Aktuelles, Branche - geschrieben von dp am Freitag, Mai 12, 2017 21:35 - noch keine Kommentare
Nemucod: Palo Alto Networks hat neue Malware entdeckt
Schadsoftware stiehlt Anmeldedaten und verändert fortwährend ihre Methoden
[datensicherheit.de, 12.05.2017] Das Malware-Forschungsteam von Palo Alto Networks, die „Unit 42“, hat nach eigenen Angaben eine Angriffswelle der Zugangsdaten stehlenden Downloader-Malware „Nemucod“ entdeckt.
Hohe Attraktivität von Anmeldedaten für Angreifer
Die Angreifer nutzten hierbei mit Malware „bewaffnete“ Dokumente und stark verschleierten „JavaScript“-Code, um verschiedene Malware-Nutzlasten an Opfer in Unternehmen auszuliefern, insbesondere einen „Credential-Stealing“-Trojaner.
Diese Kampagne verdeutliche erneut die Attraktivität von Anmeldedaten für Angreifer, die diese stehlen und nutzen würden, um sich als legitime Benutzer auszugeben und wertvolle vertrauliche Daten auszuspionieren.
Bedrohungsakteure mit osteuropäischem Ursprung vermutet
Einen Großteil der Malware hätten die Cyber-Kriminellen in E-Mails verschickt. Die E-Mail-Adressen der Empfänger variierten, aber viele schienen auf der Grundlage von Linked-in-Account-Details erstellt worden zu sein.
Weitere Spuren führten auch zu IP-Adressen in Moldawien und zu einem russischen Hosting-Service – offensichtlich ein Teil der von den Angreifern genutzten Infrastruktur. Daher sei es sehr wahrscheinlich, dass diese Malware, die Angriffskampagnen und die Bedrohungsakteure ihren Ursprung in osteuropäischen Staaten hätten.
Malware-Analyse soll offensichtlich behindert werden
In allen Versionen der bewaffneten Document-Dropper seien die Forscher auf passwortgeschützten VBA-Code (Visual Basic for Applications) gestoßen. Die Angreifer nutzten diesen, um die Malware-Analyse zu behindern oder um Sicherheitslösungen zu täuschen, die diese Eigenschaft als Hinweis auf die Legitimität des Dokuments werteten.
Ebenso in allen Versionen hätten die Forscher eine stark verschleierte „Jscript“-Nutzlast gefunden. Solche Verschleierung diene in erster Linie dazu, Signatur-basierte Erkennung zu vermeiden – aber habe wenig bis gar keine Auswirkungen auf dynamische Analyse-Sandbox-Systeme wie z.B. „WildFire“.
Die Maßnahme sorge aber immerhin für Verzögerungen bei der manuellen Analyse. Bei der Analyse einer der von „Nemucod“ installierten Payload-Dateien im Detail habe sich das Ausmaß der Fähigkeiten zum Stehlen von Zugangsdaten gezeigt. Diese Nutzlast erfasse verschiedene Betriebssysteme und Anwendungen, um so viele Anmeldeinformationen wie möglich zu „ernten“. Die Malware überprüfe dann den „Credential Cache“, der in späteren Versionen von „Windows“ verwendet werde und es allen integrierten Anwendungen im „Windows Internet Explorer“ ermögliche, Anmeldedaten automatisch zu speichern und zu verwenden.
Angriffskampagne mit Verschleierungstechniken
Die Akteure hätten es auf gespeicherte Zugangsdaten in Web-Browsern wie „Internet Explorer“, „Firefox“, „Chrome“ und „Opera“ abgesehen sowie auf Zugangsdaten von E-Mail-Clients, insbesondere „Outlook“ und „Outlook Express“.
Diese Malware suche aber auch nach anderen installierten Mail-Clients, darunter „Mozilla Thunderbird“, „Windows Mail“ und „Windows Live Mail“, um noch mehr Zugangsdaten abzugreifen. Sie suche auch nach verschiedenen, über SSH (Secure Shell), FTP (File Transfer Protocol) und HTTP (Hypertext Transfer Protocol) kommunizierenden Softwareanwendungen. Diese Protokolle würden häufig für die Fernverwaltung von Systemen oder zum Übertragen von Dateien zwischen Systemen verwendet.
Ziel sei es, alle gespeicherten Zugangsdaten sowie System-Hostnamen und IP-Adressen zu erfassen, um sich im fremden Netzwerk bewegen und dieses weiter auskundschaften zu können.
Insgesamt falle bei dieser Angriffskampagne auf, dass die Akteure immer wieder die ausgelieferten Dokumente, Verschleierungstechniken und Social-Engineering-Methoden änderten, um mehr Opfer zu erreichen oder länger unentdeckt zu bleiben.
Weitere Informationen zum Thema:
datensicherheit.de, 23.03.2017
Palo Alto Networks meldet Missbrauch von Android Plugin Frameworks
Aktuelles, Experten - Dez 4, 2024 18:35 - noch keine Kommentare
Vorratsdatenspeicherung in Dauerschleife: eco fordert endlich klare Linie zum Schutz der Grundrechte
weitere Beiträge in Experten
- Crimenetwork: BKA und ZIT gelang Abschaltung
- TÜV Rheinland meldet weiter verschärfte IT-Sicherheitslage in Deutschland
- Datensouveränität: Bedeutung der Self Sovereign Identities
- Black Friday: Auch BSI warnt Schnäppchenjäger vor Cyber-Kriminellen
- Beantragung kostenfreier Schufa-Auskünfte gegen Entgelt: Verbraucherzentrale NRW moniert Web-Angebote
Aktuelles, Branche - Dez 5, 2024 12:43 - noch keine Kommentare
KI-basierte Deepfakes zur effektiven Täuschung als Angriffsvektor etabliert
weitere Beiträge in Branche
- Finanzsektor: Digitalisierung und Cloud bieten idealen Nährboden für Cyber-Angriffe
- Rund um den Black Friday 2024: Cyber-Gefahren für Einzelhandel drastisch zugenommen
- NIS-2 kompakt: it’s.BB e.V. lädt zu Präsenz-Awareness-Veranstaltung ein
- Industrie-Umgebungen: Cyber-Sicherheit trotz OT mit Alt-Systemen
- KI als zweischneidiges Schwert: Zukunft der Cyber-Bedrohung und -abwehr werden neu definiert
Branche, Umfragen - Dez 21, 2020 21:46 - noch keine Kommentare
Threat Hunting: Bedeutung und Wertschätzung steigt
weitere Beiträge in Service
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
- Cybersicherheit: SANS-Studie zu Frauen in Führungspositionen
Kommentieren