Verbreitung von Dridex-Spam
Nach wie vor eine Bedrohung: Erneute Aktivitäten des berüchtigten Dridex-Botnets mit neuer Verbreitung und Banking-Trojaner Shifu
Dasselbe Spam-Botnet, das Dridex verbreitet, hat auch den Banking-Trojaner Shifu in Umlauf gebracht
Von Monika Schaufler, Regional Director, DACH bei Proofpoint
(11.12.15) - Nach monatelanger Pause im Anschluss an eine Reihe von Festnahmen und trotz eines kürzlich erfolgten Takedowns sehen die Dridex-Akteure die jüngsten Polizeiaktionen offenbar als Herausforderung und Chance an, aus ihren Fehlern zu lernen und gestärkt daraus hervorzugehen. Proofpoint-Experten haben die aktuelle Aktivität der Dridex-Akteure analysiert und zahlreiche Änderungen im Verhalten erkannt – von technischen Neuerungen bis hin zur Verbreitung anderer Banking- und Datendiebstahl-Schadprogramme.
Die wichtigsten Punkte im Überblick:
>> Nachdem Andrei Ghincul, aka Smilex, der mutmaßlich Verantwortliche für einen Großteil des Dridex-Spam, im September festgenommen wurde, kam der Dridex-Spam zum Erliegen.
>> Anfang Oktober wurde die Verbreitung von Dridex-Spam dann fortgesetzt. Dabei wurden sämtliche Sub-Botnets von demselben Spam-Botnet verbreitet.
>> Das Dridex 220-Botnet wurde am 1. Oktober wieder in Betrieb genommen und verzeichnet seitdem starke Aktivität.
>> Dridex 120 wurde am 16. Oktober wieder aktiviert.
>> Proofpoint beobachtete ein neues Dridex-Botnet mit der ID 301 und ein seltenes Dridex-Botnet mit der ID 121.
Proofpoint beobachtete erneutes massives Spam-Aufkommen, darunter mehrere Tage, an denen die Menge der E-Mails mit dem Spitzenaufkommen der letzten sechs Monate gleichauf oder sogar darüber lag. Dasselbe Spam-Botnet, das Dridex verbreitet, hat auch den Banking-Trojaner Shifu in Umlauf gebracht, der gegen japanische und britische Benutzer gerichtet ist und zeigt, dass die Akteure durchaus zur Diversifizierung bereit sind.
Dasselbe Botnet hat auch die Datendiebstahl-Malware Ursnif verbreitet, die auf Nutzer in Australien abzielte.
Die fünf Elemente eines modernen Angriffs
Bei dem Versuch, die aktuellen Entwicklungen rund um Dridex zu entschlüsseln, kann es zunächst hilfreich sein, diese in den Zusammenhang des größeren Frameworks zu stellen, das von vielen modernen Hackern genutzt wird. Ein solches Framework besteht in der Regel aus fünf Elementen: Akteur, Vektor, Hoster, Payload und C2.
Akteur: Die angreifende Organisation. Echte Menschen, angetrieben von verschiedenen Motivationen, bei Cyberkriminellen oft finanzielle Motive.
Vektor: Die Verbreitungsmethode. E-Mail per vom Angreifer kontrollierten oder gemieteten Spam-Botnet ist ein bestimmender Vektor, der Vektor Social-Media wächst jedoch auch.
Hoster: Die Websites, die Malware hosten. Wenn Malware nicht direkt an eine E-Mail angehängt ist, beziehen Dokumente mit aktiven Makros oder in Exploit-Kits eingelagerte Dropper Schadcode von diesen Websites.
Payload: Die Malware. Software, die dem Angreifer ermöglicht, den Ziel-Computer zu nutzen (Kontrolle, Daten davon exfiltrieren, weitere Software darauf laden).
C2: Der Befehls- und Kontrollkanal, der Befehle zwischen der eingelagerten Malware und den Angreifern weiterleitet.
Mit diesem Framework können Angreifer in soliden, horizontal segmentierten Ökosystemen arbeiten, sich auf die Entwicklung bestimmter Teile des Frameworks spezialisieren und diese an Dritte verkaufen oder vermieten. Diese Frameworks sind resistent gegen Takedowns und Ausfälle einzelner Komponenten. Sie erhöhen jedoch auch die Erkennungsfläche der Angreifer, d. h. deren Anfälligkeit entdeckt zu werden. Durch die Verfolgung jedes dieser Elemente können Verteidiger andere Elemente ableiten und die geeigneten Abwehrmaßnahmen ergreifen.
Beobachtete Dridex-Botnets
Dridex 220 wurde am 1. Oktober wieder in Betrieb genommen und verzeichnet seitdem starke Aktivität. Der am 13. Oktober bekannt gegebenen Abschaltung des Dridex 220-Botnets folgte nur eine eintägige Pause der Spam-Aktivitäten, am 14. Oktober. Proofpoint beobachtet seitdem täglich 14 Dridex 220-Kampagnen, und Tests zeigen, dass diese Malware derzeit in der Lage ist, DLLs und Konfigurationsdateien erfolgreich abzurufen.
Der Dridex 120-Betrieb wurde am 16. Oktober wieder aufgenommen, und Proofpoint beobachtet seitdem täglich sieben Kampagnen für dieses Botnet. Darüber hinaus hat Proofpoint neue Sub-Botnet-IDs festgestellt, und zwar 301 und 121. Im Folgenden finden Sie die jeweiligen Dridex-Botnets und die Tage, an denen diese von Proofpoint erkannt wurden:
Dridex 220: October 1, 5, 6, 7, 8, 9, 12, 13, 15, 19, 21, 22, 23, 26
Dridex 120: October 16, 19, 20, 22, 26, 27, 28
Dridex 121: October 19
Dridex 301: October 22
Aufkommen und Vorkommen von Dridex-Spam
In diesen Spam-Kampagnen haben Proofpoint-Forscher Folgendes beobachtet:
Der 22. Oktober stach heraus, da an dem Tag vier Dridex-Spam-Kampagnen erkannt wurden: Die Dridex-Botnets 120, 220 (morgens und abends) und 301 wurden an nur einem Tag von Spam-Bots verbreitet.
Das größte E-Mail-Aufkommen, das in einer einzelnen Kampagne versendet wurde, war doppelt so hoch wie das durchschnittliche E-Mail-Aufkommen der Dridex-Kampagnen im Oktober (Dridex-Botnet 220 – 19. Oktober).
Das kleinste E-Mail-Aufkommen, das in einer einzelnen Kampagne versendet wurde, war eine Kampagne mit unter 100 E-Mails für das Dridex-Botnet 121 am 19. Oktober.
Rechnungs- und Transaktions-E-Mail-Köder sind auch weiterhin weit verbreitet.
Die meisten der in E-Mails enthaltenen schadhaften Dokumentanhänge sind leer oder nutzen den typischen Köder "Makros aktivieren, um dieses Dokument anzuzeigen". Die Dridex 121-Minikampagne vom 19. Oktober enthielt jedoch einen interessanten Dokumentköder
Banking-Trojaner Shifu
Dasselbe Botnet (je nach Tag bestehend aus rund vier- bis zehntausend infizierten Spam-Rechnern), das Dridex 120, 220, 121 und 301 verbreitet hat, wurde auch bei der Verbreitung des Banking-Trojaners Shifu beobachtet. Das zeigt, dass die Akteure bereit sind zu diversifizieren oder für den Fall einer erfolgreichen Strafverfolgung zusätzliche Optionen suchen.
Der Banking-Trojaner Shifu wurde zuerst Ende August gemeldet und kombiniert Merkmale von zahlreichen anderen bekannten Banking-Trojanern wie Zeus, Dyre und Dridex usw. Während diese ausgefeilte Hybridversion eine in Form und Methode ähnliche Konfigurationsdatei wie die von Dridex nutzt, verfügt sie zusätzlich über Verschleierungs-, Anti-Analyse-, C2- und sogar Anti-Malware-Funktionen, die Dridex nicht hat. Bisher wurden für Shifu hauptsächlich Angriffe auf Bankkunden in Japan und Großbritannien festgestellt.
Am 7. Oktober sendete das Botnet japanische E-Mails, die als Bestätigung eines Auftrags getarnt waren, in Wirklichkeit jedoch Anhänge wie "1312061102_13233939se.doc" enthielten. Diese Anhänge nutzen Makros zum Download eines Shifu-Banking-Trojaners, der japanische Nutzer anvisierte.
Am 20. Oktober wurde eine weitere Kampagne erkannt, die E-Mails mit dem Betreff "Auftragsnr.: 48847" und dem Anhang "PO_48847.DOC" oder mit dem Betreff "john.doe@unternehmen.com" (Adresse des Empfängers) und dem Anhang "FINAL NOTIFICATION.xls" verbreitete. Die Anhänge sind Microsoft Office-Dokumente, die schadhafte Makros enthalten und den Banking-Trojaner Shifu herunterladen, aber diesmal jedoch gegen Kunden von Banken in Großbritannien gerichtet waren.
Zuvor wurde über dieses Spam-Botnet hauptsächlich Dridex verbreitet, was vermuten lässt, dass es von einer einzelnen Gruppe oder einer kleine Gruppe von Einzelpersonen kontrolliert wurde. Allein reicht dieser Fakt jedoch nicht aus, um den Shifu-Trojaner den Akteuren zuzuordnen, die auch Dridex verbreitet haben.
Die infizierten Systeme könnten beispielsweise mit mehr als einem Spam-Bot infiziert sein oder der Spammer tut einem Freund einen Gefallen. Genauere Analysen haben jedoch weitere Gemeinsamkeiten aufgedeckt: Beispielsweise ist der Builder, mit dem die Shifu-Dokumente generiert wurden, derselbe, der auch für Dridex 220 verwendet wurde, mit ähnlichen Dateinamen, einem leeren Textkörper und ähnlicher URI-Struktur des Payload-Speicherortes (d. h. der Speicherort, von dem das Microsoft Word-Dokument die Shifu- oder Dridex-Payload herunterlädt).
Am 28. Oktober haben Proofpoint-Forscher eine weitere große Kampagne erkannt, die offenbar von demselben Akteur stammte und ebenfalls Shifu unter britischen Nutzern mit dem Köder "Auftragsbestätigung" und einem gefährlichen Dokumentanhang verbreitete. Bei einem weiteren Beispiel der variantenreichen Payloads dieses Akteurs nutzte eine Kampagne einen Neutrino-Bot als initiale Payload, die dann Shifu als zweite Payload herunterlud.
Datendiebstahl-Malware Ursnif
Im Oktober wurde dasselbe Spam-Botnet auch bei der Verbreitung der Datendiebstahl-Malware Ursnif beobachtet. So wurde beispielsweise am 21. Oktober eine Kampagne in Australien beobachtet, bei der E-Mails Anhänge mit zufälligen Bezeichnungen enthielten, die Ursnif mithilfe schadhafter Makros herunterluden. Interessanterweise verwendeten die Dokumente dieselbe visuelle Vorlage, die bereits im April 2015 vom Sub-Botnet Dridex 200 genutzt wurde.
Fazit
Aktuelle Erkenntnisse der Proofpoint-Experten bestätigen, dass das Dridex 220-Botnet durch die jüngsten Takedown-Versuche noch lange nicht zerstört wurde. Darüber hinaus zeigen diese Analysen, dass die Hacker des Dridex 220-Botnets auch hinter den zuletzt beobachteten Shifu-Kampagnen in Großbritannien und Japan stecken sowie für mindestens eine Ursnif-Kampagne verantwortlich sind, die auf australische Banking-Kunden abzielte. Diese Ergebnisse unterstreichen die Widerstands- und Anpassungsfähigkeit der Dridex-Bande und verdeutlichen die Gefahr, die sie weiterhin für Einzelpersonen und Organisationen darstellen. (Proofpoint: ra)
Proofpoint: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.