellem Lauschangriff und Datenabfangen.
- Behalten Sie die SQL Server-Aktivität im Auge: Nutzen Sie die SQL Server-Überwachung, um jeden Vorgang innerhalb Ihrer SQL Server-Instanz sorgfältig zu verfolgen und zu protokollieren. Durch die aktive Überwachung dieser Aktivitäten können Sie potenzielle Sicherheitsrisiken schnell erkennen und beheben.
- Bleiben Sie auf dem Laufenden: Wenden Sie regelmäßig die neuesten Updates und Patches auf Ihre SQL Server-Instanz, Ihr Betriebssystem und andere installierte Anwendungen an. Dies trägt dazu bei, bekannte Schwachstellen zu minimieren und die Sicherheit kontinuierlich zu gewährleisten.
Auswirkungen auf gemeinsam genutzte Daten bei Ransomware-Vorfällen
Wir haben bei vielen Ransomware-Angriffen eine Situation beobachtet, bei der auch freigegebene Dateien im Netzwerk betroffen sind. Obwohl Sicherheitssoftware einzelne Computer schützt, besteht immer noch große Sorge, dass Dateien über freigegebene Daten verändert werden.
Vorsichtsmaßnahmen zur Minimierung von Schäden durch gemeinsam genutzte Daten im Netzwerk:
- Einschränken des Zugriffs auf freigegebene Ordner: Nutzen Sie die Netzwerktrennung, um den Zugriff auf freigegebene Ordner auf diejenigen zu beschränken, die ihn benötigen. Setzen Sie strenge Zugriffskontrollen ein, um sicherzustellen, dass nur autorisierte Personen Änderungen an freigegebenen Daten im Netzwerk vornehmen können.
- Regelmäßige Datensicherungen: Sichern Sie gemeinsam genutzte Daten regelmäßig an einem sicheren und isolierten Ort. Testen Sie die Sicherungen regelmäßig, um die Datenintegrität zu überprüfen und im Falle eines Angriffs eine schnelle Datenwiederherstellung zu gewährleisten.
- Geplante Offline-Backups: Führen Sie Offline-Backups wichtiger gemeinsam genutzter Daten durch, um sich vor Ransomware-Angriffen zu schützen, die versuchen könnten, Live-/Online-Backups zu verschlüsseln.
Durch die Einhaltung dieser Vorsichtsmaßnahmen können wir das Risiko von Mallox-Ransomware-Angriffen auf Microsoft SQL Server-Instanzen erheblich reduzieren und die allgemeine Sicherheitslage unserer Umgebung verbessern.
Wie funktioniert Quick Heal?SEQRITE seine Kunden vor Mallox-Ransomware schützen?
Schnelle Heilung/SEQRITE Das Antivirenprogramm verfügt über Signaturen für verschiedene Skriptdateien, die bei dem Angriff verwendet wurden, sowie für die Ransomware-Payload. Nachfolgend sind die Signaturen dieser Ransomware aufgeführt:
- Mallox.S28994722
- Downloader.Boxter.47436
- Agent.CQ
- Trojan-Downloader.A8341828
- Script.Trojan.A8269601
