Nordkoreanische Hacker erstellten am 24. Oktober eine Liste mit 216 ausgewählten Webservern, fünf Tage bevor Binance 6,3 Milliarden USD verlor. Die Vereinigten Staaten standen mit 49 Zielen ganz oben auf der Liste.
Ob einer dieser Server tatsächlich angegriffen wurde, ist noch unklar. Die Hacker sagen, ja. Das Unternehmen, das sie entdeckte, sagt, seine Beweise zeigen nur die Zielauswahl.
Was stand auf Nordkoreas Liste?
Das Cybersicherheitsunternehmen Cyfirma erhielt Chat-Protokolle vom privaten Kanal der Hacker. Es ordnete diese mit „hohem Vertrauen” der Lazarus-Gruppe zu, die als Nordkoreas bekanntestes staatliches Hacking-Netzwerk gilt.
Japan folgte den USA mit 47 Servern. Indien hatte 31 Ziele, Südkorea 30. Dort wurde die Nachricht am Sonntag veröffentlicht.
Die Gruppe suchte gezielt nach Servern, die mit PHP betrieben werden. Diese Software läuft laut Daten von W3Techs, auf die Tenable verweist, auf etwa 69% aller Webseiten. Zwei schwerwiegende Schwachstellen mit dem Namen PHP2Shell ermöglichen es Angreifern, ungepatchte Systeme zu übernehmen.
PHP stellte am 21. Oktober Updates bereit. Fünf Tage später meldete die US-Cyberagentur CISA, dass beide Schwachstellen aktiv ausgenutzt werden.
Die Chats zeigen, was die Hacker erreichen wollten.
„Wir brauchen ein finanzielles Ergebnis und alles, was zu finanziellen Informationen, Handel oder Wallet-Material führt”, sagte Operator 1 in Chats, die Cyfirma veröffentlichte.
Wurden die US-Server kompromittiert?
Die Hacker prahlten, dass die meisten der 216 Server „bereits etwas implementiert” hätten. Außerdem behaupteten sie, die Liste sei auf 581 Ziele angewachsen. Cyfirma konnte keine dieser Angaben bestätigen.
„Das Auftauchen auf dieser Liste zeigt das Ziel, nicht eine tatsächliche Kompromittierung.”
In der Warnung wird kein bestätigtes Opfer genannt. Es wird auch nicht angegeben, aus welchen Bereichen die 49 US-Server stammen.
Hat die Liste etwas mit dem Binance-Hack zu tun?
Cyfirmas Warnung erwähnt Binance nicht. Das FBI machte Nordkorea unabhängig davon für diesen Diebstahl verantwortlich. US-Staatsanwälte wollen 1,2 Milliarden USD davon beschlagnahmen.
Früher hatte Chainalysis ebenfalls den 387 Millionen USD schweren Bitget-Diebstahl nordkoreanischen Hackern zugeschrieben.
Der Ratschlag von Cyfirma ist knapp: Aktualisieren Sie PHP selbst und starten Sie jeden PHP-Prozess neu. Nur die Webseite zu aktualisieren, reicht nicht.
