SophosLabs geben einen tiefen Einblick in die neuesten Tools, Techniken und Prozesse (TTPs) von Glupteba. Besonderes Augenmerk liegt auf der Fähigkeit der Malware, unentdeckt zu bleiben.

Einer der auffälligsten Trends in der Cyberkriminalität ist die Kommerzialisierung von Angriffen. Alles was ein Cybergangster für seinen Angriff benötigt, ist gegen Geld erhältlich, einschließlich ganzer Netzwerke mit infizierten Geräten, die zur Verbreitung bösartiger Inhalte genutzt werden können. In diesem Zusammenhang hat SophosLabs einen ausführlichen Bericht mit dem Titel "Glupteba malware hides in plain sight" veröffentlicht. Glupteba ist eine Hintertür, die sich zu einem geheimen und komplexen Netzwerk zur Malware-Verbreitung entwickelt hat.

Die SophosLabs beleuchten aus technischer Sicht die neuesten Tools, Techniken und Prozesse (TTPs), die von Glupteba verwendet werden. Der Report geht insbesondere auf die Fähigkeit des Bots ein, im Verborgenen zu bleiben und damit die Langlebigkeit und Beständigkeit der Angriffe zu sichern.


Die Security-Spezialisten beschreiben detailliert die Kernaufgabe von Glupteba: Computer infizieren, um unbemerkt zusätzliche Malware einzuschleusen. Gegenwärtig ist eine der gebräuchlichsten Malware, die über den Bot eingeschleust wird, ein Kryptominer. Sobald dieser im Netzwerk des Opfers installiert ist, kann er zusätzliche Tools herunterladen und ausführen. Folgende Aktionen sind dadurch möglich:

  • Installation von Rootkits, um Prozesse und Komponenten zu verstecken
  • Diebstahl von Browser-Informationen, indem Cookies, Verlauf und Anmeldeinformationen gesammelt und an den Command and Control Server gesendet werden
  • Weiterleitung von Netzwerkanfragen durch die Installation eigener Proxy-Komponenten
  • Exfiltrieren einer großen Menge von Gerätedaten, etwa gespeicherte Konfigurationsinformationen, die Build-Nummer des Betriebssystems, die Seriennummer des Mainboards, die MAC-Adresse, die Seriennummer der Festplatte, das Installationsdatum des Betriebssystems oder den RAM-Speicher.
  • Übernahme anfälliger Router

Die Entwickler von Glupteba haben sehr viel Aufwand betrieben, um Funktionen zu entwickeln, die den Bot vor einer Entdeckung schützen. So verfügt er beispielsweise über Wächter, die kontinuierlich die Leistung der Glupteba-Prozesse überwachen, damit diese fehlerfrei funktionieren (was ansonsten einen Alarm im Netzwerk auslösen könnte). Er fügt sich selbst zu den Ausschlusslisten für Windows Defender hinzu. Eine weitere Funktion erlaubt eine heimliche Aktualisierung und den Neustart bösartiger Prozesse. Zudem wird durch die Verwendung einer Bitcoin-Crypto-Währungs-Blockchain die Aktualisierung der Command and Control-Serveradressen des Bot verborgen.

Luca Nagy, Security-Experte bei Sophos und Hauptautorin des Reports, sagt: „Die skrupellosesten Bedrohungsakteure entwerfen ihre Malware so, dass sie getarnt ist. Ihr Ziel ist es, möglichst lange im Verborgenen zu bleiben, um ausführlich Informationen zu sammeln, auf deren Grundlage sie ihre nächsten Schritte planen und ihre Techniken weiter verfeinern können. Bei der Erforschung von Glupteba wurde uns klar, dass die Macher dahinter einen immensen Aufwand in die Selbstverteidigung investieren. IT-Sicherheitsteams müssen hier sehr auf der Hut sein. Darüber hinaus ist Glupteba generisch konzipiert und mithilfe von unterschiedlichen Komponenten und umfangreichen Hintertürfunktionen in der Lage, ein breites Spektrum bösartiger Aktivitäten durchzuführen.“

Download:

Der SophosLabs „Glupteba malware hides in plain sight“-Report steht zum Download bereit unter: https://news.sophos.com/en-us/?p=67447&

Firmenkontakt und Herausgeber der Meldung:

Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de

Ansprechpartner:
Jörg Schindler
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Arno Lücht
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
Thilo Christ
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
Ulrike Masztalerz
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Ariane Wendt
Telefon: +1 (724) 536839
E-Mail: sophos@tc-communications.de
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel