Cyberspionage: Fileless Malware DownEX entdeckt

Bitdefender_News

Beitrag teilen

Die Experten der Bitdefender Labs haben eine neue Malware-Familie entdeckt. Die anspruchsvolle und sehr gezielt ausgespielte Attacke unter dem Namen DownEx zielt aktuell noch auf Regierungsbehörden in Zentralasien ab. In diesen Regionen aktive Unternehmen können ebenso zu Opfern werden.

Das Hauptziel der Angreifer ist die Spionage und Exfiltration von Informationen. Der Schadcode der Fileless-Attacke wird zu großen Teilen nur im Arbeitsspeicher ausgeführt und ist daher nur schwer zu erkennen. Über die Analyse des Python-Scripts und ein Reverse Engineering der Kommunikation mit dem Command-and-Control (C2C)-Server konnten die Experten vier Hauptfunktionen der Malware identifizieren: Sie ermöglicht es Hackern, gezielt nach Dateien zu scannen, sie zu exfiltrieren, zu löschen oder Screenshots von Bildschirminhalten betroffener Systeme anzufertigen.

Spionage: Auf der Suche nach vertraulichen Daten

Die Urheber der Kampagne interessieren sich dabei besonders für vertrauliche Daten, wie etwa mit der Erweiterung .pgp (Pretty Good Privacy) oder .pem (Privacy Enhanced Mail). Ebenso suchen die Hacker nach Finanzdaten, wie etwa den QuickBooks-Logfiles (.tlg-Erweiterung).

Die Domain und die IP-Adressen im Zusammenhang mit der Kampagne sind neu. Der Schadcode weist keine Ähnlichkeiten mit bisher bekannter Malware auf. Die Bitdefender Labs haben die neue Malware-Kampagne als erste entdeckt und ihr den Namen DownEx gegeben.

Gezielte Attacken auf Unternehmen

Die Hacker wenden sich gezielt an ausgesuchte Opfer. Der ursprüngliche Angriffsvektor ist nicht klar, Spear Phishing und Social Engineering stehen aber wohl am Anfang jeder Attacke. Für das Ausspielen des Payloads nutzen die Cyberkriminellen recht klassisch und einfach ein Icon mit einer .docx-Datei, die eine ausführbare Datei als Schad-Payload tarnt. Zweiter Payload ist eine .hta-Datei – allerdings ohne diese Dateierweiterung) mit eingebettetem bösartigen VBScript-Code, der das angegriffene System mit dem C2C-Server verbindet. Eine .hta-Datei (HTML Application) enthält VBScript-, HTML-, CSS- oder JavaScript-Code, der als Standalone-Applikation in Windows-Betriebssystemumgebungen ausführbar ist. Die anschließende, schwer zu entdeckende Kommunikation zwischen Server und Opfersystem läuft über die Python-basierte Backdoor help.py.

Russischer Hintergrund? – Staatlicher Hintergrund!

Indikatoren und verwendete Techniken können auf einen russischen Hintergrund der Akteure hinweisen. Allerdings lassen sich dazu keine endgültigen Aussagen treffen. Die Metadaten des verwendeten Dokuments mit vorgegebener Identität eines Diplomaten könnte ein Indiz sein.

Haben Sie kurz Zeit?

Nehmen Sie sich ein paar Minuten Zeit für unsere Nutzerumfrage 2023 und helfen Sie B2B-CYBER-SECURITY.de besser zu machen!

Sie sollen nur 10 Fragen beantworten und haben sofort eine Chance auf Gewinne von Kaspersky, ESET und Bitdefender.

Hier geht es direkt zur Umfrage
 

Ebenso verwendet die Malware eine gecrackte Version von Microsoft 2016, die vor allem in russischsprechenden Ländern verbreitet ist („SPecialisST RePack“ oder „Russian RePack by SPecialiST“). Die Backdoor ist zudem in zwei Sprachen verfasst. Diese Praxis ist von der Russland-basierten APT28-Gruppe und ihrer Hintertür Zebrocy bekannt. Diese Hinweise sind aber nicht hinreichend. Offensichtlich ist der staatliche Hintergrund der äußerst gezielten Attacke. Die Metadaten des Word-Dokuments weisen auf einen tatsächlichen Diplomaten als vermeintlichen Absender hin.

Mehr bei Bitdefender.com

 


Über Bitdefender

Bitdefender ist ein weltweit führender Anbieter von Cybersicherheitslösungen und Antivirensoftware und schützt über 500 Millionen Systeme in mehr als 150 Ländern. Seit der Gründung im Jahr 2001 sorgen Innovationen des Unternehmens regelmäßig für ausgezeichnete Sicherheitsprodukte und intelligenten Schutz für Geräte, Netzwerke und Cloud-Dienste von Privatkunden und Unternehmen. Als Zulieferer erster Wahl befindet sich Bitdefender-Technologie in 38 Prozent der weltweit eingesetzten Sicherheitslösungen und genießt Vertrauen und Anerkennung bei Branchenexperten, Herstellern und Kunden gleichermaßen. www.bitdefender.de


 

Passende Artikel zum Thema

Schutzlösungen für MacOS Sonoma im Test

Der große Test von Schutz-Software für Unternehmen und Einzelplatz-PCs für MacOS fand im AV-TEST-Labor erstmals unter der MacOS Version Sonoma ➡ Weiterlesen

BSI: Neue Studie zu Hardware-Trojaner 

Das BSI hat eine Studie veröffentlicht zu Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen. Dabei geht es um versteckte Chips auf ➡ Weiterlesen

Intel schließt kritische und hochgefährliche Sicherheitslücken

Fast etwas unauffällig hat Intel viele Sicherheitslücken in seinen Produkten geschlossen. Mit dabei sind eine kritische Lücke mit dem CVSS-Wert ➡ Weiterlesen

BSI und Zero Day Initiative warnt vor kritischer Azure Schwachstelle  

Die Zero Day Initiative (ZDI) sammelt und verifiziert gemeldete Schwachstellen. Nun gibt es wohl eine kritische Schwachstelle in Azure mit dem ➡ Weiterlesen

Hoffnung für Unternehmen: FBI hat 7.000 LockBit Ransomware-Keys

Bereits im Februar und im Mai startete FBI, Europol und viele andere Behörden die Operationen gegen die Ransomware-Erpresser LockBit. Dabei ➡ Weiterlesen

Google-Leak: Datenbank belegt Datenpannen

Einem Journalist wurde eine Google-Datenbank zugespielt die tausende interne Datenpannen von 2013 bis 2018 enthalten und intern bei Google gelöst ➡ Weiterlesen

Keylogger stiehlt bei Exchange Servern Login-Daten

Das Incident Response Team des PT ESC hat einen neuartigen Keylogger in der Hauptseite eines Microsoft Exchange Servers entdeckt. Jeder ➡ Weiterlesen

Fluent Bit: Angriff auf Cloud-Dienste über Protokollierungs-Endpunkte

Tenable Research hat in Fluent Bit, einer Kernkomponente der Überwachungsinfrastruktur vieler Cloud-Dienste, eine kritische Sicherheitslücke namens „Linguistic Lumberjack“ entdeckt, die ➡ Weiterlesen