Ich gehe davon aus, dass sich unsere Leser noch an Stuxnet erinnern, einen Wurm, der nach verschiedenen Quellen gemeinsam von den USA und Israel entwickelt wurde, um das iranische Atomprogramm zu sabotieren. Stuxnet verfügte über sehr interessante und zugleich beunruhigende technische Ressourcen, aber es war nur eine Frage der Zeit, bis Varianten mit ähnlicher Funktionsweise auftauchen würden. Genau das hat das Team von Kaspersky entdeckt. Dieser „Schadcode ohne Dateien“ hat die Fähigkeit, resident im Speicher zu bleiben ohne Spuren zu hinterlassen, und er scheint Unternehmensnetzwerke besonders zu mögen…
Die Geschichte begann mit Stuxnet, dann folgte Duqu, und Mitte 2015 wurde Duqu 2.0 entdeckt. Was ursprünglich exklusive Technologie von Regierungsbehörden mit sehr hohem Budget war, ist nun in die Hände anderer Elemente gelangt, die nach etwas greifbareren Ergebnissen suchen … Geld, um genau zu sein. Sicherheitsexperten bezeichnen diese jüngste Welle von Malware als „fileless“, da sie vor allem darauf bedacht ist, resident im Speicher zu bleiben, ohne Spuren auf den Festplatten zu hinterlassen oder diese bestmöglich zu verbergen. Diese Strategie macht die Malware nicht nur fast unsichtbar, sondern zwingt auch dazu, alle traditionellen forensischen Techniken zu überdenken.
Das Team von Kaspersky erklärt, dass die Infektionen noch schwieriger zu erkennen sind, weil legitime Werkzeuge wie Metasploit, Mimikatz und sogar die eigene PowerShell von Windows verwendet werden. Das Unternehmen gab außerdem an, dass die Angriffe die Netzwerke von mindestens 140 Organisationen betroffen haben, wobei die Mehrheit davon Banken sind. Die USA, Frankreich, Ecuador, Kenia und das Vereinigte Königreich bilden die Top 5 der am stärksten betroffenen Länder. Was Kaspersky noch nicht feststellen konnte, ist, ob eine einzelne Gruppe verantwortlich ist oder ob es sich um mehrere Teams handelt, die im Wettlauf darum stehen, wer am erfolgreichsten ist.
Im Grunde ist die Hauptfunktion der Malware (oder zumindest eine davon) die „Ernte“ von Passwörtern. Alles beginnt mit der Injektion von Meterpreter (einem der Payloads von Metasploit) in den Speicher mithilfe von PowerShell-Befehlen. Anschließend überträgt das infizierte System die Daten mithilfe des NETSH-Tools an vom Angreifer kontrollierte Server. Und die für diese Aktionen erforderlichen Privilegien werden mit Mimikatz extrahiert. In dem Versuch, ihre Fußspuren zu verringern und Logs oder auf der Festplatte verbleibende Dateien zu vermeiden, „verstecken“ die Angreifer die PowerShell-Befehle in der Windows-Registrierung. Kaspersky konnte seine Rekonstruktion der Malware dank der Tatsache durchführen, dass einer der mit Meterpreter infizierten Domänencontroller nicht neu gestartet wurde. Was Kaspersky noch klären muss, ist, wie die Malware überhaupt eindringt, aber es kündigte bereits an, dass es im April weitere Informationen geben wird, einschließlich der Art und Weise, wie diese Infektionen es ermöglichen, Geld von Geldautomaten abzuheben.
Andererseits hat das Unternehmen Comparitech, wie du oben sehen kannst, und für diejenigen, die mehr über das Thema wissen möchten, eine nützliche Vorlage, um zu verstehen, wie Metasploit funktioniert mit allen notwendigen Befehlen, um Schwachstellen zu überprüfen und die Funktionsweise des Biests zu verstehen. Super praktisch, wenn du mit dieser Malware umgehen musst!
