[datensicherheit.de, 18.05.2024] Die Kaspersky-Forscher Boris Larin und Mert Degirmenci haben nach eigenen Angaben eine neue Zero-Day-Schwachstelle in „Windows“ mit der Bezeichnung „CVE-2024-30051“ gefunden. Diese Entdeckung wurde demnach im Zuge der Untersuchung der „Windows DWM Core Library Elevation of Privilege“-Schwachstelle („CVE-2023-36033“) Anfang April 2024 gemacht. Ein Patch sei am 14. Mai 2024 im Rahmen des „May Patch Tuesday“ von Microsoft veröffentlicht worden.

Auf VirusTotal aufgetaucht: Hinweis auf potenzielle Windows-Sicherheitslücke

„Am 1. April 2024 erregte ein auf ,VirusTotal’ hochgeladenes Dokument die Aufmerksamkeit der Kaspersky-Forscher. Das Dokument mit einem aussagekräftigen Dateinamen wies auf eine potenzielle Sicherheitslücke im ,Windows’-Betriebssystem hin.“ Trotz gebrochenen Englischs und der fehlenden Details (wie die Schwachstelle ausgelöst werden kann), habe das Dokument einen Exploit-Prozess beschrieben, der jenem vom Zero-Day-Exploit für „CVE-2023-36033“ geglichen habe, obwohl sich diese Schwachstellen voneinander unterschieden.

Das Team habe vermutete, die Sicherheitslücke sei entweder erfunden oder nicht ausnutzbar; trotzdem habe es seine Untersuchung fortgesetzt. „Eine schnelle Überprüfung ergab jedoch, dass es sich tatsächlich um eine Zero-Day-Schwachstelle handelt, die zu einer Ausweitung der Systemprivilegien führen kann.“

Kaspersky habe seine Erkenntnisse umgehend an Microsoft gemeldet – anschließend sei die Schwachstelle verifiziert und als „CVE-2024-30051“ bezeichnet worden.

Global Research & Analysis Team untersuchte Zero-Day-Schwachstelle in Windows

Nach dieser Meldung hätten die Kaspersky-Experten begonnen, „die Exploits und Angriffe, die diese Zero-Day-Schwachstelle nutzen, näher unter die Lupe zu nehmen“. Mitte April 2024 habe das Team einen Exploit für „CVE-2024-30051“ entdeckt und seine Verwendung in Verbindung mit „QakBot“ sowie anderer Malware beobachtet. Dies deute darauf hin, dass mehrere Bedrohungsakteure Zugriff auf diesen Exploit hätten.

„Wir fanden das Dokument auf ,VirusTotal’ aufgrund seines aussagekräftigen Charakters sehr interessant und haben es deshalb näher untersucht. So konnten wir diese kritische Zero-Day-Schwachstelle entdecken“, berichtet Boris Larin, „Principal Security Researcher“ im „Global Research & Analysis Team“ (GReAT) bei Kaspersky.

Er kommentiert: „Die Geschwindigkeit, mit der Bedrohungsakteure diesen Exploit in ihr Arsenal integrieren, unterstreicht wie wichtig es ist, rechtzeitig Updates vorzunehmen und insgesamt immer wachsam zu bleiben, was die Cyber-Sicherheit betrifft.“

Nutzer sollten nun ihre Windows-Systeme aktualisieren

Kaspersky plane, technische Details zu „CVE-2024-30051“ zu veröffentlichen, „sobald genügend Zeit vergangen ist, damit die meisten Nutzer ihre ,Windows’-Systeme aktualisieren konnten“. Kaspersky habe sich bei Microsoft für die „prompte Analyse und Veröffentlichung von Patches“ bedankt.

Die Kaspersky-Produkte seien aktualisiert worden, um die Ausnutzung von „CVE-2024-30051“ und damit verbundener Malware mit den folgenden Ergebnissen zu erkennen:

• „PDM:Exploit.Win32.Generic“
• „PDM:Trojan.Win32.Generic“
• „UDS:DangerousObject.Multi.Generic“
• „Trojan.Win32.Agent.gen“
• „Trojan.Win32.CobaltStrike.gen“

Kaspersky verfolge den fortschrittlichen Banking-Trojaner „QakBot“ seit seiner Entdeckung im Jahr 2007. Ursprünglich für den Diebstahl von Bankdaten konzipiert, habe sich „QakBot“ erheblich weiterentwickelt und neue Funktionen erworben, wie E-Mail-Diebstahl, Keylogging und die Fähigkeit, sich selbst zu verbreiten sowie Ransomware zu installieren. Diese Malware sei für ihre häufigen Updates und Verbesserungen bekannt – dies mache sie zu einer ständigen Bedrohung in der Cyber-Sicherheitslandschaft. In den vergangenen Jahren sei beobachtet worden, dass „QakBot“ andere Botnets, wie beispielsweise „Emotet“, für die Verbreitung nutze.

Weitere Informationen zum Thema:

SECURELIST by Kaspersky, 14.05.2024
QakBot attacks with Windows zero-day (CVE-2024-30051)

NIST, 25.04.2024
National Vulnerability Database: CVE-2024-30551 Detail

NIST, 25.04.2024
National Vulnerability Database: CVE-2023-36033 Detail

MICROSOFT, 14.04.2024
Windows DWM Core Library Elevation of Privilege Vulnerability / CVE-2024-30051 / Security Vulnerability

[datensicherheit.de, 01.09.2023] Das Bundeskriminalamt (BKA) und die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – haben nach eigenen Angaben am 26. August 2023 „in einer international konzertierten Aktion“ unter Leitung US-amerikanischer Behörden die in Deutschland befindliche Server-Infrastruktur der Schadsoftware „Qakbot“ (auch als „Qbot“ oder „Pinkslipbot“ bekannt) übernommen und zerschlagen.

Aufwändige Ermittlungen US-amerikanischer Behörden gegen Qakbot-Infrastruktur

Den Maßnahmen seien aufwändige Ermittlungen US-amerikanischen Behörden vorausgegangen, welche das BKA demnach seit Sommer 2022 unter Sachleitung der ZIT in Deutschland maßgeblich unterstützt hat. Das zugrundeliegende Ermittlungsverfahren richte sich gegen die bislang unbekannten Betreiber und Administratoren dieser Schadsoftware: „Gegen diese besteht unter anderem der Verdacht der banden- und gewerbsmäßigen Erpressung.“ Beteiligt an den Ermittlungen und an der Zerschlagung des Netzwerkes seien zudem Strafverfolgungsbehörden aus Frankreich, den Niederlanden und Großbritannien sowie Europol und Eurojust gewesen.

„Qakbot“ gelte als eine der gefährlichsten Schadsoftwares in Deutschland und weltweit. Für die Verbreitung und Steuerung hätten die Täter eine sogenannte Command-and-Control-Infrastruktur, genutzt, mit der sie ein sogenanntes Botnetz kontrolliert hätten, welches allein im letzten Jahr (2022) über 700.000 Systeme umfasst habe. Nach der initialen Infektion durch schadhafte E-Mail-Anhänge oder Hyperlinks breitet sich laut BKA die Schadsoftware auf dem System des Opfers aus und leitet Daten an die Täter weiter. Der infizierte Computer werde somit Teil des Botnetzes – einem Netzwerk kompromittierter Computer. „Anschließend lädt ,Qakbot’ weitere Schadsoftware nach, um die Daten des Computersystems zu verschlüsseln.“ Dies erfolge mit dem Ziel, das Opfer zu erpressen.

Ransomware-Gruppierungen nutzten Qakbot als Türöffner für ihre Angriffe

Große Ransomware-Gruppierungen hätten „Qakbot“ in der Vergangenheit als gewissermaßen Türöffner für ihre Angriffe genutzt, durch die weltweit ein Schaden für Unternehmen, das Gesundheitswesen und Regierungsbehörden in Höhe von mehreren hundert Millionen Euro entstanden sei. Die technische Infrastruktur der Schadsoftware sei durch die internationalen Maßnahmen übernommen und den Tätern der Zugriff auf die Systeme dauerhaft entzogen worden.

„Zudem konnten weltweit mehrere tausend Bots bereinigt werden. Durch BKA und ZIT wurden alle in Deutschland befindlichen Systeme der ,Qakbot’-Infrastruktur beschlagnahmt. Damit ist den internationalen Strafverfolgungsbehörden ein bedeutender Schlag gegen die Cybercrime-Szene gelungen.“

Zerschlagung der Qakbot-Infrastruktur entscheidender Erfolg gegen Cyber-Kriminalität

„Die Zerschlagung der ,Qakbot’-Infrastruktur ist ein erneuter, entscheidender Erfolg gegen Cyber-Kriminalität. ,Qakbot’ fuhr vielfache Angriffsserien und diente als sogenannter Dropper häufig als Türöffner für weitere Schadsoftware, darunter insbesondere Ransomware mit enormem Schadenpotenzial“, erläutert Carsten Meywirth, Leiter der Abteilung „Cybercrime“ im Bundeskriminalamt.

Oberstaatsanwalt Dr. Benjamin Krause, Pressesprecher der Zentralstelle zur Bekämpfung der Internetkriminalität – ZIT – der Generalstaatsanwaltschaft Frankfurt am Main, betont: „Der Ermittlungserfolg ist ein weiterer Beleg dafür, dass die internationale Kooperation der Strafverfolgungsbehörden bei der Bekämpfung von Cybercrime funktioniert.“

[datensicherheit.de, 28.02.2019] Sicherheitsforscher von Varonis Systems, Inc. haben eine weltweite Malware-Kampagne entdeckt, die eine neue Variante der Banking-Malware Qbot (auch Qakbot) nutzt, um vertrauliche Finanzinformationen einschließlich Kontoinformationen zu stehlen. In erster Linie sind hiervon US-amerikanische Unternehmen betroffen, jedoch finden sich auch europäische (insbesondere britische und deutsche) und südamerikanische Nutzer unter den Opfern.

Der Angriff wurde zunächst von der Nutzeranalyse-Lösung DatAlert erkannt, die einen nordamerikanischen Varonis-Kunden über Dropper-Aktivität, interne Lateralbewegungen und verdächtige Netzwerkaktivitäten informierte. Dem Varonis-Forscherteam gelang es durch Reverse Engineering, den aktiven Command- and Control-Server des Angreifers zu identifizieren und damit das Ausmaß der Attacke zu bestimmen. Demnach sind weltweit tausende Nutzer kompromittiert und werden aktiv von den Angreifern kontrolliert. Weitere Informationen, die durch die Untersuchung des Servers gewonnen werden konnten, deuten auf die Identität der Angreifer hin. Das Varonis-Team hat im Rahmen einer responsible disclosure (verantwortungsvolle Enthüllung) unter anderem zusätzliche nicht-öffentliche Informationen an die zuständigen Behörden weitergeleitet.

Angriffe mit weiterentwickelter Variante von Qbot/Qakbot

Die Cyberkriminellen nutzen für ihren Angriff eine neue Variante von Qbot/Qakbot, einer bereits seit 2009 bekannten und mittlerweile deutlich weiterentwickelten Malware, deren Ziel der Diebstahl von Banking-Zugangsdaten ist. Qbot verwendet dabei Anti-Analyse-Techniken, gefälschte oder gestohlene Sicherheitszertifikate und stets neue Angriffsvektoren, um sich einer Entdeckung zu entziehen, und ist in der Lage, sich wurmartig in Netzwerken auszubreiten. Eine Identifizierung der Malware wird auch durch ihren polymorphen Charakter erschwert, d.h. sie verändert sich ständig. So erstellt sie Dateien und Ordner mit zufälligen Namen, ihre Dropper wechseln häufig den Command & Control-Server und auch der Malware-Loader ändert sich, wenn eine aktive Internetverbindung besteht.

Weitere Informationen zum Thema:

Varonis
Varonis Exposes Global Cyber Campaign: C2 Server Actively Compromising Thousands of Victims

datensicherheit.de, 30.11.2018
Marriott: Erster Mega-Datendiebstahl der DSGVO-Ära

datensicherheit.de, 27.06.2018
Cyber-Kriminelle nutzen Hype um Kryptowährungen