WinDealer-Malware verbreitet sich über Man-on-the-Side-Angriffe

Beitrag teilen

Kaspersky-Forscher haben entdeckt, dass die Malware WinDealer vom chinesischsprachigen APT-Akteur LuoYu über Man-on-the-Side-Angriffe verbreitet wird [1]. Diese Verbreitungsmechanik ermöglicht es dem Bedrohungsakteur, Netzwerkverkehr während der Übertragung so zu verändern, dass schädliche Payloads eingespeist werden können. Solche Angriffe sind besonders effektiv, da sie keine menschliche oder sonstige Interaktion mit dem Ziel für eine erfolgreiche Infektion erfordern.

Folgend den Erkenntnissen von TeamT5 [2] entdeckten die Kaspersky-Forscher eine neue Methode, die von den Akteuren zur Verbreitung der WinDealer-Malware eingesetzt wird. Sie nutzen einen Man-on-the-Side-Angriff, um den Datenverkehr mitzulesen und neue Nachrichten einzufügen. Das Konzept eines Man-on-the-Side-Angriffs besteht darin, dass der Angreifer, wenn er eine Anfrage nach einer bestimmten Ressource im Netz sieht (sei es durch seine Abhörfähigkeiten oder die eigene strategische Position im Netz des Internetanbieters), versucht, dem Ziel schneller zu antworten als der legitime Server. Ist dies der Fall, verwendet der Zielcomputer die vom Angreifer bereitgestellten Informationen anstelle der regulären Daten. Selbst wenn sie die meisten dieser „Wettläufe“ verlieren, können die Angreifer immer weitere Versuche starten, bis sie das Gerät infizieren.

Spyware sammelt viele Informationen

Nach einer erfolgreichen Attacke landet eine Spyware auf dem Zielgerät, die eine Vielzahl von Informationen sammeln kann. Dadurch können Angreifer alle auf dem Gerät gespeicherten Dateien einsehen und herunterladen sowie eine Stichwortsuche in allen Dokumenten durchführen. Im Allgemeinen hat LuoYu ausländische diplomatische Organisationen mit Sitz in China, akademische Einrichtungen sowie Verteidigungs-, Logistik- und Telekommunikationsunternehmen im Visier. Der Akteur verwendet WinDealer, um Windows-basierte Rechner anzugreifen.

Typischerweise enthält Malware einen oder mehrere fest kodierte Command-and-Control-Server, von denen aus Angreifer das System kontrollieren. Mit den entsprechenden Informationen über diese Server ist es möglich, die IP-Adressen dieser Server zu blockieren, mit denen die Malware interagiert, und so die Bedrohung zu neutralisieren. WinDealer verlässt sich jedoch auf einen komplexen Algorithmus zur Generierung von IP-Adressen zur Bestimmung, welcher Rechner kontaktiert werden soll.

Windealer generiert Kontakt-IP-Adressen

Dieser umfasst einen Bereich von 48.000 möglichen IP-Adressen, so dass es für den Betreiber fast unmöglich ist, auch nur einen kleinen Teil davon zu kontrollieren. Die einzige Möglichkeit, dieses scheinbar unmögliche Netzwerkverhalten zu erklären, besteht darin, zu vermuten, dass die Angreifer über erhebliche Abhörmöglichkeiten in diesem IP-Bereich verfügen und sogar Netzwerkpakete lesen können, die kein Ziel erreichen.

Ein solcher Man-on-the-Side-Angriff ist besonders verheerend, weil er keine Interaktion mit dem Ziel erfordert, um zu einer erfolgreichen Infektion zu führen. Es genügt eine aktive Verbindung zum Internet. Zudem können Nutzer proaktiv keine Schutzmaßnahmen ergreifen – außer den Datenverkehr über ein anderes Netzwerk zu leiten. Dies wäre mit der Nutzung eines VPNs zwar möglich, darf jedoch in gewissen Ländern nicht eingesetzt werden und ist insbesondere für chinesische Bürger in der Regel nicht verfügbar.

Auch Deutschland betroffen

Die überwiegende Mehrheit der LuoYu-Opfer befindet sich in China, so dass die Kaspersky-Experten davon ausgehen, dass sich die LuoYu-APT vor allem auf chinesischsprachige Nutzer und Organisationen mit Bezug zu China konzentriert. Sie haben jedoch auch Angriffe in anderen Ländern, darunter auch Deutschland, Österreich, die Vereinigten Staaten, die Tschechische Republik, Russland oder Indien, festgestellt.

„LuoYu ist ein äußerst raffinierter Bedrohungsakteur, der Methoden nutzt, die nur den fortgeschrittensten Angreifern zur Verfügung stehen“, kommentiert Suguru Ishimaru, Senior Security Researcher beim Global Research and Analysis Team (GReAT) von Kaspersky. „Wir können nur spekulieren, wie sie solche Fähigkeiten entwickeln konnten. Man-on-the-Side-Angriffe sind äußerst effektiv, da die einzige Voraussetzung für eine Attacke auf ein Gerät darin besteht, dass es mit dem Internet verbunden ist. Selbst wenn der Angriff beim ersten Mal fehlschlägt, können die Angreifer den Vorgang kontinuierlich wiederholen, bis sie Erfolg haben. Auf diese Weise können Cyberkriminelle äußerst gefährliche und erfolgreiche Spionageangriffe durchführen, die in der Regel Diplomaten, Wissenschaftler und Mitarbeiter anderer Schlüsselsektoren treffen. Unabhängig davon, wie der Angriff durchgeführt wurde, besteht die einzige Möglichkeit zum Schutz darin, sehr wachsam zu bleiben und robuste Sicherheitsverfahren einzusetzen. Hierzu gehören regelmäßige Antiviren-Scans, die Analyse des ausgehenden Netzwerkverkehrs und eine umfassende Protokollierung zur Erkennung von Anomalien.“

Kaspersky-Empfehlungen zum Schutz

  • Einsatz robuster Sicherheitsverfahren, die regelmäßige Antiviren-Scans, Analyse des ausgehenden Netzwerkverkehrs und eine umfassende Erhebung von Lag-Dateien zur Erkennung von Anomalien umfassen.
  • Durchführung eines Cybersecurity-Audits aller Netzwerke und Behebung sämtlicher Schwachstellen, die an oder innerhalb der Netzwerkperimeter entdeckt werden.
  • Installation von Anti-APT- und EDR-Lösungen die die Entdeckung von Bedrohungen sowie die Untersuchung und zeitnahe Behebung von Vorfällen ermöglichen. Das SOC-Team sollte stets Zugang zu den neuesten Bedrohungsdaten haben und regelmäßig durch professionelle Schulungen weitergebildet werden. All dies ist im Rahmen von Kaspersky Expert Security möglich [3].
  • Neben einem umfassenden Endpunktschutz liefern dedizierte Services weiteren Schutz vor Angriffen. Kaspersky Managed Detection and Response [4] kann helfen, Kompromittierungen im Frühstadium zu erkennen und zu stoppen, bevor die Angreifer ihre Ziele erreichen.
  • Der Threat Intelligence Resource Hub [5] von Kaspersky bietet einen kostenlosen Zugang zu unabhängigen, ständig aktualisierten und weltweit verfügbaren Informationen über aktuelle Cyberangriffe und Bedrohungen, um ein hohes Sicherheitslevel zu gewährleisten.
[1] https://securelist.com/windealer-dealing-on-the-side/105946/
[2] https://teamt5.org
[3] https://www.kaspersky.de/enterprise-security/endpoint-detection-response-edr
[4] https://www.kaspersky.de/enterprise-security/managed-detection-and-response
[5] https://go.kaspersky.com/uchub

Mehr bei Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

Europol zerschlägt FluBot-Spyware Netz

Dank Europol scheint es vorerst ein Ende mit der Android-Malware FluBot zu geben. Die europäische Behörde gibt bekannt, dass sie ➡ Weiterlesen

Spyware Pegasus: Mobile Geräte vor High-End-Malware schützen

Erst vor kurzem erfuhr die Welt von der Spyware Pegasus, die vor allem Journalisten, Politiker, Menschenrechtsaktivisten und -verteidiger und Anwälte ➡ Weiterlesen

Spyware-Kampagnen: 2.000 Industrieunternehmen angegriffen

Kaspersky-Experten haben eine neue, sich schnell entwickelnde Serie von Spyware-Kampagnen entdeckt, die über 2.000 Industrieunternehmen weltweit angreifen und stellen fest: ➡ Weiterlesen

BKA kauft Spionagesoftware Pegasus

Laut aktuellen Nachrichten hat das Bundeskriminalamt eine Version der Spionagesoftware Pegasus von dem umstrittenen israelischen Anbieter NSO Group gekauft. Ein ➡ Weiterlesen

Mobile Geräte auf Pegasus-Spyware prüfen

Die Überwachungssoftware "Pegasus" des israelischen Unternehmens NSO Group wird weltweit eingesetzt, um Medienschaffende, Menschenrechtsverteidiger und Aktivisten systematisch zu überwachen. Dies ➡ Weiterlesen

Avast wehrt Pegasus seit 2016 ab

Es wurde bekannt, dass VIPs, Staatslenker, Journalisten und Oppositionelle weltweit mithilfe des Überwachungs- und Spionage-Tool Pegasus ausgehorcht wurden.  Ein Statement ➡ Weiterlesen

Stalkerware entdecken mit Open-Source-Tool TinyCheck

Stalkerware wird nicht nur für die private Nachverfolgung von Personen genutzt. Damit lassen sich auch Smartphones von Mitarbeitern ausspionieren. Das ➡ Weiterlesen

Ransomware-Guide zu aktuellen Techniken und Methoden

Eine Gruppe von Professoren aus dem Bereich IT-Sicherheit fordern die Bundesregierung in einem Offenen Brief dazu auf, mehr Maßnahmen gegen ➡ Weiterlesen