Malspam-Kampagnen sind ein wichtiges Medium zur Verbreitung von Malware. Wir haben bereits über solche Kampagnen berichtet, die MS-Office-Dateien mit schädlichen Makros und Sicherheitslücken nutzen. Kürzlich beobachteten wir eine Spam-Kampagne, die URL-Dateien als First-Stage-Downloader nutzte, um Malware zu verbreiten und Sicherheitsfunktionen zu umgehen.
Am 13. September 2016 veröffentlichte Microsoft das Sicherheitsbulletin MS16-104 [1], das mehrere Schwachstellen im Internet Explorer behob. Eine dieser Schwachstellen war CVE-2016-3353 – ein Fehler in der Verarbeitung von „.URL“-Dateien, der es ermöglichte, eine Sicherheitsfunktion zu umgehen. Diese Sicherheitslücke erlaubt zwar nicht direkt die Ausführung von Schadcode, ermöglicht Angreifern aber, eine Sicherheitswarnung bei Angriffen mit Benutzerinteraktion zu umgehen.
Quarkslab weist darauf hin, dass Angreifer dem Zielbenutzer eine speziell präparierte .URL-Datei senden können, die die Sicherheitslücke ausnutzt. Die ZDI-Warnung ZDI-16-506 besagt hingegen: „Öffnet das Opfer die .URL-Datei, kann der Angreifer beliebigen Code auf dem Rechner des Opfers im Kontext des Benutzers ausführen.“ ZDI erwähnt außerdem, dass der Fehler von Eduardo Braun Prado entdeckt wurde.
Referenz:
Analyse von MS16-104: Umgehung der Sicherheitsfunktion bei .URL-Dateien (CVE-2016-3353)
Hier ist eine detaillierte Analyse einer solchen Malspam-Kampagne von Seqrite Labs.
Was sind URL-Dateien?
Eine URL-Datei ist eine Verknüpfungsdatei, auf die Webbrowser wie Microsoft Internet Explorer (MSIE), Apple Safari und Google Chrome verweisen. Die URL-Datei enthält die Informationen zur URL-Adresse einer Website und kann auch Verweise auf die Datei favicon.ico enthalten, die als Symbol für die URL-Verknüpfung angezeigt wird. Wenn ein Benutzer auf dieses Symbol klickt, wird auf die URL-Datei verwiesen, und der Internetbrowser des Benutzers startet die Webseite, auf die die URL verweist.
Diese Dateien stellen zwar keine große Bedrohung dar, können aber zum Erstellen schädlicher Links missbraucht werden. Die Besonderheit dieser Kampagne liegt nicht nur in der Verwendung dieses Dateityps, sondern auch in seiner Konfiguration.
Bei unserer Beobachtung haben wir nur bestimmte URLs gefunden. In dieser Kampagne werden anstelle von URLs direkte Dateilinks verwendet, über die die JS-Dateien heruntergeladen werden.
Abb. 1 unten zeigt ein Beispiel des Inhalts der erwähnten URL-Datei.
Abb. 1: Inhalt der URL-Datei
Diese Kampagne wird üblicherweise für den Zugriff auf das lokale Dateisystem verwendet. Sie kann auch für Remote-Dateisysteme verwendet werden, auf die über das SMB-Protokoll unter Windows zugegriffen wird. Es handelt sich um eine neue Verbreitungstechnik zur Verbreitung von Malware über das SMB-Protokoll als Eingangskanal.
Infektionsroutine
Der Angriff in dieser Kampagne beginnt mit einer Spam-E-Mail. Diese E-Mail enthält eine ZIP-Datei. Dieser Trick bietet dem Angreifer folgende Vorteile:
- Die E-Mail sieht für den Zielbenutzer legitimer aus
- Für die Sicherheitsmodule des E-Mail-Schutzes ist es schwierig, Dateien in ZIP-Dateien zu scannen.
Abb. 2 unten zeigt ein Beispiel der in dieser Kampagne verwendeten E-Mail.
Abb. 2: Spam-Mail
Nach dem Herunterladen und erfolgreichen Extrahieren der ZIP-Datei wird die Datei „Random_name.url“ abgerufen. Klickt ein Benutzer auf diese Datei, um ihren Inhalt zu öffnen, versucht der Host, eine SMB-Verbindung mit dem vom Angreifer kontrollierten Server herzustellen. Nach dem Empfang wird eine schädliche Nutzlast (.js-Datei) auf dem System des Benutzers gespeichert und fragt den Benutzer, ob er sie ausführen möchte (siehe Abb. 3).
Abb. 3: Heruntergeladene JS-Eingabeaufforderung zur Ausführung.
Die JS-Datei stellt somit eine Verbindung zu einem anderen Remote-Server her, von dem sie eine ausführbare Datei herunterlädt, die anderen Schadcode enthält.
Abb. 4. Prozessbaum böswilliger Aktivitäten.
Abb. 4 zeigt die vollständige schrittweise Ausführung nach dem Ausführen der URL-Datei.
Bisher konnten wir jedoch feststellen, dass es sich hierbei um eine neue Variante der Quant Loader-Malware handelt. Ziel dieser Kampagne ist es, sich auf dem Hostsystem festzusetzen und weitere Malware herunterzuladen, die Benutzerinformationen stehlen kann.
Seqrite Detection
Seqrite Der Virenschutz erkennt und blockiert erfolgreich schädliche .url-Dateien, die für die Einschleusung der Schadsoftware in das System verantwortlich sind.
Abb. 5. Seqrite Virenschutzwarnung für URL-Datei
Abb. 6. Seqrite Virenschutzwarnung vor schädlicher Nutzlast
Best Practices zum Schutz vor solchen Malware-Angriffen
- Laden Sie keine Anhänge herunter und klicken Sie nicht auf Links, die Sie von unerwünschten oder unerwarteten E-Mail-Quellen erhalten haben.
- Halten Sie Ihren Antivirus aktualisiert und stellen Sie sicher, dass Sie die neueste Version verwenden.
- Bewahren Sie immer eine sichere Sicherungskopie Ihrer wichtigen Daten auf.
- Wenden Sie alle empfohlenen Updates auf Ihrem Betriebssystem und Ihren Programmen wie Adobe, Java, Internetbrowsern usw. an.
- Stellen Sie sicher, dass die automatischen Updates Ihres Computers aktiviert sind.
Fachexperten:
Gulamgaus Shaikh, Prashil Moon | Quick Heal Security Labs
