Einfache Schadcode-Analyse mit simplen Tools

Vorgehen bei der dynamischen Analyse

Zwar ist die dynamische Analysephase abgeschlossen, Sample 5 und 6 sind jedoch noch immer unbekannt. Einen einfachen Weg, ihr wahres Wesen zu entdecken, ohne auf einen Debugger zurückzugreifen, gibt es hierbei allerdings nicht.

Bei diesen beiden Dateien handelte es sich um eine verschleierte Version von WinSCP, einem gängigen Datenübertragungstool, das meist mit Linux-Umgebungen verwendet wird. Dies deckte eine schnelle Analyse ohne detaillierte Debugging-Phase auf.

Sobald alle Samples identifiziert waren, wurden die Ziele aktualisiert und neu erlangte Informationen zusammengefasst:

1. Das Wesen der Dateien verstehen.

Bei diesen Dateien handelt es sich nicht um Malware, sondern um einen Satz Hackertools. Die Tools wurden individuell angepasst und mit den gleichen Techniken verschleiert, um so der Entdeckung zu entgehen. (Neu)

2. Die Malware-Funktionen verstehen und ihr Schadenspotential einschätzen.

Ein Angreifer mit Zugang zu dem Host, der diese Dateien enthält, kann das Netzwerk scannen, Domain-Passwörter aufrufen, Prozessspeicher durchsuchen und Dateien übertragen. (Keine Änderung)

Da der Angreifer Zugang zum Computer haben muss, um die Tools auszuführen, kann das Ausmaß des Schadens irgendwo von Durchsickern privater Daten bis zur Offenlegung eines ganzen Netzwerks liegen. (Neu)

3. Erklären, wie die Malware eingeschleust wurde.

(Keine Änderung)

4. Erklären, wie die Malware Daten extrahiert.

Da eines der Samples eine Version von WinSCP ist, kann man mit Sicherheit davon ausgehen, dass der Angreifer versucht hat, es zum Extrahieren von Dateien aus dem Netzwerk einzusetzen. Die IPs, mit denen das Tool automatisch versucht, zu verbinden, können den Ort, an dem die Datei abgelegt wurde, angeben. (Neu)

5. Hinweise zur Identität der Akteure hinter der Malware erlangen.

„Paul Pilyaki” kann an diesem Ereignis direkt oder indirekt beteiligt sein. (Keine Änderung)

(ID:43325254)