Thought Leadership
Das Zscaler ThreatLabz-Team warnt vor einer neuen Malware-Variante namens RedEnergy Stealer, die in die Kategorie der hybriden Stealer-as-a-Ransomware (SaaR)-Bedrohungen eingeordnet wurde. Diese neue Malware-Kategorie kombiniert den Datendiebstahl mit Verschlüsselung und kann dadurch maximalen Schaden beim Opfer anrichten. Der neue Stealer nutzt eine gefälschte Update-Kampagne für Browser und nimmt damit vertikale Branchen wie Energieversorger, Öl- und Gas- oder Telekommunikationsanbieter ins Visier.
Die Malware besitzt die Fähigkeit, Informationen von verschiedenen Browsern abzugreifen und ist dadurch in der Lage, sensible Daten zu extrahieren. Zusätzlich enthält der Stealer verschiedene Module für die Durchführung von Ransomware-Aktivitäten. Angegriffene Unternehmen sehen sich dem Verlust sensibler Daten ausgesetzt, die offengelegt oder verkauft werden können.
Die von den ThreatLabZ-Analysten untersuchte Stealer-Variante nutzt eine trügerische Fake Updates-Kampagne, um Personen in anvisierten Zielunternehmen dazu zu bewegen, ihren Browser zu aktualisieren. Dabei kommt die Redirection-Technik zum Einsatz. Bei dem Versuch, eine Unternehmenswebseite über deren LinkedIn-Profil aufzurufen, werden ahnungslose User auf eine Webseite mit Schadcode umgelenkt. Dort werden sie aufgefordert, über vier verschiedene dargebotene Browser Icons ein scheinbar legitimes Browser-Update zu installieren. Anstelle eines echten Updates wird allerdings die ausführbare Datei des RedEnergy Stealers auf ihr System geladen.
Die Malware arbeitet in mehreren Phasen und beginnt mit der Ausführung der als Browser-Update getarnten bösartigen Dateien, die sich hinter verschiedenen populären Browsern wie Google Chrome, Microsoft Edge, Firefox oder Opera verstecken. Der Angriff wird oberflächlich hinter einem echten Zertifikat verborgen ausgeführt, um Vertrauen beim User zu erwecken. In der zweiten Phase werden Daten nachgeladen, Persistenz im System sicherstellen. Die Malware installiert dabei vier Dateien auf dem System des Opfers, von denen zwei ausführbar sind und dem gleichen Namensprinzip folgen. Nur eine der Dateien trägt die eigentliche Payload, die im Hintergrund geladen wird, während die anderen Dateien den Browser-Update-Prozess vorgaukeln. Um die gewünschte Persistenz im System sicherzustellen, werden bösartige, ausführbare Dateien im Windows Start-up Verzeichnis abgelegt, die die schädlichen Aktivitäten auch bei einem Systemneustart aufgreifen.
Verdächtige FTP-Interaktionen deuten auf eine mögliche Datenexfiltration und nicht autorisierte Datei-Uploads hin. Die Malware enthält Ransomware-Module, die Benutzerdaten mit der Erweiterung „.FACKOFF!“ verschlüsseln, so dass sie nicht mehr zugänglich sind, bis ein Lösegeld gezahlt wird. Außerdem modifiziert sie die Datei desktop.ini, um eine Erkennung zu umgehen und die Anzeigeeinstellungen für Dateisystemordner zu ändern. In der letzten Phase löscht die Malware Schattenlaufwerksdaten und Windows-Sicherungspläne und verstärkt dadurch die Ransomware-Eigenschaften. RedEnergy Stealer hinterlässt eine Batch-Datei und einen Erpresserbrief auf betroffenen Systemen, in dem eine Zahlung für die Entschlüsselung der Dateien gefordert wird.
Fazit
Die technische Analyse der Malware hat ihre Doppelfunktionalität als Stealer und Ransomware offengelegt und stellt eine alarmierende Entwicklung gegenüber herkömmlichen Angriffen dar. Die analysierten Angriffskampagnen verdeutlichen die Weiterentwicklung von Angriffsmethoden und eine Spezialisierung auf verschiedene Branchen und Organisationen. Diese neuartigen Stealer as a Ransomware-Kampagnen unterstreichen die Bedeutung von robusten Sicherheitsmaßnahmen und die Notwendigkeit beim User das Bewußtsein für neuartige Angriffsmuster zu schärfen.
www.zscaler.com
