Die Ransomware-Gruppe Cuba setzt eine neue Malware ein, die von modernen Antivirenprogrammen nicht immer erkannt wird. Opfer sind Unternehmen auf der ganzen Welt, unter anderem auch in Deutschland und Österreich.
Bei der Untersuchung eines Vorfalls bei einem Kunden im Dezember 2022 entdeckte Kaspersky drei verdächtige Dateien. Diese Dateien lösten eine Reihe von Aktionen aus, die zum Download der Bibliothek ,komar65‘, auch bekannt als ,BUGHATCH‘, führten. Bei BUGHATCH handelt es sich um eine ausgeklügelte Backdoor, die sich im Prozessspeicher eines Gerätes einnistet. Innerhalb des ihr zugewiesenen Speicherplatzes führt sie einen eingebetteten Shellcode-Block aus; hierzu verwendet sie eine Windows-API, die zahlreiche Funktionen umfasst. So können beispielsweise Befehle über einen Command-and-Control-Server zum Herunterladen von schädlicher Software wie Cobalt Strike Beacon und Metasploit empfangen werden.
Cuba mit aktualisiertem Toolkit weiterhin aktiv
Dass bei diesem Angriff auch Veeamp zum Einsatz kam, deutet stark auf eine Beteiligung der Ransomware-Gruppe Cuba hin. Zudem verweist die PDB-Datei auf den Ordner „komar“, das russische Wort für „Moskito“, was ein Indiz für die Präsenz russischsprachiger Mitglieder innerhalb der Gruppe sein könnte. Zudem fanden die Experten von Kaspersky weitere Module, die von der Cuba-Gruppe in Umlauf gebracht wurden und die Funktionalität der Malware erweitern. Eines dieser Module ist für das Sammeln von Systeminformationen verantwortlich, die dann über HTTP-POST-Anfragen an einen Server gesendet werden.
Bei Cuba handelt es sich um einen Single-File-Ransomware-Stamm, der aufgrund seiner Funktionsweise ohne zusätzliche Bibliotheken nur schwer zu erkennen ist. Die Angreifer setzen eine Mischung aus öffentlichen und proprietären Tools ein, aktualisieren ihr Toolkit regelmäßig und nutzen Taktiken wie BYOVD (Bring Your Own Vulnerable Driver).
Einsatz von BURNTCIGAR verhindert Erkennung durch Antivirenprogramme
Ein Hauptmerkmal ihrer Vorgehensweise ist das Fälschen von Kompilierungs-Zeitstempeln, um Sicherheitsexperten in die Irre zu führen. So wiesen beispielsweise einige im Jahr 2020 gefundene Samples ein Kompilierungsdatum vom 4. Juni 2020 auf, während die Zeitstempel neuerer Versionen als Datum den 19. Juni 1992 vorgaben. Die besondere Vorgehensweise von Cuba umfasst nicht nur die Verschlüsselung von Daten, sondern auch individuell ausgerichtete Angriffe zur Extraktion sensibler Daten und Informationen wie Finanzdokumente, Bankunterlagen, Firmenkonten und Quellcode. Insbesondere Softwareentwicklungsfirmen sind hier gefährdet.
Im Zuge weiterer Untersuchungen stießen die Kaspersky Experten bei VirusTotal auf neue Malware-Samples, die der Cuba-Gruppe zugeschrieben werden. Einige dieser Samples konnten die Entdeckung durch andere Sicherheitsanbieter umgehen. Hierbei half eine neue Version der BURNTCIGAR-Malware, die sich mit verschlüsselten Daten der Erkennung durch Antivirenprogramme entziehen kann.
Mehr bei Kaspersky.com
Über Kaspersky Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/