Die längst verstaubt geglaubte Masche eines USB-Sticks mit Schadsoftware wurde tatsächlich noch einmal aus der Cybercrime-Kiste geholt. Der bekannte Wurm PlugX tauchte in Nigeria, Ghana, Simbabwe und der Mongolei in einer neuen Variante auf und wandert immer weiter.
16.000 Kilometer voneinander entfernt treten die derzeitigen Ausbrüche einer neuen Art des PlugX-USB-Wurms auf: nach dem erstmaligen Auftauchen in Papua-Neuguinea im August 2022 poppten immer mehr Infektionen in Ghana, der Mongolei, Simbabwe und Nigeria hoch.
So geht die neue Wurm-Version vor
Die neue Version, die Sophos X-Ops entdeckt hat, verbreitet sich über USB-Laufwerke und nutzt eine legitime ausführbare Datei, die sie in das Zielnetzwerk einschleust. Anschließend versteckt sie sich in einem gefälschten Verzeichnis namens „RECYLER.BIN“, das dank einer zusätzlichen Verschleierung durch die Cyberkriminellen von Windows mit dem echten Windows-Papierkorb assoziiert wird. Der Wurm kopiert dann Dateien aus dem infizierten Netzwerk auf das USB-Laufwerk.
Weltweites Comeback des USB-Wurms?
Die längst veraltet geglaubte USB-Malware-Verbreitung ist nicht totzukriegen: bereits im letzten Jahr hatte Sophos eine Anhäufung dieser Aktivität bemerkt. Der Wurm PlugX treibt seit mindestes 2008 sein Unwesen, sein Ursprung wird in der Sicherheitsszene übereinstimmend der Hacker-Gruppierung MustangPanda zugeordnet, eine Angreiferbande die mit chinesischer, staatlich geförderten Cyberspionage-Aktivität in Verbindung gebracht wird.
Gabor Szappanos, Threat Research Director, Sophos, über das Revival des USB-Wurms: „Im November vergangenen Jahres berichteten wir über verschiedene Verdichtungen aktiver feindlicher Aktivitäten gegen Regierungseinrichtungen in Südostasien, die sich ebenfalls dieser Retro-Methode via USB-Laufwerke bedienten. Der Wurm tauchte schließlich einen Monat später Tausende von Kilometern entfernt in Afrika auf. Nun umfasst diese erneute Anhäufung von USB-Wurm-Aktivitäten drei Kontinente.
USB oft nicht mehr im Security-Blick
Im Vergleich zu internetbasierten Attacken halten wir Wechselmedien nicht für besonders mobil, aber diese Verbreitungsmethode hat sich in diesen Teilen der Welt als sehr effektiv erwiesen. Es existieren zahlreiche Akteure mit sehr unterschiedlichen Interessen, die sich der Vorteile eines USB-Sticks bedienen, uns scheint hier aber vor allem die Gruppierung MustangPanda der Drahtzieher zu sein.
Ein Comeback des USB-Wurms auszurufen ist vielleicht zu früh, aber es ist ganz sicher keine ausgediente Technik von vor zehn oder zwanzig Jahren. Einige bekannte Bedrohungsakteure setzen weiterhin auf die Vorteile von USB, um ihre Schadsoftware zu verbreiten.“
Mehr bei Sophos.com
Über Sophos Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.