Ausweichtaktiken machen Malware unsichtbar

Cyberkriminelle suchen weiterhin nach immer neuen Schwachstellen auf der gesamten digitalen Angriffsfläche von Unternehmen. Mit Ausweich- und Antianalyseverfahren werden ihre Ansätze dabei immer ausgefeilter. Dies sind die Hauptergebnisse des aktuellen vierteljährlichen "Global Threat Landscape Report" von Fortinet.

Zudem hat der sogenannte Threat Landscape Index im jüngsten Quartal einen neuen Höchstwert erreicht: Gegenüber dem Vorjahr hat er sich um fast vier Prozent erhöht. Laut dem IT-Security-Spezialisten sind die Hauptgründe für den Anstieg bei vermehrten Malware- und Exploit-Aktivitäten zu suchen.

Wie bereits angedeutet, kann Malware mittlerweile über Funktionen verfügen, um Antiviren-Software oder andere Maßnahmen zur Bedrohungserkennung zu umgehen. Im Report wird in diesem Zusammenhang von einer kürzlich observierten, großangelegten Spam-Kampagne berichtet, bei der Angreifer diese Techniken einsetzen und optimieren. Dabei wurden Phishing-E-Mails versandt, die ein Excel-Dokument mit einem bösartigen Makro enthielten. Das Besondere dabei: Die Attribute des Makros waren darauf ausgelegt, Sicherheits-Tools zu deaktivieren, willkürlich Befehle auszuführen und Speicherprobleme zu verursachen. Zudem sollten sie sicherstellen, dass sich das Makro nur auf japanischen Systemen ausführen ließ. Eine Rolle spielte dabei auch eine xlDate-Variable, die bisher nicht vom Hersteller dokumentiert ist.

Ein weiteres Beispiel ist eine Variante des Dridex-Banking-Trojaners, der bei jeder Anmeldung des Opfers die Namen und Hashes von Dateien ändert. Das mache es schwierig, die Malware auf infizierten Host-Systemen zu erkennen, heißt es.

Daneben zeigt die Studie, welche Methoden Schadprogramme verwenden, um möglichst lange "under cover" zu operieren. Als Beispiel wird die Malware Zegost genannt, die zunächst einmal das grundlegende Element einer Speer-Phishing-Kampagne ist. Wie bei anderen Infostealern ist das Hauptziel von Zegost, Geräteinformationen zu sammeln und zu exportieren. Im Vergleich zu anderer Malware enthält Zegost jedoch eine bislang einzigartige Konfigurationen, um nicht entdeckt zu werden. Beispielsweise gibt es eine Funktion zum Löschen von Ereignisprotokollen. Diese Art der Bereinigung ist bei typischer Malware nicht zu beobachten. Eine weitere interessante Ausweichstrategie von Zegost ist ein Befehl, der den Infostealer bis zum 14. Februar 2019 in eine Art Ruheposition versetzte. Erst danach begann er seine Infektionsroutine.
Die kriminellen Akteure hinter Zegost nutzen also ein ganzes Arsenal an Exploits. Ihr Ziel ist es, eine Verbindung zum anvisierten Opfer herzustellen und aufrechtzuerhalten. Das macht sie im Vergleich zu anderen Angreifern zu einer langfristigen Bedrohung.

Vermehrte Angriffe auf Städte, Kommunalverwaltungen und Bildungseinrichtungen zeigen zudem, dass Ransomware weiterhin eine ernsthafte Bedrohung für Organisationen darstellt. Der Trend geht demnach weg von Massenangriffen hin zu immer zielgerichteteren Attacken. Beliebte Opfer sind offensichtlich Unternehmen, die sowohl um sensible Daten fürchten müssen als auch finanziell in der Lage sind, Lösegeld zu zahlen. In einigen bekannt gewordenen Fällen haben Cyberkriminelle bereits im Vorfeld umfangreiche Recherchen durchgeführt. So konnten sie ihre Ransomware auf sorgfältig ausgewählten Systemen einsetzen und damit ihre Erfolgschancen maximieren.

Als Beispiel dafür nennt Fortinet die RobbinHood-Ransomware. Sie wurde entwickelt, um die Netzwerkinfrastruktur eines Unternehmens anzugreifen. Die Malware kann Datenverschlüsselungen verhindern, indem sie Windows-Dienste deaktiviert und die Verbindung zu gemeinsam genutzten Laufwerken trennt.

Eine neue Ransomware namens Sodinokibi könnte laut den Experten eine weitere Bedrohung für Unternehmen werden. Funktionell unterscheidet sie sich zwar nicht sehr stark von anderen aktuellen Erpressungstrojanern, problematisch ist allerdings ihr Angriffsvektor. Dieser nutzt eine neuere Schwachstelle aus, die beliebige Code-Ausführungen ermöglicht. Dadurch ist auch keine Benutzerinteraktion nötig wie bei anderer Ransomware, die etwa durch Phishing-E-Mails zugestellt wird.

Zwischen dem simplen heimischen Druckernetzwerk und den komplexen IT-Systemen in Unternehmen der kritischen Infrastrukturen, gibt es auch immer mehr Kontrollsysteme für Privathaushalte und kleinere Unternehmen. Angreifer schenken diesen bisher wenig Beachtung – doch das könnte sich nach Einschätzung der Sicherheitsprofis ändern. Seit kurzem werden nämlich erhöhte Aktivitäten auf Systemen wie Klimaanlagen, Überwachungskameras und Security-Anlagen festgestellt. In einem Prozent der Unternehmen zeigten Gebäude-Management-Lösungen ungewöhnliches Verhalten.

Daneben suchen Cyberkriminelle nach neuen Möglichkeiten, um sich Zugriff auf Kontrollsysteme in Privathaushalten und kleineren Unternehmen zu verschaffen. Oftmals werden IoT-Geräte als unwichtig eingestuft oder unterliegen nicht der Kontrolle einer IT-Abteilung. Allerdings verdient die Sicherheit solcher intelligenten Systeme mehr Aufmerksamkeit. Denn der ungeschützte Zugang zu diesen Geräten kann fatale Folgen für die Sicherheit haben. Besonders im Hinblick auf den Trend zu Remote-Arbeitsplätzen ist ein sicherer Zugriff essenziell.