Fileless Malware: schädlicher Code in Windows Event Logs

Kaspersky_news
Anzeige

Beitrag teilen

Kaspersky-Experten haben eine neue zielgerichtete Fileless Malware-Kampagne aufgedeckt. Sie zeichnet sich durch eine innovative Nutzung von Windows Event Logs für die Speicherung von Malware sowie eine Vielfalt an eingesetzten Techniken der Angreifer aus.

Zum Einsatz kommen etwa kommerzielle Pentesting-Suiten und Anti-Detection-Wrapper – einschließlich solcher, die mit Go kompiliert wurden. Im Rahmen der Kampagne waren auch mehrere Trojaner der neuesten Generation im Einsatz.

Anzeige

Neue Wege einer Fileless Malware-Attacke

Die Experten von Kaspersky haben eine zielgerichtete Malware-Operation entdeckt, bei der eine einzigartige Technik zum Einsatz kommt: Fileless Malware wird in Windows Event Logs versteckt. Die Erstinfektion des Systems erfolgte über das Dropper-Modul aus einem vom Opfer heruntergeladenen Archiv. Der Angreifer nutzte eine Vielzahl von Anti-Detection-Wrapper, um die Trojaner der letzten Stufe noch weiter zu verschleiern. Um eine weitere Entdeckung zu vermeiden, wurden einige Module mit einem digitalen Zertifikat signiert.

In der letzten Phase setzten die Angreifer zwei Arten von Trojanern ein. Diese wurden genutzt, um weiteren Zugriff auf das System zu erhalten. Befehle von Kontrollservern wurden auf zwei Arten übermittelt: über HTTP-Netzwerkkommunikation und die sogenannten Pipes. Einigen Trojaner-Versionen gelang es, ein Befehlssystem zu nutzen, das Dutzende an Befehlen von C2 enthielt.

Anzeige
WatchGuard_Banner_0922

Shellcodes werden im Windows-System versteckt

Die Kampagne umfasste auch kommerzielle Pentesting-Tools, darunter SilentBreak und CobaltStrike. Sie kombinierte bekannte Techniken mit angepassten Entschlüsselungsprogrammen und der erstmals beobachteten Nutzung von Windows Event Logs, um Shellcodes auf dem System zu verstecken.

„Wir haben eine neue zielgerichtete Malware-Technik beobachtet, die unsere Aufmerksamkeit erregt hat. Für den Angriff hat der Akteur einen verschlüsselten Shellcode aus Windows Event Logs gespeichert und dann ausgeführt“, erklärt sagt Denis Legezo, leitender Sicherheitsforscher bei Kaspersky. „Das ist ein Ansatz, den wir noch nie zuvor gesehen haben und der zeigt, wie wichtig es ist, auf Bedrohungen zu achten, die einen sonst unvorbereitet treffen könnten. Wir sind der Meinung, dass es sich lohnt, die Technik der Event Logs in den MITRE-Matrix-Abschnitt „Defense Evasion“ in den Teil „Hide Artefacts“ aufzunehmen. Auch der Einsatz verschiedener kommerzieller Pentesting-Suiten ist nicht alltäglich.“

Mehr bei Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

Entspannung beim Fachkräftemangel in der IT-Sicherheit

Die Welt steht still, so scheint es, doch der Schein trügt. Wie für so viele IT-Themen gehören auch Managed Security ➡ Weiterlesen

Forscher decken Angriffe auf europäische Luftfahrt- und Rüstungskonzerne auf

ESET-Forscher decken gezielte Angriffe gegen hochkarätige europäische Luftfahrt- und Rüstungskonzerne auf. Gemeinsame Untersuchung in Zusammenarbeit mit zwei der betroffenen europäischen Unternehmen ➡ Weiterlesen

Trends und Tipps zur Weiterentwicklung moderner CISOs

Kudelski Security, die Cybersicherheitsabteilung der Kudelski-Gruppe, veröffentlicht ihr neues Forschungspapier zum Cybergeschäft "Building the Future of Security Leadership"(Aufbau künftiger Sicherheitsexperten). ➡ Weiterlesen

Java-Malware kopiert Passwörter

G Data-Forscher decken auf: Java-Malware kopiert Passwörter und ermöglicht auch noch die Fernsteuerung via RDP. Eine in Java entwickelte neu ➡ Weiterlesen

Vertrauen auf VPN für den sicheren Zugriff

SANS Institute, ein Anbieter von Cybersicherheitsschulungen und -zertifizierungen, stellt die Untersuchung „Remote Worker Poll“ zur Verbreitung von Home Office Security ➡ Weiterlesen

Kaspersky Endpoint Security for Business mit EDR Optimum & Sandbox

Zukunftsweisender 3-in-1-Lösungsansatz für erweiterte Cybersicherheit für mittelständische und große Unternehmen Die neueste Version der Kaspersky-Flaggschifflösung Endpoint Security for Business [1] ➡ Weiterlesen

Hackergruppe gibt auf und veröffentlicht Schlüssel

Manchmal beschleicht wohl auch Hacker so etwas wie Reue oder ein schlechtes Gewissen und sie geben ihre schwarzen Hüte an ➡ Weiterlesen

Bösartige Chrome Extensions führen zum Datendiebstahl

Google Chrome Extensions und Communigal Communication Ltd. (Galcomm)-Domänen sind in einer Kampagne ausgenutzt worden, die darauf abzielt, Aktivitäten und Daten ➡ Weiterlesen