- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Eher maßgeschneiderte Malware


Whitepaper beschreibt sämtliche Remote Access Trojaner, die mit der OceanLotus/APT32 Gruppe in Verbindung gebracht werden
Einige RATs sind frei verfügbar und kommen auch in Kombination mit auf ein bestimmtes Opfer zugeschnittener Malware zum Einsatz

- Anzeigen -





Das Threat Research Team von Cylance unter der Leitung von Tom Bonner, Director of Threat Research, und mit Unterstützung von Marta Janus, Threat Research Manager, wird in Kürze ein neues technisches Whitepaper zur OceanLotus Malware veröffentlichen. Das Whitepaper beschreibt sämtliche Remote Access Trojaner, die mit der OceanLotus/APT32 Gruppe in Verbindung gebracht werden und gibt Einblicke in die unterschiedlichen von der Gruppe angewendeten Taktiken, Techniken und Methoden ebenso wie Hinweise dazu wie man den Befall erkennen kann (anhand von 120 Malware Samples).

Die Analysen des Threat Research Team bestätigen dabei zum einen existierende Untersuchungen und machen darüber hinaus weitere Informationen zu erst kürzlich veröffentlichter Schadsoftware verfügbar. Gemeint sind Roland und das CamCapture Plugin. Neue, zuvor noch nicht besprochene Malware-Varianten zeichnen sich dabei durch Hintertüren aus, die gezielt auf individuelle Ziele hin entwickelt worden sind. Wie schon bei zurückliegenden APT32-Kampagnen richten sich die Angriffe gegen Industrie, bestimmte Branchen, aber auch Nationalstaaten.

Einige RATs sind frei verfügbar und kommen auch in Kombination mit auf ein bestimmtes Opfer zugeschnittener Malware zum Einsatz. Die von APT32 verwendete CobaltStrike Payload wurde leicht verändert. Bei der jüngst aufgedeckten Variante ist die Proxy-Unterstützung deaktiviert. Diese Art von Tools kommt typischerweise in einer frühen Phase des Attackenlebenszyklus um Einsatz.

In der Folge setzen die Angreifer dann eher maßgeschneiderte Malware ein, nicht zuletzt um die Langlebigkeit der Schadsoftware innerhalb der infiltrierten Systeme zu gewährleisten.

Ein Ansatz, der von Cyberkriminellen und staatlich gesponserten Akteuren gleichermaßen bevorzugt wird, um den Entwicklungsaufwand in Grenzen zu halten und auch, um im Falle einer Entdeckung keine Spuren zu hinterlassen, die sich leicht auf einen bestimmten Urheber zurückführen ließen.

Das über 50-seitige Whitepaper mit zahlreichen Beispielen behandelt die folgenden Themenbereiche:

>> TTPs (Tactics, Techniques and Procedures) der APT32 Gruppe

>> IOCs (Indicators of Compromise), die auf eine potenzielle Kompromittierung durch APT32 hinweisen

>> Details, die bei der forensischen Analyse der APT32 C2-Kommunikation helfen

Cylance stellt zusätzlich ein Skript in Python zur Verfügung, über das sich die C2-Kommunikation dekodieren lässt. Dadurch lassen sich

>> von APT32 verwendete Befehle erkennen (zusätzliche TTPs)

>> ebenso wie sich feststellen lässt, welche Daten genau abgezogen wurden (etwas, das jeder wissen will, dem Daten gestohlen wurden)

>> weitere Malware-Varianten aufdecken, die bei einem Angriff verwendet worden sind.

Weitere Punkte:

>> Reverse Engineering von fünf ausgewählten Remote Access Trojanern (Roland, Remy, Rizzo, Splinter, Denis) und eine Beschreibung der C2-Protokolle

>> IOCs und die Beziehungen von 120 OceanLotus Malware Samples, die aus Analysen von Cylance, OpenSource-Quellen und bereits vorhandenen Untersuchungen stammen
(Cylance: ra)

eingetragen: 25.10.18
Newsletterlauf: 14.11.18

Cylance: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Aktualisierte Remexi-Backdoor gefunden

    Die Experten von Kaspersky Lab haben mehrere Kompromittierungsversuche gegen ausländische diplomatische Einrichtungen im Iran mittels einer selbst entwickelten Spyware identifiziert. Bei den Angriffen kamen wohl eine aktualisierte Version des Remexi-Backdoor-Programms sowie verschiedene legitime Tools zum Einsatz. Hinter der Remexi-Backdoor wird eine verdächtige Farsi sprechende Cyberspionagegruppe namens ,Chafer' vermutet, die zuvor mit digitalen Observationen von Einzelpersonen im Nahen Osten in Verbindung gebracht wurde. Der Fokus auf Botschaften könnte eine Neuorientierung der Gruppe sein.

  • Emotet: Allzweckwaffe des Cybercrime

    Die Emotet-Schadsoftware wird derzeit über gefälschte Amazon-Versandbestätigungen verteilt. G Data erklärt, was hinter der Malware steckt und warum sie so gefährlich ist. Emotet ist eine der langlebigsten und professionellsten Cybercrime-Kampagnen der vergangenen Jahre. Erstmals im Jahr 2014 als Banking-Trojaner entdeckt hat die Malware sich über die Jahre zu einer umfassenden Lösung für das Cybercrime entwickelt. Die Schadsoftware nimmt dabei in der Regel nur die Funktion des Türöffners ein, der dann weiteren Schadcode auf dem Rechner installiert. Aktuell wird Emotet über sehr gut gefälschte Amazon-E-Mails verteilt, die Nutzer zum Herunterladen eines Word-Dokuments nötigen wollen. Nach einem Klick auf den angeblichen Tracking-Link öffnet sich das Word-Dokument, das Nutzer auffordert, aktive Inhalte zuzulassen und dann die Infektion des PCs veranlasst.

  • Überwachungs- & Verfolgungsoperationen

    Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.

  • Zukunft von unentdeckter Malware

    Malwarebytes veröffentlichte die Studie "Unter dem Radar - die Zukunft von unentdeckter Malware" und beleuchtet darin einige der neuesten Bedrohungen in diesem Bereich für Unternehmen: Emotet, TrickBot, Sobretec, SamSam und PowerShell. Widerstandsfähigkeit und Erkennungsvermeidung als neuer Fokus: Die stetige Weiterentwicklung von Cyberkriminalität ist eine Konstante in unserer heutigen digitalen Welt. Fast täglich gibt es Nachrichten von neuen Angriffsmethoden, einer neuen Angriffsstrategie oder einer Taktik, mit der Cyberkriminelle Benutzer infizieren, ihre Lebensgrundlage gefährden und oder ganz allgemein Chaos anrichten. Um ihren Profit zu steigern, wollen Cyberkriminellen Endpunkte zielgerichtet und vollständig besetzen. Sie haben das Ziel, Endpunkte unbemerkt zu infizieren, sowohl in dem Moment der ersten Gefährdung, als auch bei allen weiteren Versuchen, den Endpunkt zu besetzen.

  • Wesentlich effizientere DDoS-Bots

    Das Botnetz Mirai beschränkt sich nicht mehr länger auf ungesicherte IoT-Geräte. Das sind Erkenntnisse von Asert, ein Team aus Sicherheitsspezialisten des Unternehmens Netscout Arbor, ein Anbieter von Business Assurance-, Cybersicherheits- und Business-Intelligence-Lösungen.Kriminelle Betreiber der großen Botnetze haben die Malware von Mirai so angepasst, dass sie nun auch ungepatchte Linux-Server über die Schwachstelle Hadoop Yarn gefährden. Hadoop ist ein Framework von Apache, das Big Data-Anwendungen verarbeitet und speichert, die in geclusterten Systemen ausgeführt werden. Yarn ist für die Zuweisung von Systemressourcen und Planungsaufgaben verantwortlich.