- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Verbreitung von Dridex-Spam


Nach wie vor eine Bedrohung: Erneute Aktivitäten des berüchtigten Dridex-Botnets mit neuer Verbreitung und Banking-Trojaner Shifu
Dasselbe Spam-Botnet, das Dridex verbreitet, hat auch den Banking-Trojaner Shifu in Umlauf gebracht

Von Monika Schaufler, Regional Director, DACH bei Proofpoint

(11.12.15) - Nach monatelanger Pause im Anschluss an eine Reihe von Festnahmen und trotz eines kürzlich erfolgten Takedowns sehen die Dridex-Akteure die jüngsten Polizeiaktionen offenbar als Herausforderung und Chance an, aus ihren Fehlern zu lernen und gestärkt daraus hervorzugehen. Proofpoint-Experten haben die aktuelle Aktivität der Dridex-Akteure analysiert und zahlreiche Änderungen im Verhalten erkannt – von technischen Neuerungen bis hin zur Verbreitung anderer Banking- und Datendiebstahl-Schadprogramme.

Die wichtigsten Punkte im Überblick:
>>
Nachdem Andrei Ghincul, aka Smilex, der mutmaßlich Verantwortliche für einen Großteil des Dridex-Spam, im September festgenommen wurde, kam der Dridex-Spam zum Erliegen.

>> Anfang Oktober wurde die Verbreitung von Dridex-Spam dann fortgesetzt. Dabei wurden sämtliche Sub-Botnets von demselben Spam-Botnet verbreitet.

>> Das Dridex 220-Botnet wurde am 1. Oktober wieder in Betrieb genommen und verzeichnet seitdem starke Aktivität.

>> Dridex 120 wurde am 16. Oktober wieder aktiviert.

>> Proofpoint beobachtete ein neues Dridex-Botnet mit der ID 301 und ein seltenes Dridex-Botnet mit der ID 121.

Proofpoint beobachtete erneutes massives Spam-Aufkommen, darunter mehrere Tage, an denen die Menge der E-Mails mit dem Spitzenaufkommen der letzten sechs Monate gleichauf oder sogar darüber lag. Dasselbe Spam-Botnet, das Dridex verbreitet, hat auch den Banking-Trojaner Shifu in Umlauf gebracht, der gegen japanische und britische Benutzer gerichtet ist und zeigt, dass die Akteure durchaus zur Diversifizierung bereit sind.
Dasselbe Botnet hat auch die Datendiebstahl-Malware Ursnif verbreitet, die auf Nutzer in Australien abzielte.

Die fünf Elemente eines modernen Angriffs
Bei dem Versuch, die aktuellen Entwicklungen rund um Dridex zu entschlüsseln, kann es zunächst hilfreich sein, diese in den Zusammenhang des größeren Frameworks zu stellen, das von vielen modernen Hackern genutzt wird. Ein solches Framework besteht in der Regel aus fünf Elementen: Akteur, Vektor, Hoster, Payload und C2.

Akteur: Die angreifende Organisation. Echte Menschen, angetrieben von verschiedenen Motivationen, bei Cyberkriminellen oft finanzielle Motive.
Vektor: Die Verbreitungsmethode. E-Mail per vom Angreifer kontrollierten oder gemieteten Spam-Botnet ist ein bestimmender Vektor, der Vektor Social-Media wächst jedoch auch.
Hoster: Die Websites, die Malware hosten. Wenn Malware nicht direkt an eine E-Mail angehängt ist, beziehen Dokumente mit aktiven Makros oder in Exploit-Kits eingelagerte Dropper Schadcode von diesen Websites.
Payload: Die Malware. Software, die dem Angreifer ermöglicht, den Ziel-Computer zu nutzen (Kontrolle, Daten davon exfiltrieren, weitere Software darauf laden).
C2: Der Befehls- und Kontrollkanal, der Befehle zwischen der eingelagerten Malware und den Angreifern weiterleitet.

Mit diesem Framework können Angreifer in soliden, horizontal segmentierten Ökosystemen arbeiten, sich auf die Entwicklung bestimmter Teile des Frameworks spezialisieren und diese an Dritte verkaufen oder vermieten. Diese Frameworks sind resistent gegen Takedowns und Ausfälle einzelner Komponenten. Sie erhöhen jedoch auch die Erkennungsfläche der Angreifer, d. h. deren Anfälligkeit entdeckt zu werden. Durch die Verfolgung jedes dieser Elemente können Verteidiger andere Elemente ableiten und die geeigneten Abwehrmaßnahmen ergreifen.

Beobachtete Dridex-Botnets
Dridex 220 wurde am 1. Oktober wieder in Betrieb genommen und verzeichnet seitdem starke Aktivität. Der am 13. Oktober bekannt gegebenen Abschaltung des Dridex 220-Botnets folgte nur eine eintägige Pause der Spam-Aktivitäten, am 14. Oktober. Proofpoint beobachtet seitdem täglich 14 Dridex 220-Kampagnen, und Tests zeigen, dass diese Malware derzeit in der Lage ist, DLLs und Konfigurationsdateien erfolgreich abzurufen.

Der Dridex 120-Betrieb wurde am 16. Oktober wieder aufgenommen, und Proofpoint beobachtet seitdem täglich sieben Kampagnen für dieses Botnet. Darüber hinaus hat Proofpoint neue Sub-Botnet-IDs festgestellt, und zwar 301 und 121. Im Folgenden finden Sie die jeweiligen Dridex-Botnets und die Tage, an denen diese von Proofpoint erkannt wurden:

Dridex 220: October 1, 5, 6, 7, 8, 9, 12, 13, 15, 19, 21, 22, 23, 26
Dridex 120: October 16, 19, 20, 22, 26, 27, 28
Dridex 121: October 19
Dridex 301: October 22
Aufkommen und Vorkommen von Dridex-Spam

In diesen Spam-Kampagnen haben Proofpoint-Forscher Folgendes beobachtet:
Der 22. Oktober stach heraus, da an dem Tag vier Dridex-Spam-Kampagnen erkannt wurden: Die Dridex-Botnets 120, 220 (morgens und abends) und 301 wurden an nur einem Tag von Spam-Bots verbreitet.
Das größte E-Mail-Aufkommen, das in einer einzelnen Kampagne versendet wurde, war doppelt so hoch wie das durchschnittliche E-Mail-Aufkommen der Dridex-Kampagnen im Oktober (Dridex-Botnet 220 – 19. Oktober).
Das kleinste E-Mail-Aufkommen, das in einer einzelnen Kampagne versendet wurde, war eine Kampagne mit unter 100 E-Mails für das Dridex-Botnet 121 am 19. Oktober.
Rechnungs- und Transaktions-E-Mail-Köder sind auch weiterhin weit verbreitet.
Die meisten der in E-Mails enthaltenen schadhaften Dokumentanhänge sind leer oder nutzen den typischen Köder "Makros aktivieren, um dieses Dokument anzuzeigen". Die Dridex 121-Minikampagne vom 19. Oktober enthielt jedoch einen interessanten Dokumentköder

Banking-Trojaner Shifu
Dasselbe Botnet (je nach Tag bestehend aus rund vier- bis zehntausend infizierten Spam-Rechnern), das Dridex 120, 220, 121 und 301 verbreitet hat, wurde auch bei der Verbreitung des Banking-Trojaners Shifu beobachtet. Das zeigt, dass die Akteure bereit sind zu diversifizieren oder für den Fall einer erfolgreichen Strafverfolgung zusätzliche Optionen suchen.

Der Banking-Trojaner Shifu wurde zuerst Ende August gemeldet und kombiniert Merkmale von zahlreichen anderen bekannten Banking-Trojanern wie Zeus, Dyre und Dridex usw. Während diese ausgefeilte Hybridversion eine in Form und Methode ähnliche Konfigurationsdatei wie die von Dridex nutzt, verfügt sie zusätzlich über Verschleierungs-, Anti-Analyse-, C2- und sogar Anti-Malware-Funktionen, die Dridex nicht hat. Bisher wurden für Shifu hauptsächlich Angriffe auf Bankkunden in Japan und Großbritannien festgestellt.

Am 7. Oktober sendete das Botnet japanische E-Mails, die als Bestätigung eines Auftrags getarnt waren, in Wirklichkeit jedoch Anhänge wie "1312061102_13233939se.doc" enthielten. Diese Anhänge nutzen Makros zum Download eines Shifu-Banking-Trojaners, der japanische Nutzer anvisierte.

Am 20. Oktober wurde eine weitere Kampagne erkannt, die E-Mails mit dem Betreff "Auftragsnr.: 48847" und dem Anhang "PO_48847.DOC" oder mit dem Betreff "john.doe@unternehmen.com" (Adresse des Empfängers) und dem Anhang "FINAL NOTIFICATION.xls" verbreitete. Die Anhänge sind Microsoft Office-Dokumente, die schadhafte Makros enthalten und den Banking-Trojaner Shifu herunterladen, aber diesmal jedoch gegen Kunden von Banken in Großbritannien gerichtet waren.

Zuvor wurde über dieses Spam-Botnet hauptsächlich Dridex verbreitet, was vermuten lässt, dass es von einer einzelnen Gruppe oder einer kleine Gruppe von Einzelpersonen kontrolliert wurde. Allein reicht dieser Fakt jedoch nicht aus, um den Shifu-Trojaner den Akteuren zuzuordnen, die auch Dridex verbreitet haben.

Die infizierten Systeme könnten beispielsweise mit mehr als einem Spam-Bot infiziert sein oder der Spammer tut einem Freund einen Gefallen. Genauere Analysen haben jedoch weitere Gemeinsamkeiten aufgedeckt: Beispielsweise ist der Builder, mit dem die Shifu-Dokumente generiert wurden, derselbe, der auch für Dridex 220 verwendet wurde, mit ähnlichen Dateinamen, einem leeren Textkörper und ähnlicher URI-Struktur des Payload-Speicherortes (d. h. der Speicherort, von dem das Microsoft Word-Dokument die Shifu- oder Dridex-Payload herunterlädt).

Am 28. Oktober haben Proofpoint-Forscher eine weitere große Kampagne erkannt, die offenbar von demselben Akteur stammte und ebenfalls Shifu unter britischen Nutzern mit dem Köder "Auftragsbestätigung" und einem gefährlichen Dokumentanhang verbreitete. Bei einem weiteren Beispiel der variantenreichen Payloads dieses Akteurs nutzte eine Kampagne einen Neutrino-Bot als initiale Payload, die dann Shifu als zweite Payload herunterlud.

Datendiebstahl-Malware Ursnif
Im Oktober wurde dasselbe Spam-Botnet auch bei der Verbreitung der Datendiebstahl-Malware Ursnif beobachtet. So wurde beispielsweise am 21. Oktober eine Kampagne in Australien beobachtet, bei der E-Mails Anhänge mit zufälligen Bezeichnungen enthielten, die Ursnif mithilfe schadhafter Makros herunterluden. Interessanterweise verwendeten die Dokumente dieselbe visuelle Vorlage, die bereits im April 2015 vom Sub-Botnet Dridex 200 genutzt wurde.

Fazit
Aktuelle Erkenntnisse der Proofpoint-Experten bestätigen, dass das Dridex 220-Botnet durch die jüngsten Takedown-Versuche noch lange nicht zerstört wurde. Darüber hinaus zeigen diese Analysen, dass die Hacker des Dridex 220-Botnets auch hinter den zuletzt beobachteten Shifu-Kampagnen in Großbritannien und Japan stecken sowie für mindestens eine Ursnif-Kampagne verantwortlich sind, die auf australische Banking-Kunden abzielte. Diese Ergebnisse unterstreichen die Widerstands- und Anpassungsfähigkeit der Dridex-Bande und verdeutlichen die Gefahr, die sie weiterhin für Einzelpersonen und Organisationen darstellen. (Proofpoint: ra)

Proofpoint: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Erfolgreiche Methoden in neuem Gewand

    Forscher von Eset haben sich eine aktuelle Malware-Kampagne der asiatischen Hacker-Gruppe OceanLotus genauer angesehen. Diese Gruppe ist auch unter den Namen APT32 oder APT C-00 bekannt und greift vor allem Ziele in Ostasien an. Laut den Forschungsergebnissen nutzen die Cyberkriminellen zwar weitgehend die gleichen bekannten Prozesse wie bei vorherigen Angriffe, aber eine neue Backdoor. Ein White Paper von Eset zeigt die verschiedenen Methoden für drei Ziele auf: Nutzer zur Ausführung der Backdoor verleiten, die Malware-Analyse verzögern und Entdeckung verhindern.

  • Cyberattacke auf unvorsichtige Nutzer

    Barracuda Networks hat eine neue Form einer Cyberattacke auf unvorsichtige Nutzer identifiziert, die von Kriminellen genutzt werden kann, um Ransomware oder andere Malware zu verbreiten. Die Angreifer nutzen eine für die Nutzer unbekannte Dateiendung innerhalb eines Links, um den bereits bekannten Trojaner Quant Loader zu starten, der in der in der Lage ist, Ransomware zu verbreiten und Passwörter abzugreifen. Die Angriffstechnik über Links in E-Mails ist zwar nicht neu, neu bei dieser Variante ist, dass der URL nicht "http://" vorangestellt ist, sondern "file://", was sie mit Samba verknüpft anstatt eines Webbrowsers.

  • Ziel, sensible Daten stehlen

    Die Experten von Kaspersky Lab haben Teile der Infrastruktur der bekannten russischsprachigen APT-Gruppe "Crouching Yeti" - auch bekannt als Energetic Bear - aufgedeckt, darunter kompromittierte Server auf der ganzen Welt. Laut den Cybersicherheitsexperten waren seit dem Jahr 2016 zahlreiche Server in verschiedenen Ländern betroffen, auch um auf andere Ressourcen Zugriff zu erhalten. Weitere Server, einschließlich derjenigen, die russische Websites hosten, wurden für Wasserloch-Attacken genutzt. Kaspersky Lab hat im Vorfeld der Hannover Messe Industrie, die vom 23. bis zum 27. April 2018 stattfindet, bereits für die zweite Jahreshälfte 2017 überwiegend viele Cyberattacken gegen Organisationen aus den Branchen Energie sowie Maschinenbau und ICS-Integration gemeldet.

  • Miner für Kryptowährungen

    Sicherheitsforscher haben erstmals einen Miner für Kryptowährungen entdeckt, der eine "Kill List"-Funktion enthält. Sie stoppt laufende Prozesse anderer Coinminer und versucht so die Rechenleistung zur Transaktionsverarbeitung eines infizierten Computers komplett für sich in Beschlag zu nehmen. Also quasi rivalisierende Miner auszuschalten. Xavier Mertens, Sicherheitsforscher beim ICS Sans, hält diesen Coinminer an sich aber für nichts Ungewöhnliches, sondern für eine der vielen neuen Malware-Varianten, die sich auf das Mining von Kryptowährungen spezialisiert haben und insbesondere seit Beginn dieses Jahres auftauchen. Seit Anfang 2018 hat sich die Cyberkrimininalität ganz offensichtlich von Ransomware verstärkt auf die Verteilung von Coinminern verlagert.

  • Die Schadsoftware ist in Skins enthalten

    Eine 30-Tage-Datenanalyse von Avast ergab, dass nahezu 50.000 Minecraft-Accounts mit Malware infiziert wurden. Die Schadsoftware kann Festplatten neu formatieren und Backups und Systemprogramme löschen. Das verseuchte Powershell-Script, das die Sicherheitsexperten des Avast Threat Labs entdeckt haben, wird mit Hilfe der Minecraft "Skins" in Form von PNG-Dateien verbreitet. Diese Skins sind beliebte Features, um das Aussehen eines Minecraft Avatars zu verändern. Sie können von diversen Online-Quellen auf die Minecraft-Website hochgeladen werden und stehen dann für die Spieler zum Download bereit.