Bumblebee: Cybererpresser setzen auf neue Malware zur Verbreitung von Ransomware

Symantec hat eine neue Form von Schadsoftware analysiert, die sich zu einer Schlüsselkomponente bei Ransomware-Angriffen entwickelt hat. Die Forscher fanden Verbindungen zwischen der Bumblebee genannten Malware und den Ransomware-Gruppen Conti, Mountlocker und Quantum.

„Die Verbindungen von Bumblebee zu einer Reihe hochkarätiger Ransomware-Operationen deuten darauf hin, dass es sich jetzt im Epizentrum des Ökosystems der Cyberkriminalität befindet”, so Vishal Kamble, Principal Threat Analysis Engineer im Threat Hunter-Team von Symantec.

Wie Bumblebee von den Cybererpressern eingesetzt wird fanden die Symantec-Forscher bei der Untersuchung der jüngsten Angriffe mit der Ransomware Quantum heraus. Demnach beginnen die Attacken mit Phishing-E-Mails, an die eine ISO-Datei angehängt wurde. Diese Datei versteckt den Loader Bumblebee, der wiederum auf dem Rechner eines Opfers ausgeführt wird, falls der Anhang geöffnet wird.

Bumblebee ersetzt Trickbot

Bumblebee richtet dann eine Hintertür ein, über die ein Angreifer die vollständige Kontrolle übernehmen und Befehle ausführen kann. Diese Fähigkeiten nutzen sie, um das eigentlich legitime Pentest-Tool Cobalt Strike einzuschleusen. Es erweitert den Zugriff auf das System.

Erst danach wird den Forschern zufolge Bumblebee benutzt, um die eigentliche Ransomware Quantum zu installieren und alle Dateien auf dem System des Opfers zu verschlüsseln. Ähnliche Techniken würden auf für die Conti- und Mountlocker-Kampagnen benutzt. „Bumblebee wurde möglicherweise als Ersatz-Loader für Trickbot und BazarLoader eingeführt, da es gewisse Überschneidungen zwischen den jüngsten Aktivitäten mit Bumblebee und älteren Angriffen gibt, die mit diesen Loadern in Verbindung stehen“, ergänzte Symantec.

„Jedes Unternehmen, das eine Bumblebee-Infektion in seinem Netzwerk entdeckt, sollte diesen Vorfall mit hoher Priorität behandeln, da er der Weg zu mehreren gefährlichen Ransomware-Bedrohungen sein könnte”, warnte Symantec. Unternehmen sollten unter anderem Nutzerkonten mit einer Zwei-Faktor-Authentifizierung schützen und verfügbare Sicherheitspatches zeitnah einspielen, um mögliche Ransomware-Angriffe zu verhindern.