Anzeige

Anzeige

VERANSTALTUNGEN

ELO Solution Day München
27.03.19 - 27.03.19
In Messe München

Hannover Messe 2019
01.04.19 - 05.04.19
In Hannover

SMX München
02.04.19 - 03.04.19
In ICM – Internationales Congress Center München

ACMP Competence Days München
10.04.19 - 10.04.19
In Jochen Schweizer Arena GmbH, Taufkirchen bei München

Mendix World
16.04.19 - 17.04.19
In Rotterdam Ahoy Conference Centre

Anzeige

Anzeige

HackerUnit 42, das Malware-Forschungsteam von Palo Alto Networks, hat eine Angriffswelle der Downloader-Malware Nemucod, die Zugangsdaten stiehlt, entdeckt.

Die Angreifer nutzen hierbei mit Malware „bewaffnete“ Dokumente und stark verschleierten JavaScript-Code, um verschiedene Malware-Nutzlasten an Opfer in Unternehmen auszuliefern, insbesondere einen Credential-Stealing-Trojaner. Die Kampagne verdeutlich erneut die Attraktivität von Anmeldedaten für Angreifer, die diese stehlen und nutzen, um sich als legitime Benutzer auszugeben und wertvolle vertrauliche Daten auszuspionieren.

Einen Großteil der Malware haben die Cyberkriminellen in E-Mails verschickt (mit SMTP-, POP3- und IMAP-Anwendungen). Die E-Mail-Adressen der Empfänger variierten, aber viele scheinen auf der Grundlage von Linked-in-Account-Details erstellt worden zu sein. Weitere Spuren führten auch zu IP-Adressen in Moldawien und zu einem russischen Hosting-Service, offensichtlich ein Teil der von den Angreifern genutzten Infrastruktur. Daher ist es sehr wahrscheinlich, dass die Malware, die Angriffskampagnen und die Bedrohungsakteure ihren Ursprung in osteuropäischen Staaten haben.

In allen Versionen der bewaffneten Document-Dropper stießen die Forscher auf passwortgeschützten VBA-Code (Visual Basic for Applications). Die Angreifer nutzen diesen, um die Malware-Analyse zu behindern oder um Sicherheitslösungen zu täuschen, die diese Eigenschaft als Hinweis auf die Legitimität des Dokuments werten. Ebenso in allen Versionen fanden die Forscher eine stark verschleierte JScript-Nutzlast. Solche Verschleierung dient in erster Linie dazu, Signatur-basierte Erkennung zu vermeiden, aber hat wenig bis gar keine Auswirkungen auf dynamische Analyse-Sandbox-Systeme wie WildFire. Die Maßnahme sorgt aber immerhin für Verzögerungen bei der manuellen Analyse.

Bei der Analyse einer der von Nemucod installierten Payload-Dateien im Detail zeigte sich das Ausmaß der Fähigkeiten zum Stehlen von Zugangsdaten. Die Nutzlast erfasst verschiedene Betriebssysteme und Anwendungen, um so viele Anmeldeinformationen wie möglich zu ernten. Die Malware überprüft dann den Credential Cache, der in späteren Versionen von Windows verwendet wird und es allen integrierten Anwendungen in Windows Internet Explorer ermöglicht, Anmeldedaten automatisch zu speichern und zu verwenden.

Die Akteure hatten es auf gespeicherte Zugangsdaten in Web-Browsern wie Internet Explorer, Firefox, Chrome und Opera abgesehen sowie auf Zugangsdaten von E-Mail-Clients, insbesondere Outlook und Outlook Express. Die Malware sucht aber auch nach anderen installierten Mail-Clients, darunter Mozilla Thunderbird, Windows Mail und Windows Live Mail, um noch mehr Zugangsdaten zu ernten.

Die Malware sucht auch nach verschiedenen Softwareanwendungen, die über SSH (Secure Shell), FTP (File Transfer Protocol) und HTTP (Hypertext Transfer Protocol) kommunizieren. Diese Protokolle werden häufig für die Fernverwaltung von Systemen oder zum Übertragen von Dateien zwischen Systemen verwendet. Ziel ist es, alle gespeicherten Zugangsdaten sowie System-Hostnamen und IP-Adressen zu erfassen, um sich im fremden Netzwerk bewegen und dieses weiter auskundschaften zu können.

Insgesamt fällt bei dieser Angriffskampagne auf, dass die Akteure immer wieder die ausgelieferten Dokumente, Verschleierungstechniken und Social-Engineering-Methoden ändern, um mehr Opfer zu erreichen oder länger unentdeckt zu bleiben.

www.paloaltonetworks.com
 

GRID LIST
Mann und Schatten von Hammer

Operation ShadowHammer bedroht eine Millionen Nutzer weltweit

Kaspersky Lab hat eine neue APT-Kampagne (Advanced Persistent Threat) entdeckt: Bei der…
Stop Hacker

Firmen müssen Hackerabwehr neu denken

Tagtäglich sind Unternehmen das Ziel von Cyberattacken. Per Schadsoftware und über…
Bank

IT-Security: Sichere Kommunikation mit der Bank

Die IT-Sicherheit von Banken lässt häufig zu wünschen übrig, schlägt…
Trojaner

Trojaner Emotet gefährlicher denn je

Die Gefahr, die von dem Trojaner Emotet ausgeht, ist noch nicht vorüber. Ganz im…
Tb W190 H80 Crop Int 435a88a9a5029a89779cc54837f4d636

Neue Adware-Kampagne: 150 Millionen Nutzer von ‚SimBad‘ betroffen

Die Sicherheitsforscher von Check Point Software Technologies Ltd. (NASDAQ: CHKP) haben…
Schwachstelle

Microsoft-Office-Schwachstelle ist Einfallstor für Cyber-Angriffe

Spätestens mit der Einführung der DSGVO hat in Europa eine gewisse Sensibilisierung…