Steganographie bei Audiodateien Versteckte Malware in WAV-Dateien

Cyberkriminelle finden immer neue Wege, um Malware in Zielsysteme einzuschleusen. Eine neue und besonders unauffällige Methode ist es Schadcode in Audio-Dateien zu verstecken. Experten für Threat Research von BlackBerry Cylance können die bisher entdeckten, schädlichen WAV-Datei-Loader, in drei Kategorien einteilen.

Anbieter zum Thema

FTAPI Software GmbH

BlackBerry Deutschland GmbH

Ein im vergangenen Jahr entdeckter Malware-Code, der in WAV-Audiodateien eingebettet ist, basiert auf einer Methodik aus dem Spektrum Steganographie. Bei dem Verfahren verstecken Hacker die schädlichen Codes in normal aussehenden Dateien. Jede betroffene Datei war mit einer Ladekomponente zum Dekodieren und Ausführen von bösartigen Inhalten gekoppelt, die heimlich in die Audiodaten der Datei eingearbeitet waren. Bei der Wiedergabe erzeugten einige der WAV-Dateien Musik, die keine erkennbaren Qualitätsprobleme oder Störungen aufwies; andere gaben lediglich weißes Rauschen wieder.

Die Analyse der Experten von BlackBerry Cylance hat unter anderem offengelegt, dass einige der WAV-Dateien Code enthalten, der mit dem XMRig Monero Krypto-Miner verbunden ist. Andere beinhalteten Metasploit-Code, mit dem eine Reverse-Shell erstellt wurde. Beide „Ladungen“ wurden in derselben Umgebung entdeckt – ein Hinweis auf eine zweigleisige Kampagne: Die Malware soll möglicherweise kriminellen Krypto-Mining-Aktivitäten den Weg bereiten. Das Prinzip dahinter: Mit der Bereitstellung der infizierten Audiodatei auf dem Computer wird das versteckte bösartige Programm aktiviert. Dieses verbindet sich mit einem Befehls- und Steuerungsserver und richtet so die Möglichkeit eines Fernzugriffs auf das attackierte Netzwerk ein. Der externe Server übernimmt anschließend das Kommando und aktiviert heimlich den Krypto-Miner für den Abbau von Krypto-Währung.

Bedrohung durch verschiedene Varianten versteckter Malware

Die WAV-Datei-Loader können in drei Kategorien eingeteilt werden: Zum einen Loader, die Steganographie des Least Significant Bit (LSB) nutzen, um eine PE-Datei zu dekodieren und auszuführen. Der zweite Typ sind Loader, die einen rand()-basierten Algorithmus zum Dekodieren und Ausführen einer PE-Datei verwenden. Als dritte Form wurden Loader entdeckt, die rand()-basierte Algorithmen verwenden, um Shellcode zu dekodieren und auszuführen.

Jeder der drei Ansätze ermöglicht es dem Angreifer, Code aus einem ansonsten gutartigen Dateiformat auszuführen. Die Techniken zeigen, dass ausführbare Inhalte theoretisch in jedem Dateityp verborgen sein könnten – vorausgesetzt, der Angreifer beschädigt nicht die Struktur und Verarbeitung des Containerformats. Grundsätzlich führt diese Strategie zu einer zusätzlichen Verschleierung, da der zugrunde liegende Code nur im Speicher offenbart wird, was die Erkennung schwieriger macht.

Zu erwähnen ist außerdem, dass der entdeckte Steganografie-Loader auch im Juni 2019 in einer Symantec-Studie über die Aktivitäten von Waterbug/Turla-Akteuren identifiziert wurde. Darüber hinaus entdeckte Symantec WAV-Dateien, die verschlüsselten Metasploit-Code enthielten. Derlei Ähnlichkeiten können auf eine Beziehung zwischen den Angriffen hinweisen, obwohl die endgültige Zuordnung schwierig ist, da verschiedene Akteure ähnliche Werkzeuge verwenden können. Auch die jüngst veröffentlichte Analyse von BlackBerry Cylance konzentriert sich in erster Linie auf Loader, die den Anstoß dazu geben, zusätzlichen Code zu starten. Um unabhängige Malware auf einer zweiten Stufe auszuführen, können verschiedene Bedrohungsakteure denselben öffentlich zugänglichen Loader verwenden.

Reverse Engineering liefert nützliche Hinweise

Die betreffende Malware konnte auf Windows Servern und Desktops nachgewiesen werden. Eine Variante setzte einen Code ein, den bereits die Turla-Hacker verwendet hatten. Als grundverschieden davon erwies sich hingegen eine zweite Variante. Bei dem vorgefundenen Angriffsmuster sollte die Steganographie dem Zweck dienen, den Metasploit-Backdoor-Code zu verbergen. Unter Hackern und Cyberkriminellen ist es ein übliches Vorgehen, sich durch Hintertüren Zugang zu IT-Netzwerken zu verschaffen. Allerdings war es im Kontext Steganographie bislang nicht üblich, Angriffe auf einzelne User auszurichten. In den vorliegenden Fällen wurden jedoch Spear-Phishing-Techniken verwendet, um die betroffenen WAV-Dateien per E-Mail ans Ziel zu bringen. Das Vorgehen spricht für einen pointierten Angriff, der gerade nicht auf eine möglichst breite Wirkung ausgelegt war. Stattdessen scheint es, Reverse-Shell (Loader und WAV mit Meterpreter) seien zu dem Zweck installiert worden, die anderen Loader und WAV-Dateien herunterzuladen.

Es ist kein Geheimnis, dass die Erfolgsaussichten von Cyberangriffen davon abhängen, wie gut die Attacke getarnt ist. Und in genau diesem Punkt zeigt sich die Brisanz des vorliegenden Angriffsmusters: Dadurch, dass ausführbare Inhalte in einem ansonsten gutartigen Dateiformat versteckt sind, wird die Erkennung enorm erschwert. Grundsätzlich zeugt die Anwendung von Steganographie von einer beträchtlichen Expertise aufseiten der Cyberkriminellen, die in der Regel großen Aufwand treiben, um entsprechende Techniken zu entwickeln. Dringen die Details solcher Methoden beispielsweise durch Beiträge in Blogs und Foren an eine breitere Öffentlichkeit, werden dadurch auch andere Angreifer in die Lage versetzt, Techniken von OceanLotus oder Turla zu kopieren und einzusetzen.

Fazit

Angreifer legen mit ihrem Ansatz zur Ausführung von schädlichem Code einschließlich der Verwendung mehrerer Dateien mit unterschiedlichen Dateiformaten eine enorme kriminelle Kreativität an den Tag. Die Experten von BlackBerry Cylance haben mehrere entdeckt, die bösartigen Code aus WAV-Audiodateien extrahieren und ausführen. Die detaillierte Analyse ergab, dass die Urheber der Angriffe eine Kombination aus Steganographie und anderen Kodierungstechniken verwendeten, um Code zunächst zu verbergen und anschließend auszuführen – ein Vorgehen, das die Erkennung zu einer überaus schwierigen Aufgabe macht. In diesem Fall bestanden die vorrangigen Ziele der Angreifer darin, sowohl Kryptomining-Aktivitäten durchzuführen als auch eine Verbindung herzustellen, um von außen die Kontrolle über Teile des Netzwerks zu übernehmen. Doch trotz aller kriminellen Raffinesse der Angreifer sind User diesen Attacken keineswegs schutzlos ausgeliefert. Mithilfe ausgereifter Anti-Exploitation-Funktionen, die bereits heute in besonders fortschrittlichen Sicherheitsprodukte integriert sind, lässt sich die Ausführung schädlicher Ladungen aus den Dateien im Speicher wirksam verhindern.

Über den Autor: Josh Lemos ist Vice President of Research and Intelligence bei BlackBerry Cylance.

(ID:46330687)