Nemucod: Palo Alto Networks hat neue Malware entdeckt

Schadsoftware stiehlt Anmeldedaten und verändert fortwährend ihre Methoden

[datensicherheit.de, 12.05.2017] Das Malware-Forschungsteam von Palo Alto Networks, die „Unit 42“, hat nach eigenen Angaben eine Angriffswelle der Zugangsdaten stehlenden Downloader-Malware „Nemucod“ entdeckt.

Hohe Attraktivität von Anmeldedaten für Angreifer

Die Angreifer nutzten hierbei mit Malware „bewaffnete“ Dokumente und stark verschleierten „JavaScript“-Code, um verschiedene Malware-Nutzlasten an Opfer in Unternehmen auszuliefern, insbesondere einen „Credential-Stealing“-Trojaner.
Diese Kampagne verdeutliche erneut die Attraktivität von Anmeldedaten für Angreifer, die diese stehlen und nutzen würden, um sich als legitime Benutzer auszugeben und wertvolle vertrauliche Daten auszuspionieren.

Bedrohungsakteure mit osteuropäischem Ursprung vermutet

Einen Großteil der Malware hätten die Cyber-Kriminellen in E-Mails verschickt. Die E-Mail-Adressen der Empfänger variierten, aber viele schienen auf der Grundlage von Linked-in-Account-Details erstellt worden zu sein.
Weitere Spuren führten auch zu IP-Adressen in Moldawien und zu einem russischen Hosting-Service – offensichtlich ein Teil der von den Angreifern genutzten Infrastruktur. Daher sei es sehr wahrscheinlich, dass diese Malware, die Angriffskampagnen und die Bedrohungsakteure ihren Ursprung in osteuropäischen Staaten hätten.

Malware-Analyse soll offensichtlich behindert werden

In allen Versionen der bewaffneten Document-Dropper seien die Forscher auf passwortgeschützten VBA-Code (Visual Basic for Applications) gestoßen. Die Angreifer nutzten diesen, um die Malware-Analyse zu behindern oder um Sicherheitslösungen zu täuschen, die diese Eigenschaft als Hinweis auf die Legitimität des Dokuments werteten.
Ebenso in allen Versionen hätten die Forscher eine stark verschleierte „Jscript“-Nutzlast gefunden. Solche Verschleierung diene in erster Linie dazu, Signatur-basierte Erkennung zu vermeiden – aber habe wenig bis gar keine Auswirkungen auf dynamische Analyse-Sandbox-Systeme wie z.B. „WildFire“.
Die Maßnahme sorge aber immerhin für Verzögerungen bei der manuellen Analyse. Bei der Analyse einer der von „Nemucod“ installierten Payload-Dateien im Detail habe sich das Ausmaß der Fähigkeiten zum Stehlen von Zugangsdaten gezeigt. Diese Nutzlast erfasse verschiedene Betriebssysteme und Anwendungen, um so viele Anmeldeinformationen wie möglich zu „ernten“. Die Malware überprüfe dann den „Credential Cache“, der in späteren Versionen von „Windows“ verwendet werde und es allen integrierten Anwendungen im „Windows Internet Explorer“ ermögliche, Anmeldedaten automatisch zu speichern und zu verwenden.

Angriffskampagne mit Verschleierungstechniken

Die Akteure hätten es auf gespeicherte Zugangsdaten in Web-Browsern wie „Internet Explorer“, „Firefox“, „Chrome“ und „Opera“ abgesehen sowie auf Zugangsdaten von E-Mail-Clients, insbesondere „Outlook“ und „Outlook Express“.
Diese Malware suche aber auch nach anderen installierten Mail-Clients, darunter „Mozilla Thunderbird“, „Windows Mail“ und „Windows Live Mail“, um noch mehr Zugangsdaten abzugreifen. Sie suche auch nach verschiedenen, über SSH (Secure Shell), FTP (File Transfer Protocol) und HTTP (Hypertext Transfer Protocol) kommunizierenden Softwareanwendungen. Diese Protokolle würden häufig für die Fernverwaltung von Systemen oder zum Übertragen von Dateien zwischen Systemen verwendet.
Ziel sei es, alle gespeicherten Zugangsdaten sowie System-Hostnamen und IP-Adressen zu erfassen, um sich im fremden Netzwerk bewegen und dieses weiter auskundschaften zu können.
Insgesamt falle bei dieser Angriffskampagne auf, dass die Akteure immer wieder die ausgelieferten Dokumente, Verschleierungstechniken und Social-Engineering-Methoden änderten, um mehr Opfer zu erreichen oder länger unentdeckt zu bleiben.

Weitere Informationen zum Thema:

datensicherheit.de, 23.03.2017
Palo Alto Networks meldet Missbrauch von Android Plugin Frameworks