- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Verbreitung von Dridex-Spam


Nach wie vor eine Bedrohung: Erneute Aktivitäten des berüchtigten Dridex-Botnets mit neuer Verbreitung und Banking-Trojaner Shifu
Dasselbe Spam-Botnet, das Dridex verbreitet, hat auch den Banking-Trojaner Shifu in Umlauf gebracht

Von Monika Schaufler, Regional Director, DACH bei Proofpoint

(11.12.15) - Nach monatelanger Pause im Anschluss an eine Reihe von Festnahmen und trotz eines kürzlich erfolgten Takedowns sehen die Dridex-Akteure die jüngsten Polizeiaktionen offenbar als Herausforderung und Chance an, aus ihren Fehlern zu lernen und gestärkt daraus hervorzugehen. Proofpoint-Experten haben die aktuelle Aktivität der Dridex-Akteure analysiert und zahlreiche Änderungen im Verhalten erkannt – von technischen Neuerungen bis hin zur Verbreitung anderer Banking- und Datendiebstahl-Schadprogramme.

Die wichtigsten Punkte im Überblick:
>>
Nachdem Andrei Ghincul, aka Smilex, der mutmaßlich Verantwortliche für einen Großteil des Dridex-Spam, im September festgenommen wurde, kam der Dridex-Spam zum Erliegen.

>> Anfang Oktober wurde die Verbreitung von Dridex-Spam dann fortgesetzt. Dabei wurden sämtliche Sub-Botnets von demselben Spam-Botnet verbreitet.

>> Das Dridex 220-Botnet wurde am 1. Oktober wieder in Betrieb genommen und verzeichnet seitdem starke Aktivität.

>> Dridex 120 wurde am 16. Oktober wieder aktiviert.

>> Proofpoint beobachtete ein neues Dridex-Botnet mit der ID 301 und ein seltenes Dridex-Botnet mit der ID 121.

Proofpoint beobachtete erneutes massives Spam-Aufkommen, darunter mehrere Tage, an denen die Menge der E-Mails mit dem Spitzenaufkommen der letzten sechs Monate gleichauf oder sogar darüber lag. Dasselbe Spam-Botnet, das Dridex verbreitet, hat auch den Banking-Trojaner Shifu in Umlauf gebracht, der gegen japanische und britische Benutzer gerichtet ist und zeigt, dass die Akteure durchaus zur Diversifizierung bereit sind.
Dasselbe Botnet hat auch die Datendiebstahl-Malware Ursnif verbreitet, die auf Nutzer in Australien abzielte.

Die fünf Elemente eines modernen Angriffs
Bei dem Versuch, die aktuellen Entwicklungen rund um Dridex zu entschlüsseln, kann es zunächst hilfreich sein, diese in den Zusammenhang des größeren Frameworks zu stellen, das von vielen modernen Hackern genutzt wird. Ein solches Framework besteht in der Regel aus fünf Elementen: Akteur, Vektor, Hoster, Payload und C2.

Akteur: Die angreifende Organisation. Echte Menschen, angetrieben von verschiedenen Motivationen, bei Cyberkriminellen oft finanzielle Motive.
Vektor: Die Verbreitungsmethode. E-Mail per vom Angreifer kontrollierten oder gemieteten Spam-Botnet ist ein bestimmender Vektor, der Vektor Social-Media wächst jedoch auch.
Hoster: Die Websites, die Malware hosten. Wenn Malware nicht direkt an eine E-Mail angehängt ist, beziehen Dokumente mit aktiven Makros oder in Exploit-Kits eingelagerte Dropper Schadcode von diesen Websites.
Payload: Die Malware. Software, die dem Angreifer ermöglicht, den Ziel-Computer zu nutzen (Kontrolle, Daten davon exfiltrieren, weitere Software darauf laden).
C2: Der Befehls- und Kontrollkanal, der Befehle zwischen der eingelagerten Malware und den Angreifern weiterleitet.

Mit diesem Framework können Angreifer in soliden, horizontal segmentierten Ökosystemen arbeiten, sich auf die Entwicklung bestimmter Teile des Frameworks spezialisieren und diese an Dritte verkaufen oder vermieten. Diese Frameworks sind resistent gegen Takedowns und Ausfälle einzelner Komponenten. Sie erhöhen jedoch auch die Erkennungsfläche der Angreifer, d. h. deren Anfälligkeit entdeckt zu werden. Durch die Verfolgung jedes dieser Elemente können Verteidiger andere Elemente ableiten und die geeigneten Abwehrmaßnahmen ergreifen.

Beobachtete Dridex-Botnets
Dridex 220 wurde am 1. Oktober wieder in Betrieb genommen und verzeichnet seitdem starke Aktivität. Der am 13. Oktober bekannt gegebenen Abschaltung des Dridex 220-Botnets folgte nur eine eintägige Pause der Spam-Aktivitäten, am 14. Oktober. Proofpoint beobachtet seitdem täglich 14 Dridex 220-Kampagnen, und Tests zeigen, dass diese Malware derzeit in der Lage ist, DLLs und Konfigurationsdateien erfolgreich abzurufen.

Der Dridex 120-Betrieb wurde am 16. Oktober wieder aufgenommen, und Proofpoint beobachtet seitdem täglich sieben Kampagnen für dieses Botnet. Darüber hinaus hat Proofpoint neue Sub-Botnet-IDs festgestellt, und zwar 301 und 121. Im Folgenden finden Sie die jeweiligen Dridex-Botnets und die Tage, an denen diese von Proofpoint erkannt wurden:

Dridex 220: October 1, 5, 6, 7, 8, 9, 12, 13, 15, 19, 21, 22, 23, 26
Dridex 120: October 16, 19, 20, 22, 26, 27, 28
Dridex 121: October 19
Dridex 301: October 22
Aufkommen und Vorkommen von Dridex-Spam

In diesen Spam-Kampagnen haben Proofpoint-Forscher Folgendes beobachtet:
Der 22. Oktober stach heraus, da an dem Tag vier Dridex-Spam-Kampagnen erkannt wurden: Die Dridex-Botnets 120, 220 (morgens und abends) und 301 wurden an nur einem Tag von Spam-Bots verbreitet.
Das größte E-Mail-Aufkommen, das in einer einzelnen Kampagne versendet wurde, war doppelt so hoch wie das durchschnittliche E-Mail-Aufkommen der Dridex-Kampagnen im Oktober (Dridex-Botnet 220 – 19. Oktober).
Das kleinste E-Mail-Aufkommen, das in einer einzelnen Kampagne versendet wurde, war eine Kampagne mit unter 100 E-Mails für das Dridex-Botnet 121 am 19. Oktober.
Rechnungs- und Transaktions-E-Mail-Köder sind auch weiterhin weit verbreitet.
Die meisten der in E-Mails enthaltenen schadhaften Dokumentanhänge sind leer oder nutzen den typischen Köder "Makros aktivieren, um dieses Dokument anzuzeigen". Die Dridex 121-Minikampagne vom 19. Oktober enthielt jedoch einen interessanten Dokumentköder

Banking-Trojaner Shifu
Dasselbe Botnet (je nach Tag bestehend aus rund vier- bis zehntausend infizierten Spam-Rechnern), das Dridex 120, 220, 121 und 301 verbreitet hat, wurde auch bei der Verbreitung des Banking-Trojaners Shifu beobachtet. Das zeigt, dass die Akteure bereit sind zu diversifizieren oder für den Fall einer erfolgreichen Strafverfolgung zusätzliche Optionen suchen.

Der Banking-Trojaner Shifu wurde zuerst Ende August gemeldet und kombiniert Merkmale von zahlreichen anderen bekannten Banking-Trojanern wie Zeus, Dyre und Dridex usw. Während diese ausgefeilte Hybridversion eine in Form und Methode ähnliche Konfigurationsdatei wie die von Dridex nutzt, verfügt sie zusätzlich über Verschleierungs-, Anti-Analyse-, C2- und sogar Anti-Malware-Funktionen, die Dridex nicht hat. Bisher wurden für Shifu hauptsächlich Angriffe auf Bankkunden in Japan und Großbritannien festgestellt.

Am 7. Oktober sendete das Botnet japanische E-Mails, die als Bestätigung eines Auftrags getarnt waren, in Wirklichkeit jedoch Anhänge wie "1312061102_13233939se.doc" enthielten. Diese Anhänge nutzen Makros zum Download eines Shifu-Banking-Trojaners, der japanische Nutzer anvisierte.

Am 20. Oktober wurde eine weitere Kampagne erkannt, die E-Mails mit dem Betreff "Auftragsnr.: 48847" und dem Anhang "PO_48847.DOC" oder mit dem Betreff "john.doe@unternehmen.com" (Adresse des Empfängers) und dem Anhang "FINAL NOTIFICATION.xls" verbreitete. Die Anhänge sind Microsoft Office-Dokumente, die schadhafte Makros enthalten und den Banking-Trojaner Shifu herunterladen, aber diesmal jedoch gegen Kunden von Banken in Großbritannien gerichtet waren.

Zuvor wurde über dieses Spam-Botnet hauptsächlich Dridex verbreitet, was vermuten lässt, dass es von einer einzelnen Gruppe oder einer kleine Gruppe von Einzelpersonen kontrolliert wurde. Allein reicht dieser Fakt jedoch nicht aus, um den Shifu-Trojaner den Akteuren zuzuordnen, die auch Dridex verbreitet haben.

Die infizierten Systeme könnten beispielsweise mit mehr als einem Spam-Bot infiziert sein oder der Spammer tut einem Freund einen Gefallen. Genauere Analysen haben jedoch weitere Gemeinsamkeiten aufgedeckt: Beispielsweise ist der Builder, mit dem die Shifu-Dokumente generiert wurden, derselbe, der auch für Dridex 220 verwendet wurde, mit ähnlichen Dateinamen, einem leeren Textkörper und ähnlicher URI-Struktur des Payload-Speicherortes (d. h. der Speicherort, von dem das Microsoft Word-Dokument die Shifu- oder Dridex-Payload herunterlädt).

Am 28. Oktober haben Proofpoint-Forscher eine weitere große Kampagne erkannt, die offenbar von demselben Akteur stammte und ebenfalls Shifu unter britischen Nutzern mit dem Köder "Auftragsbestätigung" und einem gefährlichen Dokumentanhang verbreitete. Bei einem weiteren Beispiel der variantenreichen Payloads dieses Akteurs nutzte eine Kampagne einen Neutrino-Bot als initiale Payload, die dann Shifu als zweite Payload herunterlud.

Datendiebstahl-Malware Ursnif
Im Oktober wurde dasselbe Spam-Botnet auch bei der Verbreitung der Datendiebstahl-Malware Ursnif beobachtet. So wurde beispielsweise am 21. Oktober eine Kampagne in Australien beobachtet, bei der E-Mails Anhänge mit zufälligen Bezeichnungen enthielten, die Ursnif mithilfe schadhafter Makros herunterluden. Interessanterweise verwendeten die Dokumente dieselbe visuelle Vorlage, die bereits im April 2015 vom Sub-Botnet Dridex 200 genutzt wurde.

Fazit
Aktuelle Erkenntnisse der Proofpoint-Experten bestätigen, dass das Dridex 220-Botnet durch die jüngsten Takedown-Versuche noch lange nicht zerstört wurde. Darüber hinaus zeigen diese Analysen, dass die Hacker des Dridex 220-Botnets auch hinter den zuletzt beobachteten Shifu-Kampagnen in Großbritannien und Japan stecken sowie für mindestens eine Ursnif-Kampagne verantwortlich sind, die auf australische Banking-Kunden abzielte. Diese Ergebnisse unterstreichen die Widerstands- und Anpassungsfähigkeit der Dridex-Bande und verdeutlichen die Gefahr, die sie weiterhin für Einzelpersonen und Organisationen darstellen. (Proofpoint: ra)

Proofpoint: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Heartbleed lebt & wird von Kriminellen ausgenutzt

    Heartbleed ist ein schwerwiegender Bug in OpenSSL, der bereits im Jahr 2014 entdeckt wurde und es Unbefugten und Kriminellen erlaubt, scheinbar sichere und verschlüsselte TLS-Verbindungen auszuspionieren und private Daten von Clients und Servern zu lesen. Der Global Threat Index für August 2018 von Check Point zeigt, dass der Fehler noch vier Jahre nach seiner Entdeckung zu einer der Schwachstellen zählt, die am häufigsten ausgenutzt werden. Kevin Bocek, VP Security Strategy and Threat Intelligence bei Venafi, erklärt dazu: "Heartbleed lebt und wird von Kriminellen ausgenutzt. Check Point erkennt, dass die zweithäufigste ausgenutzte Schwachstelle im August 2018 Heartbleed war (CVE-2014-0160; CVE-2014-0346). Dies ist ein Weckruf, dass der oft scheiternde Korrekturschritt, die Ersetzung aller Maschinenidentitäten wie TLS-Schlüssel und Zertifikate, noch ausgeführt werden muss."

  • Stehlen von Konto- und Kreditkartendaten

    Bei "Panda Banker" handelt es sich um einen Bankentrojaner, der sich den Source Code des bekannten Zeus-Trojaners zunutze macht. Der tauchte erstmals bereits 2016 auf, ist aber nach wie vor aktiv. Gerade in jüngster Zeit wurden zahllose Updates veröffentlicht. Panda Banker injiziert auf der Webseite des Opfers bösartigen Skript-Code und nutzt dabei "Man-in-the Browser"-Techniken. Der "Man-in-the-Browser"-Angriff ist eine Sonderform der "Man-in-the Middle"-Attacke". Bei einem MiTB-Angriff infiziert ein Trojaner den Browser des Nutzers.

  • Kamera des Smartphones kann übernommen werden

    Smartphone-Nutzer des Android-Betriebssystem sollten die Tage vorsichtig sein: Eine neue Malware für mobile Telefone ist im Umlauf und liest die Nachrichten und Kontakte der betroffenen Nutzer aus. Die Schadsoftware "Android.Trojan-Spy.Buhsam.A" für Android-Smartphones kann die Whatsapp-Historie der Nutzer ausspionieren, Kontakte auslesen und die Kamera des Smartphones übernehmen. Erstmals entdeckt wurde die Malware von dem Sicherheitsforscher Lukas Stefanko. G Data Analysten haben die Schadsoftware genauer analysiert. G Data Mobile Internet Security erkennt die Bedrohung unter dem Namen Android.Trojan-Spy.Buhsam.A. Nach Ansicht der G Data-Sicherheitsforscher ist die Malware derzeit entweder noch in der Entwicklungsphase oder schlecht programmiert. Denn nachdem die entsprechenden Dienste gestartet werden, erhalten Nutzer eine Benachrichtigung mit dem Inhalt "Service Started". Kriminelle versuchen normalerweise, so versteckt wie möglich zu agieren, um Ihre Spuren zu verwischen. Immer wieder gelangt noch in Entwicklung befindliche Malware versehentlich in den Umlauf, etwa weil die Autoren auf Seiten wie Virustotal überprüfen, ob ihre Schadsoftware von Virenscannern erkannt wird. Trotzdem hat die Malware einige besondere Funktionen.

  • Hide and Seek Botnet hat viele Geräten infiziert

    Hide and Seek, ein neues IoT-Botnet, das Anfang Januar vom Bitdefender Honeypot-System entdeckt wurde, hat schnell Bekanntheit erlangt. Innerhalb weniger Tage hat es über 90.000 Geräte in einem großen Botnet gesammelt. Während die erste Variante Brute-Force-Angriffe über den Telnet-Dienst durchführte, um sich in Geräte zu booten, wurden später durch weitere Updates neue Command Injection Exploits in der Webschnittstelle eines Geräts ausgelöst, die die Möglichkeiten des Botnets auf IPTV-Kameras erweiterten. Nun wurden neue Tricks bei Hide and Seek entdeckt: Indem die Android-Debug-Bridge-(ADB)-over-Wi-Fi-Schnittstelle in Android-Geräten genutzt wird, die Entwickler normalerweise zur Fehlerbehebung verwenden, erhält das Botnet neue Zugriffsmöglichkeiten. Obwohl diese Funktion eigentlich standardmäßig deaktiviert ist, werden einige Android-Geräte mit aktiviertem Gerät ausgeliefert. So werden Benutzer praktisch über die ADB-Schnittstelle, die über den TCP-Port 5555 zugänglich ist, einer Remote-Verbindung ausgesetzt. Jede Remote-Verbindung zum Gerät wird nicht authentifiziert und ermöglicht den Shell-Zugriff, so dass Angreifer praktisch jede Aufgabe im Administratormodus ausführen können.

  • UEFI-Rootkits extrem gefährliche Werkzeuge

    Eset-Forscher haben einen Cyberangriff entdeckt, bei dem erstmals ein sogenanntes UEFI-Rootkit erfolgreich eingesetzt wurde. Die von Eset Lojax getaufte Malware nutzt eine Schwachstelle in der UEFI des Mainboards aus und nistete sich in dessen Speicher ein. Dies ist extrem gefährlich, denn Lojax übernimmt von dort die Kontrolle des gesamten Rechners und kann nicht ohne weiteres gelöscht werden. Klassische Gegenmittel wie Virenprogramme oder gar der Festplattentausch sind wirkungslos. Als Drahtzieher der Kampagne wird die Sednit-Gruppe (auch APT28 oder FancyBear genannt) vermutet, die durch ihre Angriffe auf hochrangige Regierungsziele auf sich aufmerksam gemacht hat. Eset besitzt eine Schutzfunktion in ihren Antivirenlösungen vor dieser neuartigen Malware-Form.