VERANSTALTUNGEN

USU World 2018
06.06.18 - 07.06.18
In World Conference Center Bonn

CEBIT 2018
11.06.18 - 15.06.18
In Hannover

ERP Tage Aachen
19.06.18 - 21.06.18
In Aachen

next IT Con
25.06.18 - 25.06.18
In Nürnberg

XaaS Evolution 2018
01.07.18 - 03.07.18
In H4 Hotel Berlin Alexanderplatz

Cybercrime Totenkopf 725880445 500

Netscout Arbor hat kürzlich Lojack-Agenten entdeckt, die bösartige Command-and-Control (C2s)-Domänen enthalten. Die missbräuchliche Nutzung der Lojack-Software steht wahrscheinlich in Zusammenhang mit der Hackergruppe Fancy Bear, auch als APT28 und Pawn Storm bekannt. 

Die InfoSec-Community und die US-Regierung haben die Aktivitäten von Fancy Bear der russischen Spionage zugeschrieben. Die Hackergruppe wählt typischerweise geopolitische Ziele, wie Regierungen und internationale Organisationen – oder Branchen, die mit solchen Organisationen Geschäfte machen, wie etwa Rüstungsunternehmen.

Lojack, früher bekannt als Computrace, ist eine legitime Laptop-Wiederherstellungslösung, die Unternehmen etwa im Falle eines Diebstahls einsetzen. Die Software kann Geräte remote verschlüsseln, sperren und Dateien löschen. Lojack ist für Angreifer attraktiv, da die Software legal ist und gleichzeitig die Ausführung von Remote-Code ermöglicht. Der Verteilungsmechanismus für die bösartigen Lojack-Samples bleibt bisher unbekannt. Allerdings verwendet Fancy Bear häufig Phishing, um Malware-Payloads bereitzustellen, wie es bei Sedupload Ende 2017 der Fall war.

Viele Antiviren-Hersteller kennzeichnen Lojack-Executables nicht als bösartig, sondern als „not-a-virus“ oder „Risk Tool“. Bei niedriger AV-Erkennung hat der Angreifer nun eine ausführbare Datei, die sich im Klartext versteckt, und damit einen Doppelagenten. Der Angreifer muss lediglich einen Rogue-C2-Server aufsetzen, der die Lojack-Kommunikationsprotokolle simuliert. Schließlich erlaubt der „kleine Agent“ von Lojack das Lesen und Schreiben des Speichers, was ihm eine Remote-Backdoor-Funktionalität ermöglicht, wenn er mit einem Rogue-C2-Server gekoppelt ist.

ASERT empfiehlt, mit Hilfe der nachstehend aufgeführten Yara-Signatur nach betrügerischen Lojack-Agenten zu suchen:

Appendix: Yara Signature

rule ComputraceAgent

{

meta:

description = "Absolute Computrace Agent Executable"

thread_level = 3

in_the_wild = true

strings:

$a = {D1 E0 F5 8B 4D 0C 83 D1 00 8B EC FF 33 83 C3 04}

$mz = {4d 5a}

$b1 = {72 70 63 6E 65 74 70 2E 65 78 65 00 72 70 63 6E 65 74 70 00}

$b2 = {54 61 67 49 64 00}

condition:

($mz at 0 ) and ($a or ($b1 and $b2))

}

 

https://asert.arbornetworks.com/lojack-becomes-a-double-agent/

netscout.com

 

GRID LIST
Tb W190 H80 Crop Int Fff03ad1554fb492cd1df6c7ccf69ca1

Telegram Chatgruppen als neuen Marktplatz für Cybercrime

Die Sicherheitsforscher von Check Point Software Technologies, erkennen eine neue…
Tb W190 H80 Crop Int 6146d7037a40c2f874a1f5d3399939c7

User Bashing: Mitarbeiter sind mit IT-Sicherheit überfordert

Die IT-Sicherheit lädt zu viel Verantwortung auf den Mitarbeitern ab. Günter Junk, CEO…
Tb W190 H80 Crop Int Ffc884102cf599e1985eaa1355f9b2fa

Probleme PGP und S/MIME sind keine Überraschung

Verschlüsselte E-Mails sind „nicht mehr sicher“ - Forschern ist es gelungen, diesen…
Tb W190 H80 Crop Int 5db74c35038f85cc90618c59a5cf8fbe

E-Mail-Verschlüsselung bleibt sicher

Am 14.05.2018 veröffentlichte ein Team aus Sicherheitsforschern der Fachhochschule…
Tb W190 H80 Crop Int 7f34eb55b3556a8251b3162716d61345

Efail-Schwachstellen

Sicherheitsforscher der Fachhochschule Münster, der Ruhr-Universität Bochum sowie der…
WannaCry

WannaCry: Auch nach einem Jahr noch gefährlich

Ein Jahr nach „WannaCry“ erinnert Avast an den bislang größten Angriff von…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security