Onderzoekers hebben een nieuwe campagne ontdekt waarbij aanvallers op kwetsbare Oracle WebLogic-servers een Monero-cryptominer installeren. De aanvallers maken gebruik van een ernstige kwetsbaarheid in de Oracle WebLogic-serversoftware die vorig jaar oktober door Oracle werd gepatcht.

Via de kwetsbaarheid kan een aanvaller op afstand willekeurige code met de rechten van de Oracle WebLogic-servergebruiker installeren. Volgens Renato Marinho, handler bij het Internet Storm Center (ISC), is de exploit die van de kwetsbaarheid misbruik maakt zeer eenvoudig uit te voeren en wordt die geleverd met een script om naar potentieel kwetsbare slachtoffers te zoeken.

Het dropper-script dat de aanvallers voor de installatie van de cryptominer gebruiken blijkt echter onbedoeld de WebLogic-service uit te schakelen, wat mogelijk verschillende slachtoffers heeft gealarmeerd. Oracle-beheerders krijgen het advies om te kijken of hun omgeving niet gecompromitteerd is en als ze de update nog niet hebben geinstalleerd dit zo snel als mogelijk te doen. Oracle laat geregeld weten dat het meldingen van succesvolle aanvallen ontvangt die mogelijk waren omdat gebruikers beschikbare updates niet hadden uitgerold.