Wichtigste Erkenntnisse
- Eine Reihe von RedLine-Infostealer-Beispielen ließ sich in keiner der von uns getesteten herkömmlichen Sandboxen ausführen – und genau das machte sie besonders interessant.
- In der Malware ist nicht fest programmiert, wohin sie ihre Daten übermittelt. Das wird von einer anderen Instanz entschieden, und es handelt sich dabei nicht um einen Server, den einfach jeder vom Netz nehmen kann.
- Unser FileScan.io Threat Labs -Team hat diese Infrastruktur weiter zurückverfolgt, als es eine einzelne blockierte IP-Adresse jemals verraten würde
- Diese Infrastruktur ist, wie sich aus den im Rahmen der Ermittlungen aufgedeckten Hinweisen ergibt, seit weit über einem Jahr im Verborgenen aktiv.
- Dieses Muster geht weit über diese Beispiele hinaus und wirft die Frage auf, wie viel Infrastruktur tatsächlich vernetzt ist
- Entlang der gesamten Strecke zeigt sich ein wiederkehrendes Muster bei der Bewirtung
Wodurch unterscheidet sich diese Technik von einer typischen Infostealer-Verbreitung?
Bei den meisten Maßnahmen zur Bekämpfung von Infostealern geht es darum, einen Server ausfindig zu machen und zu blockieren. Diese Samples verfolgen einen anderen Ansatz. Sie nutzen „EtherHiding“, eine Technik, bei der das eigentliche Command-and-Control-Ziel einer Kampagne nicht in der Malware selbst, sondern in einem Smart Contract der Blockchain gespeichert wird. So können Angreifer eine Kampagne umleiten, ohne jemals die Binärdatei anzutasten.
Darüber hinaus ließen sich die Samples in Standard-Sandboxes nicht wie normale Programme ausführen. Dabei handelt es sich um eine gezielte Umgehungsstrategie, die darauf abzielt, die automatische Ausführung zu verhindern, noch bevor die Nutzlast überhaupt die Chance hat, ausgeführt zu werden.
Warum sollte das SOC-Team und die Ingenieure das interessieren?
SOC-Experten und Threat Hunter
Eine blockierte IP-Adresse sagt so gut wie nichts darüber aus, wie lange eine Kampagne bereits läuft oder wie weit sich ihre Infrastruktur tatsächlich erstreckt. Um sich ein umfassendes Bild zu verschaffen, muss man eine öffentliche Blockchain auswerten – nicht nur einen Bedrohungs-Feed – und Beweise miteinander verknüpfen, für deren Korrelation die meisten SOC-Tools gar nicht konzipiert wurden.
Software sowie Infrastrukturingenieure
Blockchain-RPC-Aufrufe – dieselbe Kommunikationsmethode, die Wallets und dApps nutzen, um mit einem Netzwerk zu kommunizieren – tauchen zunehmend als C2-Signale in Malware auf. Teams, die Blockchain-Infrastrukturen entwickeln oder absichern, müssen nun berücksichtigen, dass RPC-Datenverkehr für die Befehls- und Kontrollfunktionen von Malware missbraucht werden kann.
Welche Organisationen sind am stärksten gefährdet?
RedLine stiehlt Anmeldedaten, Sitzungstoken und gespeicherte Browserdaten und zielt daher auf alle Organisationen ab, die über wertvolle Zugriffsrechte verfügen, die es zu stehlen gilt. Einige Kategorien sind dabei mit einem höheren Risiko behaftet:
- Finanzdienstleistungen und Fintech – Bereiche, in denen gestohlene Zugangsdaten unmittelbar zu Betrugsfällen führen
- Behörden und Betreiber kritischer Infrastrukturen, bei denen ein unbefugter Zugriff den Betrieb stören und Daten gefährden kann
- Managed-Service-Anbieter, bei denen ein einziger gestohlener Zugangsdatensatz den Weg zu mehreren nachgelagerten Kunden ebnen kann
- Technologie- und SaaS-Unternehmen, bei denen Sitzungstoken und „ API “-Schlüssel besonders wertvolle Ziele darstellen
Welchen Schaden kann eine solche Kampagne anrichten?
Sobald RedLine Zugangsdaten abgegriffen hat, hängen die Folgen davon ab, auf welche Ressourcen diese Zugangsdaten Zugriff gewähren – das reicht von direktem Finanzbetrug bis hin zu einem Einfallstor für einen späteren Ransomware-Angriff. Zur Wiederherstellung müssen in der Regel alle Zugangsdaten, auf die die Malware Zugriff gehabt haben könnte, ausgetauscht, aktive Sitzungen beendet und rekonstruiert werden, auf welche Systeme der gestohlene Zugriff vor der Entdeckung zugegriffen hat. Eine versteckte Befehlsinfrastruktur kann den Zeitraum verlängern, in dem der gestohlene Zugriff weiterhin nutzbar bleibt.
Wie „ MetaDefender : Aether“ in dieses Bild passt
MetaDefender Aether™ wurde entwickelt, um Malware zu erkennen, die in herkömmlichen Sandboxen gezielt ausfällt, darunter auch die in dieser Studie untersuchten Samples. Die fortschrittliche Emulationsfunktion umgeht Anti-VM-, Anti-Debug- und zeitbasierte Ausweichmechanismen ohne manuelle Anpassung, sodass Samples, die darauf ausgelegt sind, herkömmliche Sandboxen zu umgehen, dennoch analysiert und nicht einfach durchgelassen werden.
Das zugehörige „Threat Indicator Repository“ gleicht die ermittelten IP-Adressen, Domains und Hashes anschließend mit mehr als 50 Milliarden bekannten Indikatoren ab und liefert den SOC-Teams so einen umfassenderen Infrastrukturkontext zu jedem einzelnen Indikator.
Was geht aus der Untersuchung von FileScan.io hervor?
Unser FileScan.io Threat Labs -Team hat zudem die Infrastruktur hinter den Proben zurückverfolgt.
In der vollständigen Untersuchung heißt es:
- Wie Forscher Proben, die so konzipiert waren, dass sie in herkömmlichen Sandkästen versagten, rückentwickelten
- Wie sie eine verschlüsselte Befehlsadresse wiederhergestellt haben
- Wie weit die Infrastruktur der Kampagne zurückreicht
- Wie viele andere Kampagnen könnten dieselbe zugrunde liegende Struktur aufweisen?
Häufig gestellte Fragen
Was ist EtherHiding?
EtherHiding ist eine Technik, bei der vom Angreifer kontrollierte Konfigurationsdaten – wie beispielsweise die Adresse eines Befehlsservers – in einem Smart Contract einer öffentlichen Blockchain gespeichert oder abgerufen werden. Dadurch bleibt das eigentliche Ziel einer Kampagne auch dann verborgen, wenn die sichtbare Infrastruktur bereits abgeschaltet wurde.
Ist RedLine eine neue Malware-Familie?
Nein. RedLine ist ein seit Langem bekannter Infostealer. Dieser Cluster zeichnet sich durch die Kombination mit EtherHiding sowie durch das Ausweichverhalten aus, das FileScan.io Threat Labs während der Analyse beobachtet hat.
Warum wird die Kampagne nicht gestoppt, wenn man den bekannten Befehlsserver blockiert?
Der hinter der Kampagne stehende Smart Contract kann weiterhin auf eine Ersatzadresse verweisen, sodass die Infrastruktur die Abschaltung eines einzelnen Indikators übersteht.
Wie ist es den Forschern gelungen, die Anti-Sandbox-Abwehrmechanismen der Probe zu umgehen?
Das ist eines der zentralen Ergebnisse der Untersuchung. Die gesamte Vorgehensweise wird im Artikel von FileScan.io Threat Labs detailliert beschrieben.
Wie kann „ MetaDefender “ Aether dabei helfen, solche Malware zu erkennen?
MetaDefender Aether kombiniert „Advanced Emulation“ – eine Technologie, die entwickelt wurde, um Anti-VM- und Anti-Debug-Ausweichmechanismen zu überwinden – mit einem „Threat Indicator Repository“, das die Command-and-Control-Infrastruktur anhand von Milliarden bekannter Indikatoren korreliert und so Samples aufspürt, die darauf ausgelegt sind, herkömmliche Sandboxes zu umgehen.
