Cyberkriminelle setzten staatlich entwickelte Malware ein

Offenbar setzen Cyberkriminelle Malware ein, die für staatliche Spionage entwickelt wurde. Wie die Sicherheitsfirma Sentinel Labs mitteilt, könne die “Gyges” genannte Schadsoftware modifiziert werden, um als Rootkit oder Rasomware eingesetzt zu werden.

Im März haben die Sicherheitsforscher Gyges entdeckt, so das Unternehmen. Wahrscheinlich stamme es aus Russland. Gyges sei “praktisch unsichtbar” und könne längere Zeit operieren, ohne entdeckt zu werden.

“Es ist für uns keine Überraschung, dass diese Art von staatlicher Spionage-Malware irgendwann in die Hände von Cyberkriminellen gefallen ist”, heißt es in dem Untersuchungsbericht (PDF). “Gyges ist ein erstes Beispiel dafür, wie fortschrittliche Techniken und Code, die von Regierungen für Spionage entwickelt wurden, tatsächlich einem neuen Zweck zugeführt, modularisiert und mit anderer Malware gebündelt werden, um Internetverbrechen zu begehen.”

Die Forscher haben Gyges mit geräteinternen heuristischen Sensoren entdeckt. Sie könne aber viele Intrusion-Prevention-Systeme umgehen, erklärt Sentinal Labs. Damit die Malware nicht erkannt wird, setze sie ausgeklügelte Techniken ein. Zudem verfüge sie über weniger bekannte Techniken, mit denen es ein System infiltrieren kann. Aktiv werde die Malware, wenn der Nutzer seine Arbeit einstelle. Dahingegen werden viele andere Schadprogramme tätig, sobald der Nutzer seine Arbeit beginne. Damit versuche Gyges, eine Erkennung durch Sandbox-basierte Sicherheitstools zu umgehen.

In Gyges kommt darüber hinaus eine Technik namens Hooking-Bypass zum Einsatz. Diese nutzt einen Fehler in der Log-Funktion von Windows 7 und 8 aus. Die Malware kann sich außerdem vor Debugging und Reverse-Engineering schützen. Die Schutzvorrichtung “Yoda” beseitigt alle Aktivitäten, indem sie sie in mehrere Bereiche aufteilt.

Laut Sentinel Labs kam Gyges offenbar bereits zusammen mit einer Ransomware zum Einsatz. Des Weiteren bestehe die Möglichkeit, Schadcode für Keylogger, die Erstellung von Screenshots und Datendiebstahl gemeinsam mit Gyges in ein System einzuschleusen. Gyges ermöglicht außerdem weniger weit entwickelter Schadsoftware höhere Infektionsraten und eine längere Verweildauer auf einem System. Gerade im Zusammenhang mit einer Ransomware könne es Cyberkriminellen helfen, Geld von ihren Opfern zu erpressen.

“Die Gyges-Variante zeigt nicht nur, dass Malware immer ausgereifter wird, sondern auch, dass die Grenzen zwischen staatlicher Malware und Mainstream-Schadcode immer weiter verwischen”, teilte Sentinel Labs mit. Die Tatsache, dass sich ein “Carrier”-Schadcode mit jeder anderen Art von Malware kombinieren lasse, um im Verborgenen Angriffe durchzuführen, sei ein weiterer Hinweis darauf, dass die derzeitigen Sicherheitsansätze für die Erkennung fortschrittlicher Bedrohungen nicht mehr ausreichend seien.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de