Anzeige

Anzeige

VERANSTALTUNGEN

Software Quality Days 2019
15.01.19 - 18.01.19
In Wien

CloudFest 2019
23.03.19 - 29.03.19
In Europa-Park, Rust

SMX München
02.04.19 - 03.04.19
In ICM – Internationales Congress Center München

Anzeige

Anzeige

Anzeige

HackerUnit 42, das Malware-Forschungsteam von Palo Alto Networks, hat eine Angriffswelle der Downloader-Malware Nemucod, die Zugangsdaten stiehlt, entdeckt.

Die Angreifer nutzen hierbei mit Malware „bewaffnete“ Dokumente und stark verschleierten JavaScript-Code, um verschiedene Malware-Nutzlasten an Opfer in Unternehmen auszuliefern, insbesondere einen Credential-Stealing-Trojaner. Die Kampagne verdeutlich erneut die Attraktivität von Anmeldedaten für Angreifer, die diese stehlen und nutzen, um sich als legitime Benutzer auszugeben und wertvolle vertrauliche Daten auszuspionieren.

Einen Großteil der Malware haben die Cyberkriminellen in E-Mails verschickt (mit SMTP-, POP3- und IMAP-Anwendungen). Die E-Mail-Adressen der Empfänger variierten, aber viele scheinen auf der Grundlage von Linked-in-Account-Details erstellt worden zu sein. Weitere Spuren führten auch zu IP-Adressen in Moldawien und zu einem russischen Hosting-Service, offensichtlich ein Teil der von den Angreifern genutzten Infrastruktur. Daher ist es sehr wahrscheinlich, dass die Malware, die Angriffskampagnen und die Bedrohungsakteure ihren Ursprung in osteuropäischen Staaten haben.

In allen Versionen der bewaffneten Document-Dropper stießen die Forscher auf passwortgeschützten VBA-Code (Visual Basic for Applications). Die Angreifer nutzen diesen, um die Malware-Analyse zu behindern oder um Sicherheitslösungen zu täuschen, die diese Eigenschaft als Hinweis auf die Legitimität des Dokuments werten. Ebenso in allen Versionen fanden die Forscher eine stark verschleierte JScript-Nutzlast. Solche Verschleierung dient in erster Linie dazu, Signatur-basierte Erkennung zu vermeiden, aber hat wenig bis gar keine Auswirkungen auf dynamische Analyse-Sandbox-Systeme wie WildFire. Die Maßnahme sorgt aber immerhin für Verzögerungen bei der manuellen Analyse.

Bei der Analyse einer der von Nemucod installierten Payload-Dateien im Detail zeigte sich das Ausmaß der Fähigkeiten zum Stehlen von Zugangsdaten. Die Nutzlast erfasst verschiedene Betriebssysteme und Anwendungen, um so viele Anmeldeinformationen wie möglich zu ernten. Die Malware überprüft dann den Credential Cache, der in späteren Versionen von Windows verwendet wird und es allen integrierten Anwendungen in Windows Internet Explorer ermöglicht, Anmeldedaten automatisch zu speichern und zu verwenden.

Die Akteure hatten es auf gespeicherte Zugangsdaten in Web-Browsern wie Internet Explorer, Firefox, Chrome und Opera abgesehen sowie auf Zugangsdaten von E-Mail-Clients, insbesondere Outlook und Outlook Express. Die Malware sucht aber auch nach anderen installierten Mail-Clients, darunter Mozilla Thunderbird, Windows Mail und Windows Live Mail, um noch mehr Zugangsdaten zu ernten.

Die Malware sucht auch nach verschiedenen Softwareanwendungen, die über SSH (Secure Shell), FTP (File Transfer Protocol) und HTTP (Hypertext Transfer Protocol) kommunizieren. Diese Protokolle werden häufig für die Fernverwaltung von Systemen oder zum Übertragen von Dateien zwischen Systemen verwendet. Ziel ist es, alle gespeicherten Zugangsdaten sowie System-Hostnamen und IP-Adressen zu erfassen, um sich im fremden Netzwerk bewegen und dieses weiter auskundschaften zu können.

Insgesamt fällt bei dieser Angriffskampagne auf, dass die Akteure immer wieder die ausgelieferten Dokumente, Verschleierungstechniken und Social-Engineering-Methoden ändern, um mehr Opfer zu erreichen oder länger unentdeckt zu bleiben.

www.paloaltonetworks.com
 

GRID LIST
Viren

Don’t Panic! Erste Hilfe beim Virenfund

Hacker dringen lautlos in Computer ein, hinterlassen kaum Spuren und stehlen vertrauliche…
Trojaner

Neue Trojanerwelle – Nichts dazugelernt

Seit einigen Jahren versetzen immer wieder Trojaner mit klangvollen Namen wie WannaCry,…
Hacker mit Weihnachtsmütze

Weihnachtszeit ist Cyberangriffszeit – Der Einzelhandel ist bereit

Einzelhändler auf der ganzen Welt investieren in der Vorweihnachtszeit mehr in…
Hacker

„Dear Joohn“ auf der Spur – Neue Angriffswelle der Sofacy Group

Wie Palo Alto Networks bereits kürzlich über das Cannon-Tool berichtet hatte, hat die…
Cyberangriffe

Neue Cyberangriffe auf Regierungen

McAfee Advanced Threat Research-Analysten haben eine neue globale Kampagne, die auf einen…
Tb W190 H80 Crop Int 28773ce6ebccd9323162fd11c9fd7dd5

Was erwartet uns im neuen Jahr?

Das Jahr neigt sich dem Ende zu und in der IT-Security-Branche ist es Zeit, Geschehnisse…
Smarte News aus der IT-Welt