Collector-Stealer, eine Schadsoftware russischen Ursprungs, wird im Internet häufig eingesetzt, um sensible Daten aus Endbenutzersystemen auszuschleusen und in den zugehörigen C&C-Panels zu speichern. Um die Branche bei der Abwehr dieser Bedrohung zu unterstützen, präsentieren Aditya K Sood und Rohit Chaturvedi vom Advanced Threat Research Center of Excellence im Office of the CTO von F5 eine umfassende Analyse der Collector-Stealer-Malware. Dabei decken sie verborgene Artefakte auf und beleuchten die Binäranalyse, die Funktionsweise sowie den Aufbau der zugehörigen C&C-Panels.
Collector-Stealer hat sich innerhalb relativ kurzer Zeit stark verbreitet. Die von der Malware gestohlenen Informationen werden in der Regel auf Untergrundmärkten für kriminelle Zwecke angeboten. Angreifer nehmen mit Collector-Stealer vor allem europäische Länder ins Visier, doch auch Nutzer in anderen Ländern wie den USA, China und Kambodscha sind betroffen.
Im Folgenden finden Sie einige der wichtigsten Erkenntnisse und interessanten Merkmale von Collector-stealer, die bei dieser Analyse aufgedeckt wurden:
- Collector-stealer nutzt mehrere Methoden, um eine Infektion einzuleiten, darunter:
- Nutzer werden dazu verleitet, Phishing-Portale zu besuchen, die kostenlose Spiele-Downloads anbieten
- Softwarepakete zur Aktivierung bzw. zum Cracken von Windows
- Gefälschtes Miner-Webportal (ein Webportal, das ähnliche Inhalte wie das Portal eines Anbieters von Kryptowährungssoftware nachahmt, um Drive-by-Download-Angriffe auszulösen)
- Collector Stealer ist in C++ geschrieben und infiziert den Rechner des Benutzers, um wichtige Daten wie gespeicherte Passwörter, Webdaten, Cookies, Screenshots und weitere Informationen zu stehlen. Die Malware-Autoren setzten in ihrem Code Verschleierungstechniken ein, um die Analyse durch Sicherheitsforscher zu erschweren und den Code komplexer zu gestalten.
- Bevor Collector-Stealer Daten an den C&C-Server sendet, überprüft er die Internetverbindung auf dem Rechner des Opfers, indem er die IP-Adresse 1.1.1.1 des DNS-Resolvers von Cloudflare anpingt. Schlägt die Ping-Anfrage fehl, löscht er die ausführbare Datei zusammen mit den gesammelten Daten vom Rechner des Opfers und beendet sich anschließend unbemerkt. Andernfalls sendet er die gesammelten Daten an den C&C-Server.
- Collector-Stealer verwendet das HTTP-Protokoll und die POST-Methode, um die gesammelten Daten zu übertragen. Vor der Übertragung komprimiert die Malware die Daten in eine .zip-Archivdatei, die anschließend an den C&C-Server gesendet wird.
Collector-Stealer erfreute sich aufgrund seines großen Funktionsumfangs in Untergrundforen zunehmender Beliebtheit. Wir haben beobachtet, dass viele Nutzer Interesse am Kauf dieser Malware zeigten, und einige Gruppen versuchten sogar, eine gecrackte Version anzubieten. Die russische Gruppe „Hack_Jopi“ verkauft Collector-Stealer seit Oktober 2018 in Foren.
Die vollständige Forschungsarbeit mit einer detaillierten Analyse dieser Malware wurde im Virus Bulletin veröffentlicht. Die Forschungsarbeit, in der die oben genannten und weitere Erkenntnisse ausführlicher behandelt werden, finden Sie unter:
https://www.virusbulletin.com/virusbulletin/2021/12/collector-stealer-russian-origin-credential-and-information-extractor/
Viel Spaß!
Über die Autoren
Ähnliche Blogbeiträge
Ein umfassender Leitfaden zur Bereitstellung und Sicherheit von KI-Anwendungen
Entdecken Sie optimale Strategien für die Absicherung und Bereitstellung von KI-Anwendungen.
KI zulassen und einführen? Lehren aus der Public Cloud
Die Einführung von KI steht unmittelbar bevor und könnte entscheidend sein, um wettbewerbsfähig zu bleiben. Daher muss die IT-Sicherheit proaktiv handeln und der KI-Einführung schon jetzt einen Schritt voraus sein, um sie auf einen risikogerechten Weg zu lenken.
Stand der Anwendungsstrategie 2022: Zeit für die Modernisierung des Betriebs
Es ist deutlich geworden, dass Unternehmen ihren Fokus erneut auf die Geschäftsfunktionen richten müssen, um die Dynamik ihrer digitalen Transformation aufrechtzuerhalten. Kundenerlebnisse haben zwar weiterhin Priorität, doch auch Geschäftsfunktionen wie Recht, Personalwesen und Finanzen müssen digitalisiert werden. Das bedeutet, dass CIOs das Steuer übernehmen, während sich die digitale Transformation von der Modernisierung von Anwendungen hin zur Modernisierung von Betriebsabläufen verlagert.
F5s Weg zu einer vielseitigen Plattform für Anwendungsanalysen
F5 bietet heute die umfassendsten Anwendungsdienste entlang des gesamten Weges vom Code bis zum Kunden. Künftig werden wir verstärkt auf Anwendungstelemetrie und -analysen setzen, damit unsere Kunden wertvolle Erkenntnisse über ihre Anwendungen, Geschäftsabläufe und Benutzererlebnisse gewinnen können. Beim Ausbau unserer Cloud-Analysefunktionen werden wir ML und KI noch stärker nutzen, um unsere Kunden bei der Verbesserung ihrer Geschäftsdienste zu unterstützen.
Telemetrie: Eine andere Art von Daten
Verwenden wir den Begriff „Telemetrie“ nur, weil er attraktiver klingt als „Daten“? Letztlich sind sowohl Daten als auch Telemetrie strukturierte Informationseinheiten. Es ist kein Verbrechen, die Begriffe synonym zu verwenden. Doch wenn man es genau nimmt, gibt es einen Unterschied. Und dieser Unterschied wird immer wichtiger werden, je weiter Unternehmen in die Datenökonomie vordringen.
MTTR bedeutet nicht „Mean Time to Reboot“
„Schnell scheitern“ lautet heute das Mantra für mehr Geschwindigkeit. Ob in DevOps oder im Geschäftsleben: Wer in einer digitalen Wirtschaft agiert, muss eine möglichst perfekte Verfügbarkeit gewährleisten.