In der Zusammenfassung dieser Woche befasst sich CTI mit dem modularen Trojaner „Zloader“, der nach einer fast zweijährigen Pause in einer neuen Version wieder aufgetaucht ist. Anschließend untersucht CTI eine neue Organisation namens „VexTrio“, die im Rahmen eines groß angelegten kriminellen Partnerprogramms Kooperationen mit Dutzenden von Cyberkriminellen und Malware-Entwicklern eingegangen ist. Abschließend wirft CTI einen Blick auf die Ransomware „Kasseika“ und deren mögliche Verbindungen zu „BlackMatter“.
1. Zloader kehrt aus der Pause zurück
Der modulare Trojaner „ “ Zloader (wird in einem neuen Tab geöffnet) ist nach einer fast zweijährigen Pause in einer neuen Variante wieder aufgetaucht.
Die neue Variante umfasst verbesserte Verschleierungstechniken, einen aktualisierten Algorithmus zur Domain-Generierung (DGA), RSA-Verschlüsselung für die Netzwerkkommunikation sowie Unterstützung für 64-Bit-Versionen von Windows.
Was ist Zloader?
Der Zloader-Trojaner geht auf den Zeus-Banking-Trojaner zurück, der im Jahr 2007 entdeckt wurde. Die Malware zeichnet sich dadurch aus, dass sie sich von Kampagne zu Kampagne weiterentwickelt und seit ihrem Auftreten kontinuierlich aktualisiert wurde.
Im Rahmen der Aktion „ April 2022“ ging Microsoft gegen die Malware „ “ (Zloader) vor: (wird in einem neuen Tab geöffnet). Dabei arbeitete das Unternehmen mit Telekommunikationsanbietern zusammen, um die Infrastruktur der Malware zu stören. Seitdem ist die Malware inaktiv.
Anti-Analyse
Die Zloader-Variante nutzt API-Import-Hashing, Junk-Code, eine Dateinamenprüfung sowie die Verschleierung von Zeichenfolgen, um eine Analyse zu erschweren. Diese Variante importiert nur einige wenige Funktionen aus der Bibliothek „ kernel32 “, während die übrigen Importe zur Laufzeit über Prüfsummen aufgelöst werden. Zwar war diese Technik bereits in älteren Zloader-Versionen zu beobachten, doch bei der neuen Variante wurde die Implementierung durch Hinzufügen einer XOR-Konstante aktualisiert, die sich bei jedem Sample ändert.
Die neue Zloader-Variante verfügt zudem über eine Anti-Sandbox-Funktion. Wird die Schadsoftware unter einem bestimmten Dateinamen ausgeführt, führt sie ihre Routine aus. Sollte der Dateiname nicht übereinstimmen, wird die Ausführung abgebrochen, um Sandboxen zu umgehen, die Dateien umbenennen.
Verschlüsselung statischer Konfigurationen
Die statische Konfiguration von Zloader ist in dieser Variante nach wie vor auf dieselbe Weise verschlüsselt, weist jedoch eine leicht abweichende Struktur auf. Bei dieser Variante sind die Botnetz-ID, der Kampagnenname und „ C2s “ auf feste Offsets festgelegt, und ein öffentlicher RSA-Schlüssel ersetzt den einzigen Schlüssel „RC4 “, der zuvor zur Verschlüsselung verwendet wurde.
Forscher haben 15 neue Zloader-Exemplare identifiziert, die alle denselben öffentlichen RSA-Schlüssel aufweisen, was darauf hindeuten könnte, dass derzeit nur ein einziger Angreifer diese Malware einsetzt.
Algorithmus zur Domänen-Generierung
Sollte der primäre C2 -Server der Malware nicht verfügbar sein, greift sie auf eine DGA zurück. Der DGA-Algorithmus hat sich gegenüber früheren Varianten zur neuen Variante weiterentwickelt und weist nun nicht mehr für jedes Botnetz einen eigenen Startwert auf.
Dieser Code generiert täglich 32 Domains, wobei die lokale Systemzeit um Mitternacht als Startwert verwendet wird. Jede der generierten Domains ist 20 Zeichen lang und verwendet die TLD „.com“.
Netzwerkkommunikation
Zloader hat seine Netzwerkkommunikation geringfügig geändert. Es nutzt nach wie vor HTTP-POST-Anfragen zur Kommunikation mit seinem C2 , setzt nun jedoch 1 024-bit RSA in Verbindung mit RC4 sowie die „visuellen Verschlüsselungsalgorithmen“ von Zeus ein.
More specifically the malware leverages the custom Zeus BinStorage format where the first 128 byte are the RSA encrypted key and the remaining bytes are encrypted with the Rc4 key.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Zloader war eine weit verbreitete Malware, bevor sie im Jahr 2022 unschädlich gemacht wurde. Das Wiederauftauchen der Malware nach einer operativen Abschaltung bestätigt, dass solche Maßnahmen nicht immer ein endgültiges Mittel zur Beseitigung einer Cyberbedrohung darstellen und manchmal sogar dazu führen können, dass die Bedrohung in Zukunft in noch ausgefeilterer Form zurückkehrt.
Die aktualisierten Funktionen von Zloader stehen vielen anderen derzeit im Umlauf befindlichen Malware-Bedrohungen in nichts nach, weshalb das Programm im Auge behalten und überwacht werden sollte.
2. VexTrio vermittelt Malware an über 60 Partner
Forscher haben eine neue Organisation namens „ “ (VexTrio, ) aufgedeckt, die im Rahmen eines groß angelegten kriminellen Partnerprogramms Kooperationen mit Dutzenden von Cyberkriminellen und Malware-Entwicklern eingegangen ist.
Infoblox ist der Ansicht, dass der Umfang der Aktivitäten von „ “ und „VexTrio“ (wird in einem neuen Tab geöffnet) – in Verbindung mit der Vielzahl ihrer Verbindungen innerhalb der Cyberkriminalitätsbranche – diese Gruppe potenziell zum mit Abstand größten Vermittler von böswilligem Datenverkehr macht.
Über VexTrio
VexTrio ist mindestens seit dem Jahr 2017 aktiv, und Infoblox verfolgt seine Aktivitäten seit etwa zwei Jahren. Da VexTrio nicht an eine bestimmte Malware gebunden ist und als Traffic-Broker fungiert, ist es nicht sonderlich überraschend, dass es eine Zeit lang unentdeckt blieb.
Infoblox stellt fest, dass VexTrio die am weitesten verbreitete Bedrohung in den Netzwerken seiner Kunden darstellt, da das Unternehmen in den vergangenen zwei Jahren in mehr als der Hälfte der Kundennetzwerke das Vorhandensein dieser Bedrohung festgestellt hat.
Der Hauptzweck von VexTrio besteht darin, Datenverkehr für Cyberkriminelle zu vermitteln, und Forscher gehen davon aus, dass das Unternehmen mit mindestens 60 Partnern zusammenarbeitet. VexTrio betreibt ein Datenverkehrsverteilungssystem (TDS), das kompromittierten Datenverkehr zu verschiedenen Arten bösartiger Inhalte weiterleitet. Während viele Partner VexTrio nutzen, kam Infoblox zu dem Schluss, dass SocGholish und ClearFake ihre Opfer an VexTrio weiterleiten.
Forscher haben zudem festgestellt, dass VexTrio-Angriffsketten mehrere Akteure umfassen können, und haben in einer einzigen Angriffssequenz vier davon beobachtet.
Die Rolle von TDS-Servern im Partnernetzwerk von VexTrio
TDS-Server spielen eine entscheidende Rolle im Partnernetzwerk von VexTrio, und VexTrio konfiguriert und verwaltet diese in einer Weise, die für den langfristigen Erfolg des Unternehmens von entscheidender Bedeutung ist.
Ein TDS analysiert das Profil eines Opfers, um festzustellen, ob es den Zielkriterien von VexTrio entspricht. Bei einer Übereinstimmung leitet das TDS das Opfer auf unzulässige Inhalte weiter. Dadurch können Angreifer den Datenverkehr so filtern, dass nur diejenigen Besucher auf die schädlichen Inhalte zugreifen, die ihrem Profil entsprechen.
Eine VexTrio-Angriffskette kann mehrere TDS-Server umfassen, die gemeinsam den gesamten Webdatenverkehr von Anfang bis Ende kontrollieren.
Das Geschäftsmodell von VexTrio
Das VexTrio-Partnerprogramm funktioniert ähnlich wie die Partnerprogramme seriöser Marketing-Netzwerke. An jedem Angriff sind in der Regel Infrastrukturen beteiligt, die sich im Besitz mehrerer Akteure befinden und den Datenverkehr von ihren eigenen Ressourcen an von VexTrio kontrollierte TDS-Server weiterleiten.
VexTrio leitet diesen Datenverkehr anschließend an bösartige Websites anderer Angreifer weiter. Aufgrund der Ähnlichkeit mit harmlosem Werbetraffic geht Infoblox davon aus, dass Aktivitäten von VexTrio versehentlich leicht übersehen werden könnten.
Die Partnerunternehmen von VexTrio
Es wird davon ausgegangen, dass das VexTrio-Ökosystem zahlreiche Teilnehmer umfasst. VexTrio verwendet URL-Abfrageparameter, und durch die Analyse von URL-Mustern konnten die Forscher feststellen, dass bestimmte Parameterwerte in ihrer Kombination ein bestimmtes Affiliate-Mitglied kennzeichnen.
Infoblox gab einen Überblick über zwei Tochtergesellschaften von VexTrio:
- ClearFake-us: ClearFake ist ein bösartiges JavaScript-Framework, das Website-Besuchern über einen HTML-iframe dynamisch schädliche Inhalte anzeigt. Wenn das Opfer auf eine gefälschte Schaltfläche für ein Browser-Update klickt, wird sein Computer mit Malware infiziert. In den vergangenen Monaten hat der hinter ClearFake stehende Angreifer den Datenverkehr der Opfer an eine kleine Gruppe von VexTrio-TDS-Domains mit einheitlichen Parameterwerten weitergeleitet. ClearFake nutzt ein kommerzielles TDS namens Keitaro und leitet den Datenverkehr auf die URL des VexTrio-TDS um.
- SocGholish-: SocGholish ist eine berüchtigte, auf JavaScript basierende Malware, die seit 2017 aktiv ist. Die Betreiber des Unternehmens sind seit mindestens Anfang 2022 ein Partnerunternehmen von VexTrio. Der Angreifer „SocGholish“ nutzt den Web-Traffic aus, indem er die Opfer auf VexTrio-TDS-Server umleitet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
VexTrio ist ein weiteres Beispiel dafür, wie geschäftsmäßig das Ökosystem der Cyberkriminalität sein kann. Dank seines einzigartigen Geschäftsmodells ist es dem Unternehmen gelungen, Partnerschaften mit einer Vielzahl von Angreifern aufzubauen, darunter auch solche, die hinter einigen bekannten Malware-Programmen stehen.
VexTrio ermöglicht es, dass Angriffsketten mehrere Angreifer umfassen, wodurch sich die potenzielle Schwere des Angriffs erhöht und die Zuordnung noch schwieriger wird, als sie ohnehin schon ist.
Die Untersuchung von VexTrio durch Infoblox ist besonders beeindruckend, wenn man bedenkt, wie komplex und vielschichtig dieses Unternehmen ist. Ihre Analyse ist äußerst gründlich und lesenswert.
3. Die Ransomware „Kasseika“ führt BYOVD-Angriffe durch
Trend Micro hat sich eingehend mit der Ransomware „ “ („Kasseika“) befasst: (wird in einem neuen Tab geöffnet) und dabei Anzeichen gefunden, die darauf hindeuten, dass der dahinter stehende Angreifer möglicherweise den Quellcode der berüchtigten Ransomware „BlackMatter“ erlangt haben könnte.
Die Ransomware „Kasseika“ ist eine der jüngsten Aktionen, die sich dem Trend der „Bring-your-own-vulnerable-driver“-Angriffe (BYOVD) angeschlossen haben.
Infektionskette und Überschneidungen mit BlackMatter
Kasseika beginnt seinen Angriff mit einer gezielten Phishing-E-Mail vom Typ „ “ und dem Link. Nach dem Sammeln von Anmeldedaten nutzt es Fernverwaltungswerkzeuge, um privilegierten Zugriff zu erlangen und sich lateral zu bewegen.
Wie andere Ransomware-Operationen nutzt auch Kasseika PsExec aus, um seine schädlichen Dateien auszuführen. Kasseika schließt sich nun vielen anderen Ransomware-Operationen an, indem es versucht, Antivirenprozesse und -dienste zu beenden, um die Ransomware zu installieren. Bei den jüngsten Kasseika-Angriffen nutzt die Operation ein Skript, um zu prüfen, ob der Prozess „Martini.exe“ vorhanden ist. Wird dieser Prozess gefunden, beendet die Ransomware ihn, um sicherzustellen, dass nur eine Instanz des Prozesses auf dem Rechner ausgeführt wird.
Trend Micro hat mehrere Anzeichen festgestellt, die denen der BlackMatter-Ransomware ähneln. Zu diesen Indikatoren zählen unter anderem Pseudo-Lösegeld-Dateiendungen sowie die Verwendung einer bestimmten Dateiendung als Dateiname bzw. Dateiformat der Lösegeldforderung. Eine eingehendere Untersuchung ergab, dass der Großteil des Quellcodes bei diesem Angriff von BlackMatter stammte.
Zum Hintergrund: Es wird angenommen, dass es sich bei BlackMatter um eine Umbenennung der Ransomware „DarkSide“ handelt, auf der vermutlich die Ransomware-Operation „BlackCat“ basierte.
Der KILLAV-Mechanismus und martini.exe
Martini.exe prüft zunächst, ob der Martini-Treiber erfolgreich auf den Rechner heruntergeladen wurde. Der signierte Treiber „Martini.sys“ trug ursprünglich die Bezeichnung „ viragt64.sys“ und ist Bestandteil des VirIT Agent Systems. Der Angreifer nutzte Sicherheitslücken aus, um mithilfe dieses Treibers verschiedene Sicherheitstools zu deaktivieren. Falls die Datei „Martini.sys“ auf dem Rechner nicht vorhanden ist, beendet sich die Schadsoftware einfach selbst.
Wird „Martini.sys“ auf dem Rechner gefunden, setzt die Malware ihre Routine fort, indem sie einen Dienst erstellt und startet. Der Treiber wird anschließend von „Martini.exe“ über die Funktion „CreateFileW“ geladen. Martini.exe überprüft kontinuierlich die aktiven Prozesse im System und sendet diese Informationen an den Treiber, sobald ein aufgeführter Prozess erkannt wird. Eine vollständige Liste mit mindestens 991 Prozessen finden Sie hier. (wird in einem neuen Tab geöffnet)
Die Ransomware sucht nach Anwendungen, die mit der Prozessüberwachung, der Systemüberwachung und verschiedenen Analyse-Tools in Zusammenhang stehen. Anschließend ermittelt das Programm die laufenden Prozesse, die mit diesen Anwendungen in Verbindung stehen, und beendet sich selbst, sofern diese Prozesse vorhanden sind. Die erfassten Dateien werden von einer Netzwerkfreigabe in ein lokales Verzeichnis übertragen, bevor die Ransomware-Datei „smartscreen_protected.exe“ gestartet wird.
Nutzlastanalyse
Die Ransomware „Kasseika“ ist eine mit Themida gepackte 32-Bit-Windows-PE-Datei, die bekanntermaßen schwieriger zu analysieren ist.
Vor der Verschlüsselung beendet die Ransomware alle Prozesse und Dienste, die auf den Windows Restart Manager zugreifen. Anschließend startet es eine neue Sitzung und beginnt damit, die Sitzungs-Hashes oder Prozesse und Dienste anhand der Schlüssel innerhalb derselben Liste aufzulisten. Kasseika löscht Schattenkopien, verschlüsselt die Zieldateien und fügt den Dateien eine verschlüsselte Dateiendung hinzu. Die Lösegeldforderung wird in mehreren Verzeichnissen abgelegt, bevor die Ransomware den Hintergrund des Systems ändert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Das Besorgniserregendste an dieser Gruppe ist, dass Kasseika angeblich einen beträchtlichen Teil des BlackMatter-Quellcodes verwendet. Die Ransomware „Blackmatter“ wurde bereits mit „BlackCat“ (öffnet in einem neuen Tab) in Verbindung gebracht, bei dem es sich um einen berüchtigten und erfolgreichen Ransomware-as-a-Service (RaaS)-Betrieb (öffnet in einem neuen Tab) handelt.
Es ist unklar, ob ein ehemaliges Mitglied einer dieser Ransomware-Gruppen nun zu Kasseika gehört oder ob die Gruppe lediglich auf irgendeine Weise Zugang zum Quellcode erlangt hat. Sollte Ersteres zutreffen, könnten wir in Zukunft möglicherweise noch mehr von Kasseika sehen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
