- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Käufer können eigene Bot-Shops aufsetzen


Installation anderer Malware wie etwa Banktrojaner, Ransomware oder Trojaner zum Daten- und Identitätsdiebstahl
Kardon Loader wird seit Ende April vom Nutzer "Yattaze" ab 50 US-Dollar in Untergrund- und Hacker-Foren als kostenpflichtiges Open-Beta-Produkt beworben

- Anzeigen -





Netscout Arbor, Sicherheitsspezialistin für DDoS-Abwehr-Lösungen, warnt vor dem Malware-Downloader Kardon Loader. Dieser ermöglicht den Download und die Installation anderer Malware wie etwa Banktrojaner, Ransomware oder Trojaner zum Daten- und Identitätsdiebstahl. Downloader sind ein wesentlicher Teil des Malware-Ökosystems. Sie werden oft von spezialisierten Hackern entwickelt und unabhängig vom jeweiligen Trojaner vertrieben. Kardon Loader wird seit Ende April vom Nutzer "Yattaze" ab 50 US-Dollar in Untergrund- und Hacker-Foren als kostenpflichtiges Open-Beta-Produkt beworben. Kardon Loader soll zudem Bot-Store-Funktionalitäten bieten. So können Käufer eigene Bot-Shops aufsetzen. Es ist davon auszugehen, dass die Malware ein Rebranding des ZeroCool-Botnets ist, das vom gleichen Akteur entwickelt wurde.

Über folgende Funktionalitäten soll Kardon Loader bereits jetzt oder in naher Zukunft verfügen:

>> Bot-Funktionalität

>> Download and Execute Task

>> Update Task

>> Uninstall Task

>> Usermode Rootkit

>> RC4-Verschlüsselung (noch nicht implementiert)

>> Debug>> und Analyseschutz

>> TOR-Unterstützung

>> Domain-Generierungs-Algorithmus (DGA)

Anti-Analyse-Techniken
Kardon Loader nutzt einige Anti-Analyse-Techniken, wie etwa den Versuch, das Modul-Handle für die folgenden DLLs zu erhalten:

>> avghookx.dll

>> avghooka.dll

>> snxhk.dll

>> sbiedll.dll

>> dbghelp.dll

>> api_log.dll

>> dir_watch.dll

>> pstorec.dll

>> vmcheck.dll

>> wpespy.dll

Wird eine der obigen DLL-Handles zurückgegeben, wird der Prozess beendet. Diese DLLs stehen im Zusammenhang mit Virenschutz, Analysetools und Virtualisierung. Kardon Loader zählt auch den Wert der CPUID-Vendor-ID auf und vergleicht ihn mit den folgenden Zeichenfolgen (Strings):

>> KVMKVMKVM
>> Microsoft Hv
>> VMwareVMware
>> XenVMMXenVMM
>> prl hyperv
>> VBoxVBoxVBox

Dies sind bekannte CPUID-Vendor-ID-Werte, die mit virtualisierten Maschinen verknüpft sind. Wird einer dieser Werte erkannt, wird auch die Malware beendet.

Command and Control
Der Kardon Loader verwendet eine HTTP-basierte C2-Infrastruktur mit URL-Parametern, die base64-kodiert sind. Bei der Ausführung sendet der Kardon Loader HTTP-POSTs mit den folgenden Feldern an den C2:

ID = Identifikationsnummer
OS = Betriebssystem
PV = Benutzerprivileg
IP = Initiale Nutzlast (voller Pfad)
CN = Rechnername
UN = Benutzername
CA = Prozessorarchitektur

Empfehlung
Unternehmen sollten auf die hier genannten Indikatoren achten, um bösartige Aktivitäten im Zusammenhang mit Kardon Loader zu blockieren. Außerdem kann die nachstehende Yara-Regel genutzt werden, um nach zusätzlichen Kopien von Kardon Loader zu suchen und um andere IOCs zu extrahieren, die schädliche Aktivitäten blockieren. (Netscout Arbor: ra)

eingetragen: 23.06.18
Newsletterlauf: 02.07.18

Netscout Arbor: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Emotet: Allzweckwaffe des Cybercrime

    Die Emotet-Schadsoftware wird derzeit über gefälschte Amazon-Versandbestätigungen verteilt. G Data erklärt, was hinter der Malware steckt und warum sie so gefährlich ist. Emotet ist eine der langlebigsten und professionellsten Cybercrime-Kampagnen der vergangenen Jahre. Erstmals im Jahr 2014 als Banking-Trojaner entdeckt hat die Malware sich über die Jahre zu einer umfassenden Lösung für das Cybercrime entwickelt. Die Schadsoftware nimmt dabei in der Regel nur die Funktion des Türöffners ein, der dann weiteren Schadcode auf dem Rechner installiert. Aktuell wird Emotet über sehr gut gefälschte Amazon-E-Mails verteilt, die Nutzer zum Herunterladen eines Word-Dokuments nötigen wollen. Nach einem Klick auf den angeblichen Tracking-Link öffnet sich das Word-Dokument, das Nutzer auffordert, aktive Inhalte zuzulassen und dann die Infektion des PCs veranlasst.

  • Überwachungs- & Verfolgungsoperationen

    Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.

  • Zukunft von unentdeckter Malware

    Malwarebytes veröffentlichte die Studie "Unter dem Radar - die Zukunft von unentdeckter Malware" und beleuchtet darin einige der neuesten Bedrohungen in diesem Bereich für Unternehmen: Emotet, TrickBot, Sobretec, SamSam und PowerShell. Widerstandsfähigkeit und Erkennungsvermeidung als neuer Fokus: Die stetige Weiterentwicklung von Cyberkriminalität ist eine Konstante in unserer heutigen digitalen Welt. Fast täglich gibt es Nachrichten von neuen Angriffsmethoden, einer neuen Angriffsstrategie oder einer Taktik, mit der Cyberkriminelle Benutzer infizieren, ihre Lebensgrundlage gefährden und oder ganz allgemein Chaos anrichten. Um ihren Profit zu steigern, wollen Cyberkriminellen Endpunkte zielgerichtet und vollständig besetzen. Sie haben das Ziel, Endpunkte unbemerkt zu infizieren, sowohl in dem Moment der ersten Gefährdung, als auch bei allen weiteren Versuchen, den Endpunkt zu besetzen.

  • Wesentlich effizientere DDoS-Bots

    Das Botnetz Mirai beschränkt sich nicht mehr länger auf ungesicherte IoT-Geräte. Das sind Erkenntnisse von Asert, ein Team aus Sicherheitsspezialisten des Unternehmens Netscout Arbor, ein Anbieter von Business Assurance-, Cybersicherheits- und Business-Intelligence-Lösungen.Kriminelle Betreiber der großen Botnetze haben die Malware von Mirai so angepasst, dass sie nun auch ungepatchte Linux-Server über die Schwachstelle Hadoop Yarn gefährden. Hadoop ist ein Framework von Apache, das Big Data-Anwendungen verarbeitet und speichert, die in geclusterten Systemen ausgeführt werden. Yarn ist für die Zuweisung von Systemressourcen und Planungsaufgaben verantwortlich.

  • Hacker gehen auf Butterfahrt

    GuardiCore hat eine Hacking-Kampagne aufgedeckt, bei der ein Remote-Access-Trojaner (RAT) mit DDoS-Funktion samt Krypto-Miner installiert werden. Die "Butter" genannte Schadsoftware agiert im Hintergrund und wird zur Verwischung ihrer Spuren als Linux-Kernel-Rootkit getarnt. GuardiCore entwickelt IT-Sicherheitstechnologien und erstellt mit einem weltweiten Forscherteam sicherheitsbezogene IT-Analysen, Rechercheberichte und Gegenmaßnahmen für aktuelle Bedrohungen.