- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

"Norman" versteckt sich vor dem Task-Manager


Sicherheitsforscher von Varonis identifizieren neuen Cryptominer und ein mysteriöses Web-Shell
Malware, die durch Befehle von C&C-Servern gesteuert wird, stellt eine wesentlich größere Gefahr da als durchschnittliche Viren.

- Anzeigen -





Sicherheitsforscher von Varonis Systems haben einen neuen leistungsstarken XMRig-basierten Cryptominer identifiziert, der Monero schürft. Dabei wendet "Norman" verschiedene Techniken an, um unerkannt zu bleiben. So unterbricht er etwa seine Aktivität, wenn ein Benutzer den Task-Manager öffnet. Darüber hinaus wurde bei der ursprünglichen Infektion auch eine interaktive PHP-Shell entdeckt, wobei es für einen direkten Zusammenhang zwar Hinweise, aber keine Belege gibt.

Im Rahmen einer Evaluierung der Varonis-Datensicherheitsplattform bei einem mittelständischen Unternehmen wurden innerhalb kürzester Zeit mehrere netzwerkbezogene Warnmeldungen für abnormale Webaktivitäten sowie korrelierte abnormale Dateiaktivitäten ausgelöst.

Diese bezogen sich auf Konten, deren Nutzer kürzlich auch instabile Anwendungen und langsame Netzwerkverbindungen gemeldet hatten. Eine weitergehende Untersuchung des Varonis Incident Response Teams ergab, dass nahezu jeder Rechner und Server des Unternehmens von unterschiedlicher Malware betroffen waren, wobei die Infektionen teilweise schon Jahre zurück lagen. Mit den gesammelten Informationen konnten die Schadprogramme sicher entfernt und die Infektion gestoppt werden.

Unter der in den Varonis Laboren untersuchten Malware fiel vor allem das Sample eines neuartigen Cryptominer auf, der sich von üblicher Mining-Malware unterscheidet. Seine Ausbreitung vollzieht sich in drei Stufen (Ausführung, DLL-Injection, Schürfen), wobei er sich an die infizierten Systeme anpasst. Die Malware injiziert dabei den Cryptominer in einen legitimen Prozess und nutzt einen weiteren Prozess als eine Art Wachhund für den Schürfprozess. So beendet sie beispielsweise den Miner, wenn der Nutzer den Task-Manager öffnet, um eine Erkennung zu verhindern. Wird der Task-Manager wieder geschlossen, starten auch die Schürfprozesse wieder.

Während der Untersuchung fanden die IT-Forensiker eine auffällige XLS-Datei, die auf eine neue PHP-Shell hinwies, die sich kontinuierlich mit einem Command and Control (C&C)-Server verbindet. Allerdings wurden nach der Initialisierung keine Befehle empfangen, wodurch der Zweck der Shell bislang nicht eindeutig geklärt werden konnte. Auch ob es einen direkten Zusammenhang mit "Norman" gibt, kann nicht abschließend geklärt werden. Einiges spricht dafür ("Norman" verfügt über keine Fähigkeiten, sich lateral in Netzwerken zu bewegen, allerdings war er im Netzwerk stark verbreitet), einiges aber auch dagegen (zwischen der Malware und der PHP-Shell findet augenscheinlich keine Kommunikation statt, auch zeigen die Code-Strukturen keinerlei Ähnlichkeiten).

Tipps, wie man sich vor Web-Shells schützen kann
Malware, die durch Befehle von C&C-Servern gesteuert wird, stellt eine wesentlich größere Gefahr da als durchschnittliche Viren. Ihre Vorgehensweise ist oftmals schwer vorauszusehen und ist damit schwieriger zu identifizieren und abzuwehren. Diese drei Tipps helfen Unternehmen, sich vor Web-Shells zu schützen:

>> Halten Sie alle Software auf dem neuesten Stand. Angreifer nutzen oft Schwachstellen in Software und Betriebssystemen aus, um sich lateral in Unternehmen zu bewegen und Daten zu stehlen. Die Aktualisierung mit Patches reduziert das Risiko von Bedrohungen erheblich.

>> Überwachen Sie abnormale Datenzugriffe. Ein Angreifer wird höchstwahrscheinlich versuchen, sensible Daten aus dem Unternehmen zu exfiltrieren. Durch die intelligente Analyse des Nutzerverhaltens (UBA) kann abnormales Verhalten identifiziert und gestoppt werden.

>> Überwachen Sie den Netzwerkverkehr. Durch die Verwendung einer Firewall oder eines Proxys ist es möglich, bösartige Kommunikation mit C&C-Servern zu erkennen und zu blockieren, so dass der Angreifer keine Befehle ausführen oder Daten extrahieren kann.

Tipps zum Schutz vor Cryptominern

>> Setzen Sie Antiviren- und EDR-Lösungen ein (aber sorgen Sie dafür, dass diese nicht Ihre einzige Verteidigungsebene sind): Endpunktprodukte sollten in der Lage sein, bekannte Cryptominer zu erkennen und Infektionen zu verhindern, bevor Schäden auftreten. Beachten Sie, dass neue Varianten oder neue Ausweichtechniken Endpoint-Sicherheitsprodukte umgehen können.

>> Halten Sie alle Betriebssysteme auf dem neuesten Stand. Das Patch-Management ist entscheidend, um Schwachstellen zu schließen und Infektionen zu verhindern.

>> Überwachen Sie den Netzwerkverkehr und Web-Proxies. Es ist möglich, einen Teil der Angriffe zu erkennen und zu verhindern, indem der Datenverkehr zu bösartigen Domänen blockiert und unnötige Kommunikation eingeschränkt wird.

>> Überwachen Sie die CPU-Aktivität auf Computern. Cryptominer verwenden im Allgemeinen die CPU des Computers, um Kryptowährungen zu schürfen. Jede spürbare Verschlechterung der Performance sollte entsprechend untersucht werden.

>> Überprüfen Sie DNS auf ungewöhnliche Nutzung dynamischer DNS-Dienste. DuckDNS und andere dynamische DNS-Dienste werden zumeist legitim genutzt, aber eben auch von Malware. Dies kann jedoch – wie im Falle der Identifizierung der Malware hier – auch zur Entdeckung schädlicher Aktivitäten führen.

Halten Sie einen Incident-Response-Plan bereit. Stellen Sie sicher, dass Sie die richtigen Verfahren für ähnliche Vorfälle etabliert haben und in der Lage sind, Cryptominer automatisch zu erkennen und zu stoppen.
(Varonis Systems: ra)

eingetragen: 25.08.19
Newsletterlauf: 25.09.19

Varonis Systems: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Schwachstelle in beliebter Datenbank-Format SQLite

    Check Point Research, die Threat Intelligence-Abteilung von Check Point Software Technologies, wies auf der BlackHat Conference auf eine gefährliche Schwachstelle in dem beliebten Datenbank-Format SQLite hin. Es handelt sich um das weltweit am stärksten verbreite Datenbank-System und betrifft daher eine große Gruppe von Nutzern. Aufgrund der niedrigen Systemanforderungen befindet sich SQLite in Browsern wie Google Chrome, Safari und Firefox, aber vor allem in Betriebssystemen, wie Windows 10, Android und den Apple-Systemen, MacOS und iOS. Die Sicherheitsforscher von Check Point demonstrierten die Sicherheitslücke anhand eines Iphones und hoben daher die Bedrohung besonders für iOS hervor. Dort kann nämlich die harmlose App ‚Kontakte' zum Einfallstor werden. Doch das ist nicht der einzige Grund, warum sich die Forscher auf das Iphone konzentrierten.

  • Viren: Digitale Spiegelreflex-Kameras anfällig

    Check Point Research, die Threat Intelligence-Abteilung von Check Point Software Technologies Ltd., einem weltweit führenden Anbieter von Cyber-Sicherheitslösungen, fand heraus, dass einige digitale Spiegelreflex-Kameras über den USB-Anschluss und die WLAN-Verbindung anfällig für Ransomware- und Malware-Angriffe sind. Mit dem Aufkommen von Digitalkameras hatte die International Imaging Industry Association ein standardisiertes Protokoll entwickelt, das als Picture Transfer Protocol (PTP) bekannt ist, um digitale Bilder von der Kamera auf einen Computer zu übertragen. Inzwischen hat sich dieses Protokoll weiterentwickelt und umfasst Dutzende verschiedener Befehle und Funktionen, vom Aufnehmen eines Live-Bildes bis zum Aktualisieren der Firmware des Gerätes.

  • "Norman" versteckt sich vor dem Task-Manager

    Sicherheitsforscher von Varonis Systems haben einen neuen leistungsstarken XMRig-basierten Cryptominer identifiziert, der Monero schürft. Dabei wendet "Norman" verschiedene Techniken an, um unerkannt zu bleiben. So unterbricht er etwa seine Aktivität, wenn ein Benutzer den Task-Manager öffnet. Darüber hinaus wurde bei der ursprünglichen Infektion auch eine interaktive PHP-Shell entdeckt, wobei es für einen direkten Zusammenhang zwar Hinweise, aber keine Belege gibt. Im Rahmen einer Evaluierung der Varonis-Datensicherheitsplattform bei einem mittelständischen Unternehmen wurden innerhalb kürzester Zeit mehrere netzwerkbezogene Warnmeldungen für abnormale Webaktivitäten sowie korrelierte abnormale Dateiaktivitäten ausgelöst. Diese bezogen sich auf Konten, deren Nutzer kürzlich auch instabile Anwendungen und langsame Netzwerkverbindungen gemeldet hatten. Eine weitergehende Untersuchung des Varonis Incident Response Teams ergab, dass nahezu jeder Rechner und Server des Unternehmens von unterschiedlicher Malware betroffen waren, wobei die Infektionen teilweise schon Jahre zurück lagen. Mit den gesammelten Informationen konnten die Schadprogramme sicher entfernt und die Infektion gestoppt werden.

  • Attacke mit fast 21 Tagen Laufzeit

    Im zweiten Quartal 2019 ist die Anzahl der DDoS (Distributed-Denial-of-Service)-Angriffe gegenüber dem gleichen Vorjahreszeitraum um 18 Prozent angestiegen. Auch Attacken auf Anwendungsebene - deren Organisation komplexer ist, so dass sich Schutzmaßnahmen schwieriger gestalten - zeigten ein deutliches Wachstum. Sie stiegen im Vergleich zum zweiten Quartal 2018 um nahezu ein Drittel (32 Prozent). Damit machen DDoS-Angriffe heute fast die Hälfte (46 Prozent) aller Angriffe aus, die durch "Kaspersky DDoS Protection" verhindert werden.Im zweiten Quartal dieses Jahres war die Zahl der DDoS-Angriffe um 44 Prozent geringer als im vorhergehenden Quartal. Im Vergleich zum Vorjahreszeitraum hingegen stieg die Anzahl der Angriffe im zweiten Quartal um 18 Prozent und im Vergleich zum gleichen Referenzzeitraum 2017 um 25 Prozent an.

  • Komplexes Spionage-Tool in neuem Gewand

    Der russischsprachige Bedrohungsakteur ,Turla' hat sein Portfolio an Bedrohungswerkzeugen umfassend modifiziert, wie Kaspersky-Forscher jetzt herausfanden. Die Gruppe erweiterte ihre bekannte JavaScript-KopiLuwak-Malware um einen neuen Dropper namens ,Topinambour', der von den Cybersecurity-Experten in zwei ähnlichen Versionen und in anderen Sprachen identifiziert wurde. Die Malware wird jetzt unter anderem über infizierte Software-Installationspakete zur Umgehung von Internetzensur verbreitet. Die Sicherheitsexperten glauben, dass diese Maßnahmen darauf abzielen, das Erkennungsrisiko ihrer Schadprogramme zu minimieren und die Auswahl idealer Zielopfer zu präzisieren. Topinambour wurde Anfang 2019 bei einer Kompromittierungsaktion gegen Regierungsstellen entdeckt.