PM Forum 2017
24.10.17 - 25.10.17
In Nürnberg

PM Forum 2017
24.10.17 - 25.10.17
In Nürnberg

10. gfo-Jahreskongress
25.10.17 - 26.10.17
In Düsseldorf

Google Analytics Summit 2017
09.11.17 - 09.11.17
In Hamburg

Data Driven Business 2017
13.11.17 - 14.11.17
In Berlin

Trojanisches PferdDas Anti-Malware-Team von Palo Alto Networks, Unit 42, hat einen „9002“-Trojaner entdeckt, der mittels einer Kombination aus verkürzten Links und einer auf Google Drive geteilten Datei am Bestimmungsort ausgeliefert wird.

Bei dieser Methode kam auch ein von den Akteuren gesteuerter Server zum Einsatz, auf dem ein benutzerdefiniertes Umleitungsskript vorgehalten wurde, um erfolgte Klicks bei den Ziel-E-Mail-Adressen zu erfassen. Der zuletzt beobachtete Angriff beruht auf einem verkürzten Link (in diesem Fall mithilfe des URL-Verkürzungsdienstes TinyURL), der eingesetzt wurde, um einen 9002-Trojaner auszuliefern.

Bei diesem Angriff führt der verkürzte Link zu einer Zip-Datei auf Google Drive. Die ausführbare Datei im Zip-Archiv ist ein Trojaner, welcher ein Köderdokument und eine ausführbare Datei im System speichert und dann beide öffnet. Die ausführbare Datei verwendet das PowerPoint-Symbol, um das Opfer dazu zu verleiten, die vermeintliche Präsentation und damit die ausführbare Datei zu starten.

Der enthaltene Dropper erstellt einen zufällig benannten Ordner, um darin die legitime ausführbare Datei RealNetworx.exe zu speichern. Die Akteure nutzen diese, um nebenbei eine DLL (MPAMedia.dll), also eine dynamische Programmbibliothek, herunterzuladen. Diese überprüft zunächst, ob die Systemzeit später als 20. Mai 2016 ist, wahrscheinlich um eine Sandbox zu umgehen. Dann werden eine „Main.dll“-Datei geladen und exportierte Funktionen abgerufen, um über Shellcode den eigentlichen Funktionscode des Trojaners abzurufen. Der 9002-Trojaner kommuniziert daraufhin mit der Domain logitechwkgame[.]com, die zum Command-and-Control (C2)-Server führt.

Die Verwendung von Google Drive für das Hosting schädlicher Dateien ist keine neue Taktik bei Angriffen. So lässt sich zwischen anderem legitimen Datenverkehr von einer bekannten Hosting-Plattform das Herunterladen von Malware einfach verschleiern. Die Akteure nutzen immer noch Spear-Phishing als ihre primäre Angriffsmethode. Da die Technik mittlerweile recht bekannt ist, sind die Empfänger vielleicht vorsichtiger geworden, wenn es darum geht, verdächtige E-Mail-Anhänge oder Links zu öffnen. Da Spear-Phishing immer weniger erfolgreich ist, müssen die Angreifer neue Methoden finden, um erfolgreich Malware auszuliefern. Die Nutzung eines URL-Verkürzungsdienstes und eines Umleitungsservers erhöht die Chancen für einen erfolgreichen Angriff, da es schwieriger ist, die Legitimität des Links einzuschätzen.

Die Infrastruktur im Zusammenhang mit den untersuchten Samples des 9002-Trojaners wurde bereits bei früheren Angriffen auf Myanmar und andere asiatische Ländern verwendet, einschließlich einer möglichweise noch laufenden Kampagne gegen Taiwan. Dabei wurde Poison Ivy als Nutzlast transportiert. Allerdings sind die Ergebnisse interessant in Bezug auf die Art und Weise, wie die Akteure ihre Techniken anpassen.

www.paloaltonetworks.com
 

GRID LIST
Chris Brennan

Der Fall Equifax zeigt Anfälligkeit von Unternehmen für Cyberkriminalität | Kommentar

Eine Schwachstelle in der IT öffnete bei der US-Wirtschaftsauskunftei Equifax Unbekannten…
 KRACK WLAN Spionage

KRACK WLAN-Sicherheitslücke bedroht vor allem Unternehmen

Seit Montag ist die Sicherheitslücke KRACK in der WPA2-Verschlüsselung bei…
Tb W190 H80 Crop Int 8c5f1d966d2eef8ccec63f1c2e1e49df

RAT: Hackers Door wird privat weiter verkauft

Der Remote Access Trojaner (RAT) „Hackers Door“ hat schon vor einiger Zeit von sich reden…
Tb W190 H80 Crop Int B043d8113264a1ebb208c5eeb5e5daec

KrackAttack: Was Sie jetzt wissen sollten

Die Erfinder des Wi-Fi hatten die aktuellen Sicherheitsprobleme nicht im Blick, als sie…
Tb W190 H80 Crop Int 9fdb6e3de368c7c543cba1f46ef268c0

Sicherheit im Netz: Bleiben wir wachsam | Kommentar

Zahlreiche Cyberattacken zeigen uns, dass ein Zwischenfall katastrophale Folgen haben…
DDoS Bomben

Secondhand DDoS-Angriffe: Worauf Service Provider achten sollten

Immer mehr Unternehmen weltweit verlassen sich auf gehostete kritische Infrastrukturen…
Frische IT-News gefällig?
IT Newsletter Hier bestellen:

Newsletter IT-Management
Strategien verfeinert mit profunden Beiträgen und frischen Analysen

Newsletter IT-Security
Pikante Fachartikel gewürzt mit Shortnews in Whitepaper-Bouquet