Kaspersky warnt vor Malware
PipeMagic-Backdoor tarnt sich als ChatGPT-Anwendung
Experten von Kaspersky haben eine neue schädliche Kampagne auf Basis des PipeMagic-Trojaners entdeckt, der sich in einer gefälschten ChatGPT-Anwendung versteckt. Dabei kommt eine Backdoor zum Einsatz, die sowohl vertrauliche Daten extrahieren kann als auch Fernzugriff auf infizierte Geräte bietet.
Zudem fungiert die Malware als Gateway, so dass sie weitere Malware nachladen kann und damit den Start weiterer Angriffe im Unternehmensnetzwerk ermöglicht.
Kaspersky entdeckte die PipeMagic-Backdoor nach eigenen Angaben erstmalig im Jahr 2022. Damals hatte es die Malware auf Unternehmen in Asien abgesehen. Die aktuelle Version versteckt sich nun in einer gefälschten ChatGPT-Anwendung, die in der Programmiersprache Rust erstellt wurde. Diese Backdoor erscheint zunächst legitim und enthält mehrere gängige Rust-Bibliotheken, die auch in anderen Rust-basierenden Anwendungen verwendet werden. Führt man die Anwendung jedoch aus, zeigt sie einen leeren Bildschirm ohne sichtbare Nutzeroberfläche an – dabei versteckt sie 105.615 Byte verschlüsselter Daten, bei denen es sich um die schädliche Payload handelt.
Nachdem die Anwendung gestartet wurde, sucht die Malware nach wichtigen Windows-API-Funktionen. Dazu durchforstet sie die entsprechenden Speicher mit Hilfe eines Names-Hashing-Algorithmus. Anschließend weist sie Speicher zu, lädt die PipeMagic-Backdoor, passt die erforderlichen Einstellungen an und führt die Malware aus.
Eines der besonderen Merkmale von PipeMagic ist, dass es ein 16-Byte-Zufallsarray generiert, um eine named Pipe im Format \\.\pipe\1.<hex string> zu erstellen. Es erzeugt einen Prozess, der kontinuierlich diese Pipe erstellt, Daten daraus liest und sie wieder schließt. Die Pipe wird zum Empfang verschlüsselter Payloads und Stoppsignale über die standard lokale Schnittstelle verwendet. PipeMagic funktioniert normalerweise mit mehreren Plugins, die von einem Command-and-Control-Server heruntergeladen werden, der in diesem Fall auf Microsoft Azure gehostet ist.
Lesen Sie mehr zum Thema
