SAMS 2018
26.02.18 - 27.02.18
In Berlin, Maritim proArte

EuroCIS 2018
27.02.18 - 01.03.18
In Düsseldorf, Messe Halle 9 und 10

BIG DATA Marketing Day
27.02.18 - 27.02.18
In Wien

AUTOMATE IT 2018
01.03.18 - 01.03.18
In Hamburg, Schwanenwik 38

DIGITAL FUTUREcongress
01.03.18 - 01.03.18
In Frankfurt, Messe

Cyber SpionageAus der Erforschung von Cyberbedrohungen weiß Palo Alto Networks, dass bösartige Akteure ständig nach Ausweich- und Anti-Analyse-Techniken suchen, um die Erfolgsquote ihrer Angriffe zu erhöhen. Zudem wollen sie möglichst lange auf ein kompromittiertes System zugreifen.

So setzte die Sofacy-Gruppe auf die „Office Test“-Persistenz-Methode, über die Palo Alto Networks bereits berichtete. Während der Analyse eines aktuellen Angriffs der Bedrohungsakteure „The Dukes“ (auch bekannt als „APT29“, „CozyBear“ und „Office Monkeys“) ist nun eine neue Anti-Analyse-Technik zum Vorschein gekommen. Dies belegt, dass die Bedrohungsgruppe kontinuierlich neue Anti-Analyse-Techniken erforscht.

Der Aufruf exportierter Funktionen nach Ordnungsnummern ist keine neue oder besondere Technik, aber macht die Geschichte interessant. Dadurch ist kein Name der exportierten Funktion nötig, was den Entwickler dieser DLL (Dynamic Link Library = dynamische Programmbibliothek) ermöglicht, die Namen für die exportierten Funktionen leer zu lassen. Der offensichtliche Grund hierfür ist, dass Malware-Analysten die Funktionsnamen nicht mit den zugehörigen Samples korrelieren können. Der weniger offensichtliche Grund ist, einen Fehler im beliebten IDA Disassembler auszunutzen, der vor kurzem in der neuesten Version von IDA behoben wurde.

Während der Analyse haben die Forscher von Palo Alto Networks versucht, den Grund für die Diskrepanz bei der Anzeige von Export-Funktionen zwischen den beiden Versionen von IDA zu finden. Laut den Release Notes für IDA-Version 6.95, würde der IDA Disassembler eine DLL-exportierte Funktion nicht erkennen und anzeigen, wenn der Name fehlen würde. Diese Technik mit leeren Exportnamen ist eine Anti-Analyse Technik, die eine Analyse für Malware-Analysten, die nicht über die aktuellste Version von IDA verfügen, erschweren könnte.

Die Release Notes für diese Version von IDA wurden zwei Tage bevor beim dem Angriff die Nutzlast durch den Einsatz dieser Technik ausgeliefert werden konnte veröffentlicht. Bei Palo Alto Networks ist man der Ansicht, dass die Dukes-Gruppe entweder den Fehler in IDA gefunden und damit den Bug-Fix verursacht hat, oder dass sie gezielt IDA Release Notes überwacht, um herauszufinden, wie sich die Analyse erschweren ließe. Letzteres scheint die plausiblere Erklärung zu sein und würde darauf hindeuten, dass die Gruppe in der Lage ist, schnell Anti-Analyse-Möglichkeiten zu finden und die Techniken in ihrem Tool-Set bereitzustellen.

Die Dukes-Gruppe weiß, dass Malware-Analysten mittels Reverse Engineering ihre Tools untersuchen und dafür typischerweise den IDA Disassembler verwenden. Es scheint daher, als suche die Gruppe nach Möglichkeiten, um sich den Analyse-Tools zu entziehen, indem sie Release Notes von bekannten Malware-Analyse-Tools beobachtet, um Gegenmaßnahmen zu implementieren.

„Ältere Versionen von IDA sollten daher aktualisiert werden, um mit den Anti-Analyse-Techniken der Bedrohungsgruppen Schritt zu halten“, so Martin Zeitler von Palo Alto Networks. „Wir werden weitere Details zu diesem Thema und der Beteiligung der Dukes-Gruppe veröffentlichen, sobald neue Erkenntnisse zur Verfügung stehen“.

www.paloaltonetworks.com

GRID LIST
Tb W190 H80 Crop Int 55506f221ab84cba05d05865a12ffc34

Sicherheit in der „Smart City“ – worauf es ankommt

Technologien verändern unseren Alltag, das zeigt ein kurzer Blick auf die Kommunikation:…
Tb W190 H80 Crop Int 30fc4f90cd196143425331ec53049b63

Cyberkriminalität: "Den Menschen in den Mittelpunkt stellen"

Gemeinsam gegen Cyberkriminelle: Das Land Nordrhein-Westfalen intensiviert die…
Tb W190 H80 Crop Int 06f6eb4c29171a4441de1ba66103d83b

Cryptomining-Kampagne mit Jenkins Server entdeckt

Check Point Software Technologies Ltd. (NASDAQ: CHKP), entdeckt riesige…
Cyber Attack

Wenn Angreifer Admin-Tools für Cyberattacken missbrauchen

Eine der schwierigsten Aufgaben bei der Suche nach versteckten Angreifern im Netzwerk…
Tb W190 H80 Crop Int 7c77460484978a4728239d15bea143e1

Malware über Zero-Day-Schwachstelle in Telegram

Die Sicherheitsexperten von Kaspersky Lab haben Angriffe aufgedeckt, die mittels einer…
Tb W190 H80 Crop Int 18b7ca49e8f858989fae8325fe356d18

PZChao: Spionage-Infrastruktur mit Cryptominer

Der Malware-Werkzeugkasten „PZChao“, verfügt über eine umfassende Infrastruktur zur…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security