F-Secure entdeckt neue Malware-Kombination
Die Labs von F-Secure haben eine neue Malware identifiziert, die auf effektive Art und Weise die Eigenschaften des Spionagevirus MiniDuke mit der Malware Cosmu kombiniert. Das Ergebnis ist CosmicDuke, eine Schadsoftware, die Angreifer aktuell noch in erster Linie gegen Anwender in Osteuropa und der Türkei einsetzen.
Der Ansatz von CosmicDuke ist einfach und effektiv. „Die Anweder werden entweder dazu angehalten, ein infiziertes PDF zu öffnen, das eine Exploit-Lücke enthält, oder werden durch einen als PDF oder Bilddatei getarnten Virus in die Falle gelockt“, erklärt Sean Sullivan von F-Secure. „Sobald ein Anwender die Datei öffnet, beginnt der Angriff in Form einer weitreichenden Sammlung von Daten via Keylogger, Screenshots, dem Abgreifen von Daten aus der Zwischenablage und vielem mehr. So fängt das Schadprogramm beispielsweise auch Passwörter ab, stiehlt Festplatteninhalte und Verschlüsselungszertifikate inklusive der zugehörigen Schlüssel.“
Seine Beute versendet CosmicDuke per FTP an verschiedene Server. Da CosmicDuke nach dem ersten Angriff meist unentdeckt auf dem infizierten Rechner bleibt, können die Attacken immer wiederholt werden.
Während MiniDuke es bisher vor allem meist auf Rechner von Regierungen und Behörden abgesehen hatte, führt der Angreifer mit Cosmu vor allem die eher konventionellen Cybercrime-Attacken durch: das Stehlen privater Daten.
„Unsere Analysen haben ergeben, dass sich CosmicDuke wohl aus verschiedenen Malware-Typen zusammensetzt. Es kann durchaus sein, dass die Programmierer von Cosmu den Entwicklern von MiniDuke folgen. Dies wäre ein bemerkenswerter Schritt, denn die Grenzen verschwimmen nun“, so Sullivan. „In der Vergangenheit wurde vergleichbare Malware zunächst vor allem von Kleinkriminellen entwickelt und Schritt für Schritt von kriminellen Organisationen eingesetzt, die finanzielle Motive hatten. Mit CosmicDuke sehen wir nun aber ein Tool, mit dem durchaus auch Staaten straff organisierte Spionageattacken starten können.“
Weitere Informationen gibt es unter www.f-secure.com/weblog/archives/00002723.html.
