VERANSTALTUNGEN

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

Internet World Congress
09.10.18 - 10.10.18
In München

plentymarkets Omni-Channel Day 2018
12.10.18 - 12.10.18
In Kassel

Digital Marketing 4Heroes Conference
16.10.18 - 16.10.18
In Wien und München

4. Esslinger Forum: Das Internet der Dinge
17.10.18 - 17.10.18
In Esslingen

HackerUnit 42, das Malware-Forschungsteam von Palo Alto Networks, hat eine Angriffswelle der Downloader-Malware Nemucod, die Zugangsdaten stiehlt, entdeckt.

Die Angreifer nutzen hierbei mit Malware „bewaffnete“ Dokumente und stark verschleierten JavaScript-Code, um verschiedene Malware-Nutzlasten an Opfer in Unternehmen auszuliefern, insbesondere einen Credential-Stealing-Trojaner. Die Kampagne verdeutlich erneut die Attraktivität von Anmeldedaten für Angreifer, die diese stehlen und nutzen, um sich als legitime Benutzer auszugeben und wertvolle vertrauliche Daten auszuspionieren.

Einen Großteil der Malware haben die Cyberkriminellen in E-Mails verschickt (mit SMTP-, POP3- und IMAP-Anwendungen). Die E-Mail-Adressen der Empfänger variierten, aber viele scheinen auf der Grundlage von Linked-in-Account-Details erstellt worden zu sein. Weitere Spuren führten auch zu IP-Adressen in Moldawien und zu einem russischen Hosting-Service, offensichtlich ein Teil der von den Angreifern genutzten Infrastruktur. Daher ist es sehr wahrscheinlich, dass die Malware, die Angriffskampagnen und die Bedrohungsakteure ihren Ursprung in osteuropäischen Staaten haben.

In allen Versionen der bewaffneten Document-Dropper stießen die Forscher auf passwortgeschützten VBA-Code (Visual Basic for Applications). Die Angreifer nutzen diesen, um die Malware-Analyse zu behindern oder um Sicherheitslösungen zu täuschen, die diese Eigenschaft als Hinweis auf die Legitimität des Dokuments werten. Ebenso in allen Versionen fanden die Forscher eine stark verschleierte JScript-Nutzlast. Solche Verschleierung dient in erster Linie dazu, Signatur-basierte Erkennung zu vermeiden, aber hat wenig bis gar keine Auswirkungen auf dynamische Analyse-Sandbox-Systeme wie WildFire. Die Maßnahme sorgt aber immerhin für Verzögerungen bei der manuellen Analyse.

Bei der Analyse einer der von Nemucod installierten Payload-Dateien im Detail zeigte sich das Ausmaß der Fähigkeiten zum Stehlen von Zugangsdaten. Die Nutzlast erfasst verschiedene Betriebssysteme und Anwendungen, um so viele Anmeldeinformationen wie möglich zu ernten. Die Malware überprüft dann den Credential Cache, der in späteren Versionen von Windows verwendet wird und es allen integrierten Anwendungen in Windows Internet Explorer ermöglicht, Anmeldedaten automatisch zu speichern und zu verwenden.

Die Akteure hatten es auf gespeicherte Zugangsdaten in Web-Browsern wie Internet Explorer, Firefox, Chrome und Opera abgesehen sowie auf Zugangsdaten von E-Mail-Clients, insbesondere Outlook und Outlook Express. Die Malware sucht aber auch nach anderen installierten Mail-Clients, darunter Mozilla Thunderbird, Windows Mail und Windows Live Mail, um noch mehr Zugangsdaten zu ernten.

Die Malware sucht auch nach verschiedenen Softwareanwendungen, die über SSH (Secure Shell), FTP (File Transfer Protocol) und HTTP (Hypertext Transfer Protocol) kommunizieren. Diese Protokolle werden häufig für die Fernverwaltung von Systemen oder zum Übertragen von Dateien zwischen Systemen verwendet. Ziel ist es, alle gespeicherten Zugangsdaten sowie System-Hostnamen und IP-Adressen zu erfassen, um sich im fremden Netzwerk bewegen und dieses weiter auskundschaften zu können.

Insgesamt fällt bei dieser Angriffskampagne auf, dass die Akteure immer wieder die ausgelieferten Dokumente, Verschleierungstechniken und Social-Engineering-Methoden ändern, um mehr Opfer zu erreichen oder länger unentdeckt zu bleiben.

www.paloaltonetworks.com
 

GRID LIST
Hacker

Anstieg des CEO-Frauds beobachtet

Das Volumen von Phising-Nachrichten mit CEO-Fraud-Inhalt, die gemeldet wurden, hat sich…
Hacker Kamera

Zero‑Day‑Schwachstelle in Videoüberwachungs‑Software entdeckt

Mit der „Peekaboo” getauften Schwachstelle können Cyberkriminelle die Aufnahmen…
Hacker

Kryptomining-Malware in Kodi Add-ons enttarnt

Die Benutzer von Kodi sollten sich ihre installierten Zusatzprogramme nochmal ganz genau…
Hacker

Hacker-Gruppe LuckyMouse signiert Malware mit legitimem Zertifikat

Die Experten von Kaspersky Lab (GReAT) haben mehrere Infektionen eines bisher unbekannten…
Trojaner

Verbreitung von Mining-Trojanern für Windows und Linux

Im vergangenen Monat gerieten erneut Mining-Trojaner in das Visier der Virenanalysten von…
Schloss

Wie lassen sich falsche Webzertifikate ausstellen?

Ein Forscherteam des Fraunhofer-Instituts für Sichere Informationstechnologie SIT in…
Smarte News aus der IT-Welt