Neuer Rust-basierter Infostealer entdeckt Warnung vor „EddieStealer“ mit Tarnung als CAPTCHA-Prüfung

Anbieter zum Thema

Elasticsearch GmbH C/o TMF München Germany Elasticsearch GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Elastic Security Labs hat eine neue Rust-basierte Malware namens „EddieStealer“ entdeckt, die Windows-Systeme gezielt über gefälschte CAPTCHA-Seiten angreift. Kompromittierte Websites führen Nutzer zu scheinbar harmlosen Sicherheitsüberprüfungen, hinter denen sich jedoch ein komplexer Infektionsweg verbirgt.

Elastic Security Labs hat eine neue Malware entdeckt, die gezielt Windows-Systeme angreift und dabei auf moderne Tarnmechanismen setzt. Die Schadsoftware namens „EddieStealer“ ist in der Programmiersprache Rust geschrieben und wird über gefälschte CAPTCHA-Seiten verteilt. Dabei nutzen die Angreifer kompromittierte Webseiten, die dem Nutzer vorgeben, eine Sicherheitsüberprüfung nach dem Schema „Ich bin kein Roboter“ durchführen zu müssen. Hinter diesem scheinbar harmlosen Interface verbirgt sich ein komplexer Infektionsweg, der in einer vollständigen Kompromittierung des betroffenen Systems enden kann.

Im ersten Schritt blendet das manipulierte CAPTCHA-Fenster eine Anweisung ein, mit der ein PowerShell-Befehl in die Zwischenablage des Nutzers kopiert wird. Der Nutzer wird anschließend aufgefordert, diesen Befehl über das Ausführen-Menü (Windows + R) einzufügen und zu bestätigen. Damit beginnt die stille Infektion des Systems. Das PowerShell-Skript lädt im Hintergrund weitere Komponenten von Servern, die unter Kontrolle der Angreifer stehen. In mehreren Schritten wird schließlich die Hauptkomponente – die ausführbare Datei von EddieStealer – in das System eingeschleust.

Threat Insights Report

Gefälschte Captchas verbreiten Malware

Zielgerichtete Datenspionage

EddieStealer ist darauf ausgelegt, gezielt sensible Informationen zu sammeln. Dazu gehören unter anderem Zugangsdaten, Browser-Historien, gespeicherte Passwörter, Krypto-Wallet-Dateien sowie Informationen aus FTP-Clients und Messaging-Anwendungen. Die Malware arbeitet mit einer Konfigurationsdatei, die sie direkt vom Command-and-Control-Server erhält. Diese Datei legt fest, welche Dateipfade und Anwendungen durchleuchtet werden sollen. Die gestohlenen Daten werden anschließend verschlüsselt und an den Server der Angreifer zurück­übermittelt.

Besonders kritisch ist, dass EddieStealer auf die moderne Programmiersprache Rust setzt. Diese erlaubt es, Malware mit hoher Stabilität, geringer Fehleranfälligkeit und effektiver Tarnung gegenüber herkömmlichen Analysemechanismen zu entwickeln. Zudem ist Rust dafür bekannt, dass die daraus kompilierten Binärdateien schwerer zu analysieren sind als vergleichbare Malware in C oder C++. Die eingesetzten Techniken umfassen unter anderem verschlüsselte Strings, individuell entwickelte API-Resolver sowie Methoden zur dynamischen Initialisierung von Ressourcen, um die statische Analyse zu erschweren.

Evasion Tactics

Wie Hacker unsere Sicherheits­lösungen austricksen

Selbstlöschung und Sandbox-Erkennung

Nach Ausführung löscht sich EddieStealer auf Wunsch selbst vom System – unter Nutzung von NTFS Alternate Data Streams. Dabei wird der Dateiname umbenannt und anschließend ein Löschflag gesetzt, das die Datei nach dem Schließen des Handles automatisch entfernt. Diese Technik erschwert forensische Untersuchungen erheblich.

Ein weiteres Merkmal ist die gezielte Ausnutzung von Schwächen in der Systemumgebung. Beispielsweise prüft die Malware vor der Ausführung, ob mehr als vier Gigabyte physischer Arbeitsspeicher vorhanden sind. Diese Prüfung dient dazu, Sandbox- oder Analyseumgebungen zu erkennen und bei Bedarf die Ausführung zu unterbinden.

Auffällige Netzwerkkommunikation

Die Datenübertragung zwischen infiziertem Client und C2-Infrastruktur erfolgt über unverschlüsselte HTTP-Verbindungen. Dabei wird zunächst ein Identifikator an den Server gesendet, anschließend folgen die gesammelten Daten in separaten POST-Anfragen, jeweils pro bearbeiteter Aufgabe. Diese Struktur der Netzwerkkommunikation lässt sich gut identifizieren und bietet erste Anhaltspunkte für Sicherheitslösungen zur Erkennung.

Darüber hinaus integriert EddieStealer Techniken zur Umgehung von Sicherheitsfunktionen in modernen Browsern. In einer Variante der Malware wird etwa ein Chrome-Prozess im Hintergrund mit aktivierter Remote-Debugging-Schnittstelle gestartet. Darüber interagiert EddieStealer mit dem internen Passwort-Manager des Browsers, ohne dass der Nutzer dies bemerkt. Die Anmeldedaten werden direkt aus dem Speicher extrahiert.

Embargo Ransomware

Raffinierte Ransomware-Bande killt Security-Lösungen

Wie sich EddieStealer entwickelt und verbreitet

Auch die Verbreitung der Malware ist bereits fortgeschritten. Elastic konnte mindestens 15 unterschiedliche Varianten identifizieren, die über ähnliche Infrastrukturen verteilt werden. Dazu zählen Server unter Domains wie llll.fit, shiglimugli.xyz oder xxxivi.com. Teilweise nutzen die Angreifer auch legitime Hosting-Dienste, um einzelne Komponenten wie PowerShell-Skripte oder JavaScript-Dateien zwischenzulagern.

Die Malware ist modular aufgebaut und wird kontinuierlich weiterentwickelt. Neuere Varianten zeigen zusätzliche Funktionen zur Systemanalyse, etwa zur Erkennung von GPU-Modellen, CPU-Typen oder laufenden Prozessen. Die Kommunikation mit dem Command-and-Control-Server wurde inzwischen so angepasst, dass zunächst die Systemdaten übermittelt werden, bevor der Server entscheidet, ob er überhaupt eine Konfiguration zur weiteren Ausführung bereitstellt. Dies deutet darauf hin, dass serverseitig Prüfungen durchgeführt werden, um sicherzustellen, dass kein Analyse- oder Sandbox-System angegriffen wird.

Cyberkriminelle und staatliche Akteure

Social-Engineering-Kampagne ClickFix findet immer mehr Opfer

Empfehlungen zur Erkennung und Abwehr

Elastic hat im Rahmen der Analyse eigene YARA-Regeln veröffentlicht, um EddieStealer anhand charakteristischer Muster zu erkennen. Zudem sind mehrere Indikatoren wie IP-Adressen, Hashwerte und Domänennamen öffentlich dokumentiert, um Sicherheitsverantwortlichen die Möglichkeit zu geben, eigene Systeme auf mögliche Infektionen zu überprüfen.

Angesichts der gezielten und technisch ausgefeilten Natur dieser Kampagne rät Elastic dringend zur Überprüfung betroffener Systeme auf ungewöhnliche PowerShell-Aktivitäten, verdächtige Netzwerkverbindungen sowie Dateien mit ungewöhnlichen Namen im Download-Ordner. Auch Endnutzer sollten sensibilisiert werden, keine Anweisungen auf dubiosen CAPTCHA-Seiten zu befolgen, insbesondere wenn dabei manuelle Eingaben oder das Ausführen von Befehlen gefordert werden.

Über den Autor: Devon Kerr ist Director Security Research bei Elastic.

(ID:50453594)