Anzeige

Identität

Die Experten der Bitdefender-Labs haben mit FiveSys ein neues Rootkit identifiziert, welches eine eigene, von Microsoft ausgegebene und gültige digitale Signatur verwendet, anstatt gestohlene Signaturen zu missbrauchen.

FiveSys attackiert mutmaßlich Online-Gamer, um digitale Identitäten zu stehlen und sich böswillig bei In-Game-Käufen einzuschalten. Indem die Hacker eine neu ausgestellte Microsoft-Signatur verwenden, verfolgen sie einen völlig neuen Weg. Denn bisher verwendeten sie von anderen Unternehmen gestohlene Signaturen, um ihre Malware als legitim und glaubwürdig zu erklären. Dieses neuartige Vorgehen wurden in den letzten Monaten verstärkt beobachtet.

Bitdefender hat Microsoft über den Missbrauch informiert, worauf das Software-Unternehmen diese Signatur nach kurzer Zeit zurückrief.

In den letzten Monaten haben Bitdefender-Experten verstärkt beobachtet, wie bösartige Treiber mit gültigen digitalen Signalen, die im Rahmen des Microsoft WHQL-Signaturprozesses ausgegeben wurden, sich stärker verbreiten. Die seit einem Jahr beobachteten Aktivitäten haben ihren Ursprung in China. Sie beschränken sich zurzeit auf das Land und auf am dortigen Markt erhältliche Spiele und verfolgen wirtschaftliche Ziele. Die Experten gehen davon aus, dass verschiedene Urheber hinter diesen Angriffen stehen. Dafür spricht, dass die verwendeten Tools dieselben Funktionalitäten teilen, aber unterschiedlich implementiert sind. Die Hauptaufgabe des Rootkit ist es, Internet-Verkehr auf einen eigens eingerichteten Proxy-Server umzuleiten. Dafür verwendet der Treiber lokal ein Skript zur Proxy-Autokonfiguration für den Browser.

 

 

Vorsicht vor digitalen Signaturen für Malware

Die Experten gehen davon aus, dass Angreifer in Zukunft verstärkt digitale Microsoft-Signaturen zum Tarnen ihrer Malware verwenden werden. Ein Hauptgrund für diese neue Taktik dürften die neuen Vorgaben von Microsoft zum Signieren von Treibern sein: Diese verlangen eine digitale Signatur von Microsoft für alle Treiber, ehe das Betriebssystem diese akzeptiert. Das stellt sicher, dass die Treibersoftware vom Verkäufer des Betriebssystems validiert und signiert wird. Dadurch bieten digitale Signaturen aber keinerlei Hinweise mehr auf die tatsächlichen Entwickler. Eine zusätzliche Gefahr, die sich daraus ergibt: Die Microsoft-Signaturen für vermeintliche Treiber dürften viele Anwender täuschen, so dass sie die Installation einer Malware mit fälschlicherweise gutem Leumund akzeptieren.

Die Aktivitäten von FiveSys oder von Netfilter, dem als erstes entdeckten Rootkit mit einer gültigen digitale WHQL-Signatur, zeigen, dass Hacker einen Weg gefunden haben, die Microsoft-Vorgaben für das Erstellen eines Zertifikates zu umgehen. Von Einzelfällen ist nicht auszugehen. Vielmehr wird weitere Schadsoftware in Zukunft eigens ausgestellte digitale Signaturen verwenden.

Digitale Signaturen, welche eigentlich die Legitimität einer Software dokumentieren und Vertrauen schaffen sollen, helfen in diesem Fall also Angreifern, die Restriktionen für das Laden von Modulen von Drittanbietern in den Kernel des Betriebssystems zu umgehen. Nach der erfolgreichen Installation eines Rootkit können die bösartigen Entwickler praktisch uneingeschränkte Privilegien nutzen.

Rootkit-Risiken

Vor mehr als einem Jahrzehnt waren Rootkits die Speerspitze der Cyberkriminalität. Diese geheimen Programme wurden entwickelt, um Angreifern einen ständigen Platz auf den Opferrechnern zu verschaffen und deren Aktivitäten vor dem Betriebssystem sowie vor Antimalware-Lösungen zu verbergen. Die Schadsoftware im Kernel des Betriebssystems verbreitet sich offenbar wieder, nachdem sie zuletzt durch die Sicherheitsmechanismen von Windows Vista zurückgedrängt worden war.

Der Report sollte hier zum Download verfügbar sein.

www.bitdefender.de


Artikel zu diesem Thema

Malware
Okt 07, 2021

FontOnLake: Hochentwickelte Malware attackiert Linux-Systeme

ESET-Forscher sind einer Malware-Familie auf die Schliche gekommen, die es gezielt auf…

Weitere Artikel

Ransomware 2.0

Schnelle Fortschritte bei Ransomware 2.0

Neue Techniken und Strategien machen Ransomware-Angriffe immer gefährlicher. Während herkömmliche Ransomware darauf abzielte, sich zu verbreiten und so viele Endgeräte wie möglich zu verschlüsseln, werden bei Ransomware 2.0-Angriffen fortschrittliche Methoden…
Linux

CronRat: Linux-Malware versteckt sich im Kalender

CronRat ist ein neuer Linux-Trojaner, der sich in den geplanten Aufgaben versteckt. Das Ausführungsdatum am 31. Februar ist natürlich ungültig, trotzdem entdecken ihn viele Sicherheitsprogramme nicht.
2022 KI

IT-Security-Trends 2022: KI macht Cyberangriffe gefährlicher

Cyberkriminalität steigt auch 2022 weiter an. Angreifer nutzen dabei konsequent jede Schwachstelle aus. Um ihre Ziele zu erreichen, setzen sie auf Multi-Ransomware-Angriffe und verwenden Künstliche Intelligenz (KI), mit der sie besseren Schadcode herstellen.
Phishing

Phishing-Kampagnen: Webseiten von Sparkasse und Volksbank werden imitiert

Die Security-Experten von Proofpoint haben eine Zunahme von Phishing-Kampagnen registriert, bei denen deutsche Bankkunden ins Visier der Cyberkriminellen geraten.
Geschenkkarten

Achtung: Drei Betrugsmethoden mit Geschenkkarten

Vor der Haupteinkaufszeit zu Weihnachten warnt Malwarebytes vor den Gefahren, die mit Geschenkkarten verbunden sind. Verbraucher müssen vor allem auf drei Betrugsmethoden mit Geschenkkarten achten, um Cyberkriminellen nicht in die Falle zu gehen.
Phishing

Spear-Phishing-Kampagnen mit gefälschten Kundenbeschwerden

Eine Spear-Phishing-Kampagne versendet gefälschte „Kundenbeschwerden“, die einen Link zu einer bösartigen Website enthalten, wie Paul Ducklin von Sophos eigenem IT-Security Blog Naked Security beschreibt.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.