Cyberspionage: Fileless Malware DownEX entdeckt

Bitdefender_News

Beitrag teilen

Die Experten der Bitdefender Labs haben eine neue Malware-Familie entdeckt. Die anspruchsvolle und sehr gezielt ausgespielte Attacke unter dem Namen DownEx zielt aktuell noch auf Regierungsbehörden in Zentralasien ab. In diesen Regionen aktive Unternehmen können ebenso zu Opfern werden.

Das Hauptziel der Angreifer ist die Spionage und Exfiltration von Informationen. Der Schadcode der Fileless-Attacke wird zu großen Teilen nur im Arbeitsspeicher ausgeführt und ist daher nur schwer zu erkennen. Über die Analyse des Python-Scripts und ein Reverse Engineering der Kommunikation mit dem Command-and-Control (C2C)-Server konnten die Experten vier Hauptfunktionen der Malware identifizieren: Sie ermöglicht es Hackern, gezielt nach Dateien zu scannen, sie zu exfiltrieren, zu löschen oder Screenshots von Bildschirminhalten betroffener Systeme anzufertigen.

Spionage: Auf der Suche nach vertraulichen Daten

Die Urheber der Kampagne interessieren sich dabei besonders für vertrauliche Daten, wie etwa mit der Erweiterung .pgp (Pretty Good Privacy) oder .pem (Privacy Enhanced Mail). Ebenso suchen die Hacker nach Finanzdaten, wie etwa den QuickBooks-Logfiles (.tlg-Erweiterung).

Die Domain und die IP-Adressen im Zusammenhang mit der Kampagne sind neu. Der Schadcode weist keine Ähnlichkeiten mit bisher bekannter Malware auf. Die Bitdefender Labs haben die neue Malware-Kampagne als erste entdeckt und ihr den Namen DownEx gegeben.

Gezielte Attacken auf Unternehmen

Die Hacker wenden sich gezielt an ausgesuchte Opfer. Der ursprüngliche Angriffsvektor ist nicht klar, Spear Phishing und Social Engineering stehen aber wohl am Anfang jeder Attacke. Für das Ausspielen des Payloads nutzen die Cyberkriminellen recht klassisch und einfach ein Icon mit einer .docx-Datei, die eine ausführbare Datei als Schad-Payload tarnt. Zweiter Payload ist eine .hta-Datei – allerdings ohne diese Dateierweiterung) mit eingebettetem bösartigen VBScript-Code, der das angegriffene System mit dem C2C-Server verbindet. Eine .hta-Datei (HTML Application) enthält VBScript-, HTML-, CSS- oder JavaScript-Code, der als Standalone-Applikation in Windows-Betriebssystemumgebungen ausführbar ist. Die anschließende, schwer zu entdeckende Kommunikation zwischen Server und Opfersystem läuft über die Python-basierte Backdoor help.py.

Russischer Hintergrund? – Staatlicher Hintergrund!

Indikatoren und verwendete Techniken können auf einen russischen Hintergrund der Akteure hinweisen. Allerdings lassen sich dazu keine endgültigen Aussagen treffen. Die Metadaten des verwendeten Dokuments mit vorgegebener Identität eines Diplomaten könnte ein Indiz sein.

Haben Sie kurz Zeit?

Nehmen Sie sich ein paar Minuten Zeit für unsere Nutzerumfrage 2023 und helfen Sie B2B-CYBER-SECURITY.de besser zu machen!

Sie sollen nur 10 Fragen beantworten und haben sofort eine Chance auf Gewinne von Kaspersky, ESET und Bitdefender.

Hier geht es direkt zur Umfrage
 

Ebenso verwendet die Malware eine gecrackte Version von Microsoft 2016, die vor allem in russischsprechenden Ländern verbreitet ist („SPecialisST RePack“ oder „Russian RePack by SPecialiST“). Die Backdoor ist zudem in zwei Sprachen verfasst. Diese Praxis ist von der Russland-basierten APT28-Gruppe und ihrer Hintertür Zebrocy bekannt. Diese Hinweise sind aber nicht hinreichend. Offensichtlich ist der staatliche Hintergrund der äußerst gezielten Attacke. Die Metadaten des Word-Dokuments weisen auf einen tatsächlichen Diplomaten als vermeintlichen Absender hin.

Mehr bei Bitdefender.com

 


Über Bitdefender

Bitdefender ist ein weltweit führender Anbieter von Cybersicherheitslösungen und Antivirensoftware und schützt über 500 Millionen Systeme in mehr als 150 Ländern. Seit der Gründung im Jahr 2001 sorgen Innovationen des Unternehmens regelmäßig für ausgezeichnete Sicherheitsprodukte und intelligenten Schutz für Geräte, Netzwerke und Cloud-Dienste von Privatkunden und Unternehmen. Als Zulieferer erster Wahl befindet sich Bitdefender-Technologie in 38 Prozent der weltweit eingesetzten Sicherheitslösungen und genießt Vertrauen und Anerkennung bei Branchenexperten, Herstellern und Kunden gleichermaßen. www.bitdefender.de


 

Passende Artikel zum Thema

Legale OneDrive- und Dropbox-Links für Angriffe

Legitime Dienste wie OneDrive und Dropbox werden für betrügerische E-Mails missbraucht. Hacker nutzen kostenlose Spaces und verschicken harmlose Freigabelinks mit ➡ Weiterlesen

Schwachstellen in Netgear Nighthawk RAX30-Routern

Eine Verknüpfung von fünf Schwachstellen in Netgear Nighthawk RAX30-Routern erlaubt Angreifern die Überwachung und Manipulation des Internetverkehrs sowie die Übernahme ➡ Weiterlesen

Regulierung von KI-Software

Weltweit gibt es Bestrebungen, einen rechtlichen Rahmen für künstliche Intelligenz abzustecken. Es gab Anhörungen vor dem US-Kongress, bei denen sich ➡ Weiterlesen

Altbekannte Schwachstellen bleiben unbeachtet

Anfang dieser Woche gab die CISA bekannt, dass sie neue Linux-Schwachstellen in ihren Katalog aufgenommen hat, mit der Warnung, dass ➡ Weiterlesen

ChatGPT Fake-Apps: Teure Abos gegen null Funktionen

Ein Sophos-Report deckt die Abzocke durch kostspielige ChatGPT-Nachahmungen auf: Die Betrugs-Apps florieren weiterhin aufgrund von Lücken in den App-Store-Richtlinien vom ➡ Weiterlesen

Erste XDR-Lösung für ChromeOS in Unternehmen

CrowdStrike Falcon Insight XDR hilft Kunden, ihre ChromeOS-Geräteflotte zu verwalten und sich einen Überblick zu verschaffen, ohne dass eine Mobile ➡ Weiterlesen

Cloud-native Sicherheit

Da die Cloud-Infrastruktur immer mehr an Bedeutung gewinnt, ist ihre Absicherung zu einem zentralen Thema in den Behörden geworden. Daher ➡ Weiterlesen

Cyberspionage: Fileless Malware DownEX entdeckt

Die Experten der Bitdefender Labs haben eine neue Malware-Familie entdeckt. Die anspruchsvolle und sehr gezielt ausgespielte Attacke unter dem Namen ➡ Weiterlesen