Bei der Analyse von Daten aus seiner Cloud-Sandbox hat Zscaler kürzlich ein großes MultiPlug-Netzwerk entdeckt. Aufmerksam geworden ist die Internet Security Company auf das MultiPlug-Netzwerk wegen eines Verhaltensmusters, bei dem Zertifikate mittels Code unterzeichnet werden. Auch die Größe seiner Hosting-Infrastruktur war verdächtig.
MultiPlug ist eine weitverbreitete Scamware-Familie mit ausgefeilter Hosting-Infrastruktur. Die Malware verleitet Anwender zur Installation einer Anwendung, die dann eine Vielzahl zusätzlicher Spyware-Pakete nachinstalliert.
(Bild: Zscaler)
Bei MultiPlug handelt es sich um eine verbreitete Scamware-Familie, die Nutzer dazu verleitet, eine erste Binärdatei herunterzuladen und zu installieren. Diese holt dann eine Vielzahl an zusätzlichen Spyware-Paketen nach. Nutzer werden mittels manipulierter Suchergebnisse (Search Poisoning) dazu gebracht, die Scamware zu installieren. Als Köder dienen geknackte und legitime Software, Raubkopien von Musik und Filmen sowie andere Dokumente und Daten, die der Anwender möglicherweise sucht.
Sobald der Köder geschluckt ist und die Datei ausgeführt wird, sieht der Nutzer einen von mehreren typisch-aussehenden Installationsassistenten. Es verspricht genau das zu liefern, wonach der Nutzer ursprünglich gesucht hat. Egal ob er den Fehler bemerkt oder nicht: Das Installationsprogramm bezieht weiterhin mehrfach verschlüsselte Dateien von einem dezentralen Webserver. Die Installation dieser Payloads wird selbst dann weiter ausgeführt, wenn der Nutzer “Abbruch”, “Nein” oder “Schließen” drückt. Während des Prozesses fängt die Scamware zudem Systeminformationen ab und sendet sie an die dezentralen Webserver.
Mehrere typische Komponenten der Scamware enthalten einen Schadcode namens ‘compfix’. Er wird als Systemdienst installiert, der beim Startvorgang läuft. Ein weiterer typischer Payload ist “SystemStrengthener”.
Neben den bereits genannten, harmlos klingenden Schadroutinen nimmt die Scamware einige Änderungen in der Browser-Konfiguration des Nutzers vor. Falls Chrome installiert ist, werden zwei DLLs in das Installationsverzeichnis von Chrome gelegt, die modifiziert und als leicht veraltete Versionen von ‘chrome.dll’ erscheinen. Chrome und Internet Explorer erhalten zudem Browser-Erweiterungen, die das Nutzerverhalten ausspähen und Werbung liefern. Als Zusatz können die IE Add-Ons nicht ohne Zustimmung des Administrators deinstalliert werden.
Abgesehen von einigen zusätzlichen Layern zur Verschleierung gegenüber vorherigen Versionen sind die technischen Aspekte dieser Malware eher gewöhnlich. Allerdings machen die Größe der Hosting-Infrastruktur und das Verhaltensmuster, eingesetzte Zertifikate mittels Code zu unterzeichnen, diese Kampagne so interessant. Zscaler hat 33 einzigartige Zertifikate entdeckt, die alle von derselben Certificate Authority, nämlich Certum/Unizeto Technologies, erstellt wurden. (Anmerkung: Zscaler hat auch andere Adware-Kampagnen identifiziert, die Certum-Zertifikate nutzen. Sie scheinen mit der hier beschriebenen nicht in Zusammenhang zu stehen.)
Mit diesen 33 Zertifikaten wurden 2.783 Scamware-Programme unterzeichnet, die auf 447 einzelnen Hosts (323 einzelne Domains) bereitgestellt wurden. Zwar ist es bei Adware-Kampagnen, die auf das Unterzeichnen mittels Code setzen, normal die verwendeten Zertifikate durchzuwechseln. Der Grund ist, dass sie von Anti-Viren und Security Companies geblockt werden. Allerdings zeigt das Volumen von einzigartigen unterzeichneten Zertifikaten im Umlauf, dass hier etwas anders ist. Auch die Daten in den Signaturen deuten darauf hin, dass alle Zertifikate individuellen Personen mit kostenlosen E-Mail-Konten gehören. Dies verhindert simples Blacklisting sowie Zuordnung, weil sich die Kampagne nicht eindeutig zu einer bestimmten Organisation zurückführen lässt.
Angesichts der Struktur dieser MultiPlug-Kampagne liegt der Schluss nahe, dass die Organisation dahinter bösere Absichten hat als herkömmliche Adware-/Scamware-Initiatoren. Allerdings könnte dies auch nur ein Weg sein, um den ROI für die große Infrastruktur zu maximieren, die sie betreiben. Unabhängig von ihren Absichten sollten Unternehmen skeptisch gegenüber Adware sein, auch wenn sie noch so harmlos wirkt. Sie ist nämlich unter Umständen in der Lage, Systeme und Netzwerke auszuspähen, sich auf infizierten Hosts hartnäckig einzunisten, beliebige Schadcodes zu laden sowie die Kontrolle über das System, seinen Anwendungen und seinen Daten zu übernehmen.
Aufklappen für Details zu Ihrer Einwilligung
Stand vom 30.10.2020
Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.
Einwilligung in die Verwendung von Daten zu Werbezwecken
Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.
Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.
Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.
Recht auf Widerruf
Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.
* Ed Miles ist Security Researcher in den ThreatLabZ von Zscaler