Backdoor kann Krypto-Malware und Ransomware nachladen Pikabot-Malware nutzt PDF-Anhänge und OneDrive für Angriffe

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Cyberkriminelle nutzen wieder vermehrt die Pikabot-Malware für Angriffe. Diese Schadsoftware nutzt eine Spam-Mail-Kampagne und PDF-Dateien, um in Netzwerke einzudringen. Außerdem versucht Pikabot den Eindruck zu erwecken, die PDF-Datei stamme aus Microsoft OneDrive.

Die Angreifer hinter Pikabot konzentrieren sich oftmals auf einzelne Länder im europäischen Raum. Zuletzt waren Großbritannien und Norwegen auf der Liste. Die Wahrscheinlichkeit, dass die Angriffe bald auf andere europäische Länder ausgedehnt werden, ist recht hoch. Betreiben Unternehmen aus dem DACH-Raum bereits Niederlassungen in diesen Ländern oder arbeiten sie mit Unternehmen aus Norwegen und Großbritannien zusammen, ist es hoch­wahr­schein­lich, dass sie bereits auf der Liste der Angreifer stehen.

Bildergalerie

Bildergalerie mit 7 Bildern

Wieder einmal Angriffe mit Social Engineering

Wie so oft, nutzt auch die aktuelle Angriffskampagne dieser Art Social Engineering-Techniken. Die E-Mails sind so formuliert, als ob sie Teil einer wichtigen Unterhaltung sind. Das beeinflusst die Empfänger dahingehend, dass sie sensible Informationen preisgeben, die wiederum von Angreifern genutzt werden. Es handelt sich bei der aktuellen Kampagne also nicht nur um das einfache versenden von Spam-Mails, sondern um gezielte Angriffe, die aggressiv Informationen auslesen sollen. Unternehmen sollten ihre Anwender darauf vorbereiten, dass vermutlich auch bald andere Länder in das Szenario eingebunden werden. Der Header der E-Mail ist gut gemacht und lässt sich auf den ersten und zweiten Blick nicht als Angriffs-E-Mail einer Phishing-Attacke identifizieren. Durch den Unterhaltungs-Charakter identifizieren Malware-Scanner diese Art von E-Mails ebenfalls nicht immer zuverlässig.

Malware-Datei nutzt PDF und OneDrive-Links

Die Angriffswelle nutzt eine zufällig benannte PDF-Datei, sodass Anwender nicht zuverlässig informiert werden können, um welchen Dateinamen es sich genau handelt. Außerdem versucht die Malware den Eindruck zu erwecken, die Datei stamme aus Microsoft OneDrive. Da viele Unternehmen auf Microsoft 365 setzen und Anwender ohnehin häufig Anhänge über den Microsoft Cloud-Speicher erhalten, wirken diese E-Mails unverdächtig. Nutzer sollten deshalb darüber informiert werden, bei extern zugestellten PDF-Dateien mit OneDrive-Verbindung Vorsicht walten zu lassen. Der Download der Datei soll über die OneDrive-Schaltfläche erfolgen. Klicken Anwender die Schaltfläche an, erscheint eine Fehlermeldung. Spätestens dann sollte man Verdacht schöpfen, auch wenn es dann bereits zu spät sein kann. Derzeit ist das PDF-Dokument selbst noch voller Schreib- und Grammatikfehler, und auch die OneDrive-Maske ist nicht selten fehlerhaft. Auf den ersten Blick ist das nicht unbedingt ersichtlich, informierte Anwender sollten aber hier schon misstrauisch werden.

Angriff erfolgt mit bösartigem JavaScript-Code

Klicken Anwender auf die Links der E-Mails, wird ein bösartiger JavaScript-Code der Seite „hxxps[:]//globaltravelevent[.]com/mdmb/?TitfrLmD“ ausgeführt. Im Rahmen der Code-Ausführung lädt die E-Mail den Code der Pikabot-Malware herunter. Das Szenario ermöglicht aber flexible Angriffsmethoden, sodass es nicht unwahrscheinlich ist, dass bei weiteren Kampagnen dieser Art auch an anderen Stellen bereits Malware heruntergeladen wird.

Der aktuelle Code der eingesetzten Pikabot-Malware ist seit 2023 bekannt. Die Malware ermöglicht Angreifern Zugang zu den Systemen und damit die Möglichkeit weitere Malware nachzuladen, zum Beispiel Ransomware oder Krypto-Malware. Auch Datendiebstahl ist in Zusammenhang mit Pikabot keine Seltenheit. Experten erkennen zudem Ähnlichkeiten zwischen Pikabot und der QakBot-Malware. Dazu gehören Loader-Funktionen, ähnliche Infektionsketten und sehr ähnliche URL-Strukturen. Es scheint so zu sein, als ob sich Pikabot stark an QakBot orientiert.

Bildergalerie

Bildergalerie mit 7 Bildern

Pikabot schützt sich selbst durch eine Datenverschlüsselung, mit der die notwendigen Codebereiche abgeschirmt werden sollen, welche die Malware braucht. Dabei werden RC4-entschlüsselte Daten als gültige Base64-Zeichenfolge gespeichert und als Base64 dekodiert. Zusätzlich kommen AES-CBC-Verschlüsselung zum Einsatz.

Die Entwickler von Pikabot agieren dabei gleichermaßen aggressiv wie raffiniert. In den Quellcode wird nutzloser Code eingebunden, der Malware-Scanner und Forscher verwirren sollen. Die sogenannte „Garbage Code Insertion“ soll es erschweren, den eigentlichen Code der Malware zu verstehen und damit zuverlässig blockieren zu können.

Pikabot sammelt Informationen des kompromittierten PCs

Parallel zu anderen Aktionen sammelt Pikabot Daten des befallenen Rechners. Diese lassen sich dann für weitere Angriffe verwenden. Zu diesen Informationen gehören:

• Name des Computers

• Bildschirmauflösung des Computers

• CPU-Informationen

• Informationen zum Betriebssystem

• Produkttyp des Betriebssystems

• Kapazität des RAM-Speichers

• Laufende Prozesse

• Domänenname des Computers der Opfer

Darüber hinaus sammelt Pikabot auch Netzwerkdaten des PCs, zum Beispiel mit „netstat.exe“, „ipconfig.exe“, und „whoami.exe“. Damit wollen die Entwickler vermutlich Daten sammeln, um sich nach dem Befall seitwärts im Netzwerk zu bewegen und zusätzliche PCs zu befallen. Dabei ist nicht unwahrscheinlich, dass weitere Lücken genutzt werden, um auch andere Rechner zu kompromittieren. Es ist außerdem denkbar, dass Pikabot versucht intern Nachrichten zu versenden. Auch das mit dem Ziel, weitere Rechner zu infizieren.

Bildergalerie

Bildergalerie mit 7 Bildern

Wie können sich Unternehmen vor Pikabot schützen?

Zunächst sollten die Mitarbeiter über die aktuellen Angriffe informiert werden. Wichtig ist, die Benutzer zu sensibilisieren, nicht einfach auf Links in E-Mails zu klicken, die vermeintlich ein PDF aus OneDrive enthält. Wie immer in solchen Fällen sollten Anwender auf Rechtschreib- und Grammatikfehler achten. Dadurch lassen sich diese Art der Angriffe (noch) erkennen. Im Zweifel sollten E-Mails fotografiert und Experten befragt werden. Der wichtigste Schutz ist und bleibt die Sensibilisierung der Anwender, damit sie verstehen, wie solche Angriffe ablaufen.

Über den Autor: Oliver Paterson ist Director of Product Management bei VIPRE Security Group.

(ID:49981612)