- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Indikatoren für Kryptomining-Malware


2017 noch das Jahr der Ransomware-Attacken, ist aktuell die Kryptomining-Malware auf dem Vormarsch
Fremde Rechenpower für das ‚Geldverdienen’ zu nutzen ist nicht etwas komplett Neues, findet bei Kryptomining allerdings in einer Intensität und mit direktem Output (Bitcoins) in einer bislang nicht gesehenen Dimension statt

- Anzeigen -





Eine neue Cyber-Bedrohung stellt Kryptomining-Malware dar. Sie funktioniert gänzlich anders als bisher bekannte Angriffstechniken und ist deshalb nur äußerst schwer zu erkennen. CyberArk hat auf Basis einer detaillierten Analyse der Mining-Malware für die Kryptowährung Monero fünf Indikatoren identifiziert, die auf eine Infektion hindeuten.

Die digitale Bedrohungslandschaft ändert sich kontinuierlich. War 2017 noch das Jahr der Ransomware-Attacken, ist aktuell die Kryptomining-Malware auf dem Vormarsch. Schlagzeilen machte vor allem Malware, die für das Schürfen der Kryptowährung Monero genutzt wird.

"Fremde Rechenpower für das ‚Geldverdienen’ zu nutzen ist nicht etwas komplett Neues, findet bei Kryptomining allerdings in einer Intensität und mit direktem Output (Bitcoins) in einer bislang nicht gesehenen Dimension statt", erklärt Christian Goetz, Director of Presales – DACH bei CyberArk. "In starkem Kontrast etwa zu Ransomware agieren bösartige Kryptominer zudem unerkannt im Hintergrund. Folglich gestaltet sich auch das Aufspüren solcher Attacken sehr schwierig. CyberArk hat deshalb einige Indikatoren identifiziert, die auf Kryptomining-Malware hindeuten."

Für die Ermittlung der Indikatoren hat CyberArk den XMRig-Source-Code detailliert analysiert, einen Open-Source-basierten Monero-CPU-Miner mit Windows-Unterstützung, der unter GNU General Public License (GPL) veröffentlicht ist. Der weitgehend in C++ erstellte Miner ist unter Malware-Schreibern sehr populär geworden, da er unter anderem einfach zu kompilieren ist und Windows-spezifische Performance-Optimierungen bietet.

Die Analyse des XMRig-Source-Codes hat gezeigt, wie ein bösartiger Kryptominer auf Windows in der Praxis arbeitet. Der XMRig-Design-Ansatz kann zwar von anderen Kryptominern differieren, allerdings gibt es fünf Punkte, die für die Detektion der neuen Malware-Typen generell interessant sind.

1. Speicherzugriff
Eine charakteristische Eigenschaft des Monero-Minings ist die Verwendung des CryptoNight-Algorithmus, der unter anderem zu einer Optimierung der Speicherzugriffsgeschwindigkeit führt und damit den Miner-Output drastisch steigert. In Windows bietet die VirtualAlloc API eine besondere Methode für die Optimierung der Speicherlatenz durch den MEM_LARGE_PAGES Flag. Dieser Flag kann somit ein wertvoller Indikator für die Initialisierung eines Monero-Miners sein. Darüber hinaus sind auch die User-Account-Privilegien zu beachten, die für die Nutzung des MEM_LARGE_PAGES Flag erforderlich sind. Wenn der Malware-Schreiber seinen Miner nicht richtig verschleiert, sind die Windows-API-Aufrufe, die für die Modifizierung dieser Privilegien benötigt werden, ein exzellenter Hinweis auf Monero-Mining.

2. Kryptomining-Traffic
Auch wenn der ausgehende Traffic, der von einem bösartigen Kryptominer produziert wird, ein deutliches Indiz einer Infektion sein kann, sind dabei zwei Herausforderungen zu berücksichtigen: Mining-Pools verwenden unterschiedliche Ports und teilweise wird SSL-Verschlüsselung genutzt. Sollte aber ein Malware-Autor den Kryptomining-Traffic weder durch Nutzung von SSL noch durch einen Proxy verbergen, kann der Datenverkehr ein einfacher Indikator für eine Kryptomining-Infektion sowohl auf einer lokalen Maschine als auch im Netzwerk sein. Da es zudem nur eine begrenzte Anzahl an Mining-Pools gibt, sind Verbindungen zu deren IPs ein untrügliches Zeichen für eine Infektion. Wenn die Ziel-IP und der Host-Name mittels eines Proxys verborgen werden, können auch die Traffic-Muster zwischen dem Pool und Miner ein anderer guter Infektionshinweis sein.

3. CryptoNight-Logic
Das Fehlen von Windows-API-Aufrufen in der CryptoNight-Logic lässt zwar einerseits Diagnosen hinsichtlich API-Hooking oder mittels Event Tracing for Windows (ETW) ins Leere laufen. Andererseits eröffnet aber die CryptoNight-Logic auch die Möglichkeit einer zuverlässigen Detektion durch traditionelle Byte-Muster-File-Scanner in Sicherheitsprodukten wie Antivirus-Lösungen. Der Grund dafür ist, dass hochspezifische Code-Muster verwendet werden, die für die Funktionsweise des Miners essenziell und ohne detaillierte Kenntnis der kryptografischen Logik auch kaum zu ändern sind. Zudem würde die Konzeption einer von Grund auf neuen CryptoNight-Implementierung aus Sicht des Angreifers einen zu hohen Aufwand bedeuten. Selbst Angreifer, die einen eigenen Miner kreieren wollen, sind versucht, Files wie CryptoNight_x86.h von Projekten wie XMRig direkt in ihre eigene Code-Basis zu kopieren, um Zeit einzusparen.

4. Lesbare Strings und Kommandozeilen
Ein weiteres Indiz für eine Infektion durch Kryptominer im Allgemeinen – XMRig ist hier keine Ausnahme – ist das Vorhandensein einer großen Anzahl an lesbaren Strings, oftmals sogar einzigartigen. Der Grund hierfür ist, dass alle öffentlichen Miner im Hinblick auf maximale Anwenderfreundlichkeit geschrieben sind. Eine noch einfachere Variante dieser Detektionsmethode – ohne die Notwendigkeit, File-Inhalte zu scannen – stellt die Beobachtung verdächtiger Kommandozeilen bei aktiven Prozessen dar; ohne Rekompilieren eines Miners ändert sich nämlich die Syntax von Kommandozeilen nicht.

5. CPU-Nutzung
Nicht zuletzt ist eine starke CPU-Auslastung ebenfalls ein guter Indikator für Kryptominer. Allerdings besteht hier auch die Gefahr einer hohen Anzahl an False Positives. Infolgedessen sollte das Kriterium CPU-Nutzung nur in Kombination mit anderen Detektionsverfahren genutzt werden, um eine maximale Exaktheit der Ergebnisse sicherzustellen.

"Kryptominer werden in naher Zukunft eine große Herausforderung für IT-Teams und Produkte bleiben, da sie nicht traditionellen Malware-Prinzipien folgen. Deshalb müssen Unternehmen beim Aufspüren neue Wege gehen. Eine erste Möglichkeit hierfür bieten CyberArks fünf Indikatoren, die auf eine potenzielle Infektion hinweisen", sagt Goetz. (CyberArk: ra)

eingetragen: 28.10.18
Newsletterlauf: 26.11.18

CyberArk: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Vorsicht vor Phishing-Betrug

    Mehr als 3 Milliarden Menschen auf der ganzen Welt benutzen mindestens einmal im Monat soziale Medien. Und diese Zahl wächst weiterhin rasant: Der 2018 Global Digital Berichtsreihe zufolge ist die Anzahl der Benutzer der Top-Plattform in allen Ländern um fast 1 Mio. pro Tag gestiegen. Obwohl soziale Medien in unserem alltäglichen Leben eine außergewöhnliche Rolle spielen, warnen Sicherheitsexperten vor den weiterhin oft unterschätzten Gefahren. Das letzte Jahr hat einige eklatante Sicherheitslücken der sozialen Plattformen im Hinblick auf Privatsphäre und Datenschutz offenbart. Man denke an den Facebook und Cambridge Analytica Skandal, Quora oder auch die vorangegangenen Pannen bei LinkedIn und Snapchat.

  • Hacker auf Schatzsuche

    Mittlerweile lautet die Frage nicht mehr, ob ein Unternehmen einen Sicherheitsverstoß erleidet, sondern wann. Durch Sabotage, Datendiebstahl und Spionage ist der deutschen Industrie in den vergangenen beiden Jahren ein Gesamtschaden von insgesamt 43,4 Milliarden Euro entstanden, so eine aktuelle Studie des Digitalverbandes Bitkom. Datendiebstahl bleibt eine der größten Bedrohungen für die Unternehmenssicherheit. Der Schwarzmarkt mit gestohlenen Datensätzen floriert, im Darknet sind Exploit-Kits für Datendiebe laut des Underground Hacker Marketplace Reports schon ab 100 US-Dollar zu haben und Cyberkriminelle mit Fortbildungsbedarf bekommen Schulungen zu den unterschiedlichsten Angriffstechniken bereits ab 20 Dollar feilgeboten.

  • In 5 Schritten zum ganzheitlichen Risikomanagement

    Controlware hat einen kompakten Leitfaden für die Durchführung von Risikoanalysen entwickelt. Unternehmen schaffen so in fünf einfachen Schritten die Voraussetzungen für ein nachhaltiges Informationssicherheitsmanagement und stellen die Weichen für eine bereichsübergreifende Risikominimierung. Cyberattacken auf Daten und Systeme der Unternehmen nehmen rasant zu - und bedeuten in Zeiten strenger Compliance-Vorgaben und hoher Bußgelder ein erhebliches finanzielles Risiko. Hinzu kommt, dass ein erfolgreicher Angriff oder Datendiebstahl auch den Ruf des betroffenen Unternehmens nachhaltig schädigt. IT-Abteilungen sind daher mehr denn je auf ganzheitliche Sicherheitskonzepte angewiesen. Voraussetzung dafür ist aber zunächst ein unternehmensweites Risikomanagement.

  • Trotz hoher Risiken sicher mobil arbeiten

    Egal, ob BYOD oder klassische Firmenhandys, der Einsatz von Smartphones und Tablets ist mittlerweile auch in Unternehmen üblich. Unternehmen ist es durchaus bewusst, dass es Risiken beim Einsatz von mobilen Geräten gibt, doch mit der richtigen Lösung kann sicheres mobiles Arbeiten gewährleistet werden. Virtual Solution erklärt, worauf Anwender unbedingt achten müssen. Mobile Endgeräte stehen ganz oben auf der Beliebtheitsskala und kommen deshalb auch vermehrt für betriebliche Aufgaben zum Einsatz. Dabei geraten oft die Risiken aus dem Blickfeld. Letztlich haben bei dieser Geräte-Kooperation beide Partner, also sowohl die Unternehmens-IT als auch der Anwender, eine Verantwortung, wenn es um die Sicherheit geht. Virtual Solution zeigt, worauf sie achten müssen.

  • Fünf Tipps für sicheres Onlineshopping

    Eine Studie des Digitalverbands Bitkom ergab, dass im Jahr 2017 insgesamt 96 Prozent aller Internetnutzer ab 14 Jahren online eingekauft haben. Dieses Potenzial haben jedoch auch Cyber-Betrüger erkannt. Für sie sind Onlineeinkäufe eine wahre Goldgrube und dementsprechend nutzen sie alle möglichen Tricks, um unvorsichtige Käufer zu betrügen. Bereits im Jahr 2014 lag nach Angaben des Handelsverbandes Deutschland (HDE) e.V. die Gesamtschadenssumme durch Betrug im Onlinehandel bei 2,4 Milliarden Euro. Inzwischen dürfte diese Zahl noch einmal deutlich gestiegen sein. Wer jedoch einige einfache Sicherheitstipps befolgt, gibt Betrügern keine Chance und kauft sicher online ein. BullGuard hat fünf Tipps zusammengestellt, die für Schutz beim Online-Shopping sorgen.