USB-Wurm wandert über drei Kontinente

Sophos News

Beitrag teilen

Die längst verstaubt geglaubte Masche eines USB-Sticks mit Schadsoftware wurde tatsächlich noch einmal aus der Cybercrime-Kiste geholt. Der bekannte Wurm PlugX tauchte in Nigeria, Ghana, Simbabwe und der Mongolei in einer neuen Variante auf und wandert immer weiter.

16.000 Kilometer voneinander entfernt treten die derzeitigen Ausbrüche einer neuen Art des PlugX-USB-Wurms auf: nach dem erstmaligen Auftauchen in Papua-Neuguinea im August 2022 poppten immer mehr Infektionen in Ghana, der Mongolei, Simbabwe und Nigeria hoch.

So geht die neue Wurm-Version vor

Die neue Version, die Sophos X-Ops entdeckt hat, verbreitet sich über USB-Laufwerke und nutzt eine legitime ausführbare Datei, die sie in das Zielnetzwerk einschleust. Anschließend versteckt sie sich in einem gefälschten Verzeichnis namens “RECYLER.BIN”, das dank einer zusätzlichen Verschleierung durch die Cyberkriminellen von Windows mit dem echten Windows-Papierkorb assoziiert wird. Der Wurm kopiert dann Dateien aus dem infizierten Netzwerk auf das USB-Laufwerk.

Weltweites Comeback des USB-Wurms?

Die längst veraltet geglaubte USB-Malware-Verbreitung ist nicht totzukriegen: bereits im letzten Jahr hatte Sophos eine Anhäufung dieser Aktivität bemerkt. Der Wurm PlugX treibt seit mindestes 2008 sein Unwesen, sein Ursprung wird in der Sicherheitsszene übereinstimmend der Hacker-Gruppierung MustangPanda zugeordnet, eine Angreiferbande die mit chinesischer, staatlich geförderten Cyberspionage-Aktivität in Verbindung gebracht wird.

Gabor Szappanos, Threat Research Director, Sophos, über das Revival des USB-Wurms: „Im November vergangenen Jahres berichteten wir über verschiedene Verdichtungen aktiver feindlicher Aktivitäten gegen Regierungseinrichtungen in Südostasien, die sich ebenfalls dieser Retro-Methode via USB-Laufwerke bedienten. Der Wurm tauchte schließlich einen Monat später Tausende von Kilometern entfernt in Afrika auf. Nun umfasst diese erneute Anhäufung von USB-Wurm-Aktivitäten drei Kontinente.

USB oft nicht mehr im Security-Blick

Im Vergleich zu internetbasierten Attacken halten wir Wechselmedien nicht für besonders mobil, aber diese Verbreitungsmethode hat sich in diesen Teilen der Welt als sehr effektiv erwiesen. Es existieren zahlreiche Akteure mit sehr unterschiedlichen Interessen, die sich der Vorteile eines USB-Sticks bedienen, uns scheint hier aber vor allem die Gruppierung MustangPanda der Drahtzieher zu sein.

Ein Comeback des USB-Wurms auszurufen ist vielleicht zu früh, aber es ist ganz sicher keine ausgediente Technik von vor zehn oder zwanzig Jahren. Einige bekannte Bedrohungsakteure setzen weiterhin auf die Vorteile von USB, um ihre Schadsoftware zu verbreiten.“

Mehr bei Sophos.com

 


Über Sophos

Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.


 

Passende Artikel zum Thema

VMware vCenter Server: Kritische Schwachstelle patchen 

Broadcom bietet für VMware vCenter Server Patches für zwei Schwachstellen. Eine davon ist mit einem CVSS-Wert von 9.8 kritisch, die ➡ Weiterlesen

Neue Threat Defense gegen mobile Bedrohungen 

Die explosionsartige Zunahme mobiler Geräte und Anwendungen führt zu einer immer größeren Angriffsfläche für Cyberangriffe – ausgeklügelte Sicherheitsbedrohungen wie Spyware, ➡ Weiterlesen

Ransomware-Report: Nachfolger für LockBit und ALPHV 

Die Experten von Malwarebytes beobachten ständig die Entwicklung in Sachen Ransomware-Angriffe. Nach den Polizei- und Behörden-Aktionen gegen LockBit und ALPHV ➡ Weiterlesen

Chinesische Spionagekampagne enttarnt

Die Experten von Sophos haben eine chinesische Spionagekampagne in Südostasien aufgedeckt. Sophos X-Ops findet Verbindungen zwischen fünf bekannten chinesischen Bedrohungsgruppen, darunter ➡ Weiterlesen

Endgeräte: Malware nimmt 2024 weiter massiv zu

Ein aktueller Internet Security Report von WatchGuard richtet Augenmerk auf Malware die Endgeräte angreift, etwa die weit verbreitete „Pandoraspear“-Malware, die Smart-TV ➡ Weiterlesen

Aufsteiger 2024: Ransomware-Gruppe 8Base

In einer neuen Analyse widmet sich Trend Micro der Ransomware-Gruppe 8Base. Diese nahm in den ersten Monaten des Jahres 2024 ➡ Weiterlesen

Schwachstellen in Check Point Security Gateways attackiert

Wie das BSI mitteilt, werden aktuell die veröffentlichten Schwachstellen in Security Gateways von Check Point attackiert. Das BSI schließt den ➡ Weiterlesen

Unternehmen sind Ziel von Cloud-Malware-Angriffen

Ein aktueller Bericht zeigt, dass europäische Unternehmen mehr Malware aus der Cloud erhalten als andere Märkte – obwohl sie im ➡ Weiterlesen