P2PInfect-Botnet nutzt exponierte Redis-Instanzen, um Kubernetes-Cluster zu kompromittieren

Moegliche Anwendungen

Organisationen, die GKE oder ähnliche verwaltete Plattformen ohne strenge Netzwerkkontrollen betreiben, sind besonders anfällig für diese Art von stillschweigender, langfristiger Infektion. P2PInfect-Botnetz kompromittiert Kubernetes-Cluster.

Die Infektion beginnt im Moment, in dem eine Redis-Instanz innerhalb eines Kubernetes-Clusters ohne angemessene Zugriffskontrollen erreichbar ist. Angreifer verbinden sich mit dem exponierten Dienst und geben den SLAVEOF-Befehl aus, wodurch der legitime Redis-Node zu einem Folger eines bösartigen Servers unter ihrer Kontrolle wird.

Dies führt dazu, dass der Node willkürliche Module aus der Infrastruktur der Angreifer lädt und den Bedrohungsakteuren einen direkten Weg bietet, Code innerhalb des Containers auszuführen.

Zwischen November 2025 und Februar 2026

Zwischen November 2025 und Februar 2026 beobachtete FortiGuard Labs kompromittierte Redis-Hosts, die ausgehende Peer-to-Peer-Mesh-Verbindungen zu mehreren externen Knoten herstellten.

Das Botnetz nutzte dieses Netzwerk, um Payloads zu verteilen, Informationen über den infizierten Umgebung zu sammeln und die Kommunikation aufrechtzuerhalten, ohne auf einen zentralen Command-Server angewiesen zu sein. Dieses dezentrale Design erschwert Störungen, da es keinen einzelnen Angriffspunkt gibt, der blockiert oder heruntergefahren werden könnte.

Sobald ein Knoten in das P2P-Netzwerk aufgenommen wurde, verhielt er sich relativ ruhig; Forscher beschrieben dieses Verhalten als schlafend. Die Bots schienen auf Aufgaben von Operatoren zu warten und waren jederzeit bereit, diese zu empfangen.

Sicherheitslage und Risiko

Diese bewusste Geduld deutet darauf hin, dass die Kampagne möglicherweise eine größere Infrastruktur für zukünftige Ausbeutung aufbaut, anstatt sofort Ransomware oder Krypto-Miner einzusetzen. Schlafende Phase und die breitere Bedrohungslage Die schlafende Phase von P2PInfect in Kubernetes-Umgebungen macht es besonders schwierig, sie zu erkennen.

Herkömmliche Sicherheitstools markieren oft laute Aktivitäten, während ein leise aufgenommenes Bot mit minimalem ausgehenden Datenverkehr monatelang unbemerkt bleiben kann. In einem ausgelasteten Cluster, der viele Dienste hostet, kann ein infizierter Container sich unauffällig einfügen, ohne sofort Alarm auszulösen.

Das Botnetz hat eine gut dokumentierte Geschichte der Eskalation seiner Fähigkeiten. Frühere Versionen verbreiteten Ransomware, die Dateien verschlüsselte und Zahlung in Monero forderte, sowie Kryptowährungs-Miner, die stillschweigend Rechenressourcen von infizierten Hosts nutzten.

Selbst in einem inaktiven Zustand stellen

Selbst in einem inaktiven Zustand stellen registrierte Knoten Organisationen einem erheblichen Risiko aus, da ein schädlicher Payload jederzeit eintreffen kann.

FortiGuard Labs empfiehlt Teams, Redis-Instanzen nicht direkt dem Internet auszusetzen und strenge Netzwerkpolicies innerhalb von Kubernetes-Clustern durchzusetzen, um die Kommunikation zwischen Pods zu begrenzen.

Regelmäßige Audits auf unbefugte ausgehende Verbindungen sowie der Einsatz von Runtime-Security-Tools, die anomales Container-Verhalten melden, werden ebenfalls dringend empfohlen.

Sicherheitslage und Risiko

Redis vollständig gepatcht zu halten und die Replikationsfunktion in Produktionsumgebungen einzuschränken, kann die Angriffsfläche, auf die P2PInfect zur Ausbreitung angewiesen ist, erheblich verringern. Tushar ist ein Senior-Berichter über Cybersicherheit und Datenschutzverletzungen.

Er spezialisiert sich auf die Berichterstattung über Nachrichten, Trends und neu auftretende Bedrohungen im Bereich der Cybersicherheit, Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. GitHub-Innere Repositories wurden durch eine bewaffnete VS Code-Erweiterung kompromittiert.

Neue Microsoft Defender 0-Tage-Schwachstellen werden bereits aktiv im Wildraum ausgenutzt. Die neue NGINX 0-Tage-Remote-Code-Execution-Schwachstelle „nginx-poolslip" betrifft Millionen von NGINX-Servern.