Hintergründe zur GoldenSpy-Malware Katz-und-Maus-Spiel zwischen Security-Forschern und Kriminellen

Anbieter zum Thema

TXOne Networks

Eye Security GmbH

Trustwave Germany GmbH

Im Juni berichtete der amerikanische IT-Sicherheitsanbieter Trustwave über die Entdeckung einer gefährlichen, neuen Malware-Familie namens GoldenSpy. Sie versteckte sich innerhalb einer chinesischen Steuersoftware, deren Nutzung für alle in China tätigen Unternehmen vom China Tax Bureau (CTB) vorgeschrieben ist. Die Geschichte nahm aber eine unerwartete Wendung.

Trustwave entdeckte GoldenSpy im April 2020 bei einem Threat Hunting im Auftrag eines globalen Technologieanbieters. Neben diversen anderen Erkenntnissen wurde eine ausführbare Datei entdeckt, die Systeminformationen an eine verdächtige chinesische Domain sendete. Es stellte sich bald heraus, dass die Aktivität aus der Steuersoftware „GoldenTax” stammte, die von der Aisino Corporation entwickelt und vom CTB als Teil des Golden Tax-Systems vorgeschrieben wurde.

Bei den tiefergehenden Untersuchungen wurde festgestellt, dass die Software zwar wie angekündigt funktionierte, aber auch eine ausgefeilte Malware enthielt. Diese richtete eine Backdoor ein, durch die Cyberkriminelle remote Systembefehle ausführen konnten. Auf diese Weise hatten die Angreifer freie Hand, Daten abfließen zu lassen und Ransomware sowie andere Malware zu installieren – was sie alles in allem zu einer sehr gefährlichen Software macht.

gesponsert Insider Research im Gespräch

Die GoldenSpy Malware

Sich in einer offiziell vorgeschriebenen Steuersoftware zu tarnen, ist eine äußerst effektive und raffinierte Angriffsmethode. Alle Unternehmen, die geschäftlich in China tätig sein möchten, müssen diese Software installieren, um ihre Steuern einzureichen. Die wohl außergewöhnlichste Eigenschaft von GoldenSpy war jedoch möglicherweise ihre Fähigkeit, sich vor der Beseitigung zu schützen.

Was machte es so schwer, GoldenSpy zu entfernen?

Nach dem Reverse Engineering und weiteren Untersuchungen wurde festgestellt, dass die Entwickler von GoldenSpy sehr effektive mehrschichtige Abwehrmechanismen eingerichtet hatten, um das Fortbestehen der Malware sicherzustellen. Zunächst installierte die Malware immer zwei Versionen von sich selbst, die beide beim Start automatisch ausgeführt wurden. Diese beiden Kopien halten sich gewissermaßen gegenseitig den Rücken frei – wenn die eine nicht mehr läuft, wird sie von der anderen erneut gestartet. Wird eine Kopie gelöscht, installiert das Gegenstück ebenfalls einen Ersatz.

Da GoldenSpy in einer voll funktionsfähigen Steuersoftware versteckt ist, bedeutet dies, dass die meisten IT-Administratoren natürlich nicht zweimal darüber nachdenken, ihr die angeforderten erhöhten Berechtigungen zu erteilen. Demzufolge ist es unwahrscheinlich, dass sie ohne proaktives Threat Hunting überhaupt bemerken, dass etwas in ihrem System nicht in Ordnung ist. Selbst wenn die ursprüngliche Steuersoftware vollständig gelöscht wird, bleibt GoldenSpy bestehen – und hält die Backdoor weiter offen. Die Abwehrmaßnahmen dieser Malware sind somit sehr effektiv und machen sie ohne die Unterstützung durch erfahrene Sicherheitsexperten in den kompromittierten Unternehmensnetzwerken praktisch „unsterblich”.

Reaktion der Cyberkriminellen

So bemerkenswert die defensive Einrichtung von GoldenSpy auch ist, die Dinge wurden noch außergewöhnlicher, als Trustwave seine Forschungsergebnisse am 25. Juni 2020 veröffentlichte. Drei Tage später identifizierten die amerikanischen Sicherheitsexperten eine neue Datei, die von der Aisino Intelligent Tax Software heruntergeladen wurde. Doch statt einem neuen Angriffstool handelte es sich um ein Update, das sich ausschließlich darauf konzentrierte, alle Spuren von GoldenSpy zu beseitigen. Und es funktionierte wie durch Zauberhand: Obwohl die Sicherheitsexperten wussten, wonach sie suchen mussten – die Malware hatte sich in Luft aufgelöst.

Das Deinstallations­programm entfernte alle Registrierungseinträge, Dateien und Ordner, die in Zusammenhang mit GoldenSpy standen, bevor es sich letztendlich selbst endgültig löschte. Dabei wurden alle Löschvorgänge durchgeführt, ohne dass diesen vorab zugestimmt werden musste oder eine Benachrichtigung erfolgte.

Eine letzte Wendung trat auf, als Trustwave seine Entdeckung dieser Löschaktivitäten veröffentlichte. Innerhalb weniger Stunden wurde ein neues und verbessertes Deinstallationsprogramm herausgegeben, das speziell darauf ausgelegt war, die beschriebenen Erkennungsmethoden zu umgehen.

In der kurzen Zeitspanne zwischen der Entdeckung und der Löschung von GoldenSpy wurden keine schadhaften Aktivitäten der Malware festgestellt. Daher ist es möglich, dass diese nicht als Mittel für Cyberkriminalität genutzt werden sollte. Dennoch ist die voreilige und verdeckte Löschung äußerst verdächtig.

Ist dies das Ende von GoldenSpy?

Es bleibt zu hoffen, dass diese Niederlage die Kriminellen hinter der Aktion dazu inspiriert hat, ihre Fähigkeiten statt in verbrecherische Tätigkeiten doch eher in legitime Programmierungen einzubringen. Aber realistisch gesehen – obwohl dieser Angriffe von GoldenSpy manövrierunfähig gemacht wurden –, ist mit weiterer Malware von diesen Personen zu rechnen.

Diese Annahme wird dadurch untermauert, dass Trustwave kürzlich Beweise gefunden hat, die darauf hindeuten, dass die Gruppe hinter GoldenSpy gut organisiert und ausgestattet ist. Nach der Veröffentlichung der GoldenSpy-Erkenntnisse entdeckten die Sicherheitsexperten einen Vorgänger, genannt GoldenHelper. Diese ältere Malware verwendet eine nahezu identische Übermittlungsmethode, indem sie sich in der Golden Tax Invoicing Software (Baiwang Edition) versteckt. Dabei handelt es sich um eine weitere Steuersoftware, die von einer Tochtergesellschaft von Aisino – dem Entwickler der Software, in der sich GoldenSpy versteckte – hergestellt wurde.

GoldenHelper hat allerdings eine völlig andere Codebasis als GoldenSpy und verfügt über weitere ausgeklügelte Abwehrmechanismen. Dazu zählt die Randomisierung des Dateisystemspeicherorts und der Dateinamen während der Übertragung sowie die Änderung von Zeitstempeln. Trotz dieser Unterschiede lässt der äußerst ähnliche Modus Operandi vermuten, dass dieselben Entwickler dahinterstecken.

Obwohl noch kein klares Bild der Täter existiert, deuten die Anzeichen auf eine sehr qualifizierte und erfahrene Gruppe hin. Alle Unternehmen und Organisationen, die in China geschäftlich tätig sind, sollten sich daher auf künftige Angriffe vorbereiten, bei denen versucht wird, das Golden Tax System auszunutzen. Dies stellt Unternehmen vor eine schwierige Situation, da sie die vorgeschriebene Software herunterladen müssen, um das Steuerzahlungssystem einzuhalten – und nur zwei Unternehmen sind lizenziert, konforme Steuersoftware zu entwickeln. Unternehmen, die keine andere Wahl haben, als die Software zu installieren, sollten Vorkehrungen treffen, um etwaige versteckte Bedrohungen nach dem Vorbild von GoldenSpy und GoldenHelper zu erkennen. Proaktives Threat Hunting ist eine der effektivsten Methoden, um auch kleinste Anzeichen für die Aktivitäten einer solch gut versteckten Malware zu erkennen.

Über den Autor: Fred Tavas ist Country Manager DACH & CEE von Trustwave.

(ID:46993989)