Mobile-Menu

Backdoor-Trojaner nutzt Windows-BITS für Angriffe Neue Windows-Backdoor BITSLOTH entdeckt

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

BITSLOTH, eine neue Windows-Backdoor, missbraucht den Background Intelligent Transfer Service (BITS) zur verdeckten Kommunikation mit Command & Control Servern und zur Datenexfiltration. Sicherheitsforscher haben den Angreifer jetzt genauer untersucht.

BITSLOTH ist ein neu entdeckter Windows-Backdoor-Angriff, der den Background Intelligent Transfer Service (BITS) für Kommando- und Kontrollkommunikation (C2) nutzt.(Bild: Dall-E / KI-generiert)
BITSLOTH ist ein neu entdeckter Windows-Backdoor-Angriff, der den Background Intelligent Transfer Service (BITS) für Kommando- und Kontrollkommunikation (C2) nutzt.
(Bild: Dall-E / KI-generiert)

Sicherheitsforscher bei Elastic Security Labs haben eine neue Windows-Backdoor namens BITSLOTH identifiziert, die auf den Windows BITS Dienst setzt um unentdeckt Daten herunterzuladen.

BITSLOTH nutzt Keylogging, Bildschirmaufnahmen, Dateitransfer und Kommandoausführung

Elastic Security Labs hat diese Malware bereits im Juni 2023 während einer Untersuchung einer Aktivitätsgruppe namens REF8747 entdeckt. Die Angreifer verwendeten hauptsächlich öffentlich verfügbare Tools, wobei BITSLOTH die einzige proprietäre Malware war. BITSLOTH verfügt über 35 Handler-Funktionen, darunter Keylogging, Bildschirmaufnahmen, Dateitransfer und Kommandoausführung. Diese Funktionen ermöglichen eine umfangreiche Datensammlung und Systemkontrolle auf infizierten Maschinen. Die kontinuierliche Entwicklung der Malware seit Dezember 2021 deutet auf eine langfristige Investition der Autoren hin, die vermutlich aus China stammen.

Ein herausragendes Merkmal von BITSLOTH ist die Nutzung von BITS, dem Windows-Dienst für Dateiübertragung, der zum Beispiel für Software-Updates verwendet wird. Da viele Organisationen Schwierigkeiten haben, BITS-Verkehr zu überwachen, bietet dies Angreifern eine Tarnung. BITSLOTH nutzt die IBackground­CopyManager-Schnittstelle, um neue Aufgaben zu erstellen und bestehende zu verwalten, wobei legitime Windows-Aufgaben imitiert werden.

Die Kommunikation zwischen BITSLOTH und dem C2-Server erfolgt über HTTP oder HTTPS, wobei die Malware Anfragen generiert und Befehle sowie Datenstrukturen empfängt. BITSLOTH kann Informationen über laufende Prozesse, Windows-Dienste und Systemdaten sammeln, Dateien hoch- und herunterladen sowie Screenshots und Tastatureingaben aufzeichnen. Die gesammelten Daten werden in temporären Dateien gespeichert und über BITS-Aufträge an den C2-Server gesendet.

Zur Verschleierung des Datenverkehrs nutzen die Angreifer STOWAWAY, eine öffentlich zugängliche Backdoor und Proxy-Server, um verschlüsselten Verkehr über HTTP zu ihren C2-Servern zu leiten. Nach dem initialen Zugriff bewegten sich die Angreifer lateral und platzierten BITSLOTH als DLL-Datei im ProgramData-Verzeichnis. Sie nutzten eine signierte Version des Musikprogramms FL Studio, um die Malware durch Side-Loading auszuführen. Prozess­injektions­alarme ermöglichten es den Forschern, eine im Speicher befindliche DLL zu extrahieren.

Die Analyse zeigt, dass BITSLOTH ein erhebliches Risiko für Unternehmen und Behörden darstellt. Es kombiniert fortschrittliche Techniken zur Tarnung, Datensammlung und Systemkontrolle. Administratoren sollten ihre Überwachungs- und Erkennungsfähigkeiten für BITS-Verkehr verbessern und robuste Sicherheitsmaßnahmen implementieren, um gegen solche Bedrohungen gewappnet zu sein.

(ID:50124680)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte