Info-Stealer-Malware ist zu einer wachsenden Bedrohung geworden, da Angreifer ihre Techniken ständig verfeinern, um der Erkennung zu entgehen. Zu diesen Bedrohungen gehören SnakeKeylogger hat sich als eine der am häufigsten eingesetzten Schadsoftwares zum Diebstahl von Anmeldeinformationen herausgestellt, die es auf Privatpersonen und Unternehmen abgesehen hat.
Bekannt für seine mehrstufige Infektionskette und heimliche In-Memory-AusführungSnakeKeylogger ist darauf ausgelegt, vertrauliche Daten zu sammeln, ohne entdeckt zu werden.
Kürzlich um Seqrite In unseren Laboren beobachteten wir eine interessante Schadsoftware-Kampagne, die SnakeKeylogger als finale Nutzlast auf kompromittierten Systemen auslieferte.
Infektionsvektor:
Der erste Infektionsvektor ist eine bösartige Spam-E-Mail, die . Img Datei [Disk Image File] als Anhang. Sobald die IMG-Datei geöffnet wird, wird ein virtuelles Laufwerk erstellt, das den Zugriff auf die Daten in der Datei ermöglicht. Die Datei in dieser IMG-Datei ist eine ausführbare Datei (Stage1), die sich als PDF-Dokument tarnt. Das Dateisymbol und der Name wurden sorgfältig so gewählt, dass sie einem wichtigen PDF-Dokument ähneln. Dies erhöht die Wahrscheinlichkeit, dass der Empfänger die Datei öffnet.
Angriffskette:
Snake Keylogger verfolgt einen systematischen Ansatz, um Anmeldeinformationen und andere sensible Daten zu sammeln. Einige dieser Ansätze umfassen:
- Herunterladen und Entschlüsseln verschlüsselter Nutzdaten, wodurch eine heimliche Ausführung gewährleistet wird.
- Laden verschleierter DLLs direkt in den Speicher, wodurch eine datenträgerbasierte Erkennung vermieden wird.
- Einschleusen von Schadcode in echte Prozesse, insbesondere in .Net Framework-bezogene Prozesse.
- Überprüfen des Outlook-Standardprofils um gespeicherte E-Mail-Anmeldeinformationen zu extrahieren.
- Sammeln von Anmeldedaten aus mehreren Browsern und E-Mail-Clients, Diebstahl gespeicherter Passwörter.
- Extrahieren gespeicherter FTP-Anmeldeinformationen aus FileZilla, die für die weitere Nutzung verwendet werden können.
Technische Analyse –
Stufe 1 (Downloader und Loader):
Bei dieser Datei handelt es sich um eine x64-Bit .Net-kompilierte ausführbare Datei mit einer Dateigröße von etwa 10 KB.
Phase 1 fungiert als Downloader und Loader. Bei der Ausführung versucht sie, eine Verbindung zu einem Remote-Server herzustellen und einige Mediendateien abzurufen.
Auf den ersten Blick scheint die URL eine einfache Mediendatei (*.mp3) vom Server abzurufen. Bei genauerem Hinsehen stellt sich jedoch heraus, dass es sich nicht um eine Mediendatei, sondern um eine getarnte, codierte Nutzlast handelt.
Die Nutzlast wird als Antwortstrom und nicht als Datei auf der Festplatte abgerufen. Sie wird als Byte-Array in der Array-Variable „Array“ gespeichert.
Apache-Server werden zur Malware-Verbreitung missbraucht
Bei genauerer Untersuchung der URL stellten wir fest, dass der Apache 2.4.58 (Windows)-Server für eine bösartige Kampagne missbraucht wird. Angreifer pflegen und aktualisieren aktiv verschlüsselte Schadsoftware, die unter hxxp://103.72.56.30/PHANTOM/ gehostet wird.
Wie wir sehen, laden Angreifer regelmäßig Dateien im Verzeichnis /PHANTOM/ hoch und rotieren diese. Diese Taktik [TA0042] wird häufig bei Malware-as-a-Service (MaaS)-Operationen oder laufenden Phishing- und Malware-Verteilungskampagnen eingesetzt. Sie ermöglicht es Angreifern, ihre Payloads zu aktualisieren und gleichzeitig eine stabile Infrastruktur aufrechtzuerhalten [T1608].
Zurück zu unserer Analyse von Phase 1: Nachdem der Stream abgerufen wurde, folgt eine Entschlüsselungsroutine, um die Nutzlast zu dekodieren.
Die abgerufene Nutzlast (Array) wird durch Subtraktion von 3 von jedem Byte dekodiert und die Ergebnisse in der Array-Variable „array2“ gespeichert. Wir können sehen, dass die dekodierte Nutzlast einen PE-Dateiheader hat. Wir haben den dekodierten Stream, d. h. „array2“, ausgegeben und mit der Untersuchung der dekodierten Nutzlast begonnen. Wir fanden heraus, dass es sich bei der Datei um eine Stage2-DLL-Datei handelt, die dynamisch in den Speicher geladen wird.
Stufe 2 (Xspilbxpui.dll)
Bei der Analyse mit dem Tool DiE (Detect it Easy) erkennen wir, dass es sich bei der Datei um eine mit .NET kompilierte 32-Bit-DLL handelt. Sie ist stark verschleiert, geschützt und verschlüsselt, um Reverse Engineering zu verhindern. Dadurch ist es schwierig, ihre wahre Funktionalität und ihren Ausführungsfluss offenzulegen.
Das Interessante an diesem Beispiel war die Verwendung von Delegierten zusammen mit hoher Verschleierung und Zwischencodegenerierung, um die API-Überwachung zu umgehen.
In dieser Phase der Infektionskette nutzt die Malware Process Hollowing, um ihre Schadsoftware heimlich auszuführen, indem sie InstallUtil.exe angreift. „InstallUtil.exe“ ist ein legitimes Windows-Dienstprogramm zum Installieren und Deinstallieren von Serverressourcen. Process Hollowing ist eine ausgeklügelte Technik, bei der ein neuer Prozess in einem angehaltenen Zustand gestartet wird, dessen legitimer Speicherbereich nicht zugeordnet wird und Schadcode in den ausgehöhlten Speicher geschrieben wird, bevor der Prozess fortgesetzt wird und die Schadsoftware des Angreifers ausführt.
Bei der eingeschleusten Nutzlast handelt es sich um eine Variante des SnakeKeyloggers, die versucht, Systemdaten sowie WLAN-Verbindungsdetails zu stehlen.
Der eingeschleuste InstallUtil.exe-Prozess weist ein Verhalten auf, das mit Schadsoftware zum Sammeln von Anmeldeinformationen übereinstimmt und auf eine breite Palette von Anwendungen abzielt, die vertrauliche Benutzerdaten speichern.
SnakeKeylogger greift auf einen kritischen Registrierungsspeicherort {9375CFF0413111d3B88A00104B2A6676} zu, an dem Microsoft Outlook 2013 und Outlook 2016+ Benutzerprofilkonfigurationen speichern. Diese Konfigurationen umfassen E-Mail-Kontodetails, Mailservereinstellungen und potenziell verschlüsselte Anmeldeinformationen. Kompromittierte E-Mail-Konten können ausgenutzt werden, um die Multi-Faktor-Authentifizierung (MFA) zu umgehen, sich als Opfer auszugeben oder weitere Angriffe innerhalb einer Organisation zu starten.
Nachfolgend sind die Kategorien und die Liste der Anwendungen aufgeführt, auf die SnakeKeylogger abzielt:
| Webbrowser (Chromium und andere Varianten) | |||
| Google Chrome | Xpom Browser | Coowon Browser | SuperBird Browser |
| Microsoft Edge | 7Star Browser | CocCoc-Browser | BlackHawk Browser |
| Vivaldi | Blisk Browser | Orbitum Browser | CatalinaGroup Citrio |
| Slimjet | Kinza Browser | Sputnik Browser | Epischer Datenschutzbrowser |
| Iridium | Fackel-Browser | Liebao7 Browser | Avast Secure Browser |
| Chromium | Comodo Dragon | QIP Surf Browser | QQ-Browser (Tencent) |
| UCBrowser | Brave Browser | Nichrome Browser | MapleStudio ChromePlus |
| NIE Browser | Citrio Browser | Opera / Opera GX | Uran Browser (uCozMedia) |
| Fenrir Inc. Sleipnir5 | |||
Diese Anwendungen speichern Passwörter, Cookies und AutoFill-Daten in der Datei „Anmeldedaten“. SnakeKeylogger versucht, diese sensiblen Daten abzufragen und zu lesen.
| Mozilla-basierte Browser |
| Mozilla Firefox |
| Wasserfuchs |
| SeaMonkey |
| Comodo IceDragon |
| Cyberfox (8pecxstudios) |
| Pale Moon (Moonchild Productions) |
Diese speichern Anmeldungen, Lesezeichen, Sitzungsdaten und den Verlauf in „Profile\“.
| E-Mail-Kunden |
| Thunderbird (Profile\) |
| Postfach (Profile\) |
Diese speichern E-Mail-Anmeldeinformationen und Serverkonfigurationen.
| Instant Messaging / Kommunikations-Apps |
| Pidgin (.purple/accounts.xml) |
Diese speichern Chat-Anmeldeinformationen in Konfigurationsdateien.
| FTP-Clients |
| FileZilla |
Versucht, auf die Liste der zuletzt aufgerufenen FTP-Server und die gespeicherten Benutzernamen und Passwörter in der Datei „recentservers.xml“ zuzugreifen.
Datei-Hashes (MD5):
851A5FFAC3EE2DA08557108239F90FAB
FD7634082A916C3BD8C94C8493FC83E2
9AD19A4E2D41E214D7BF04F74151DDBD
07B21AAE60698970EBDC2E854B3ACFED
Nachfolgend finden Sie MITRE-Angriffe Taktiken, Techniken und Verfahren (TTPs) von SnakeKeylogger:
| Taktik | Techniken/ Untertechnik |
Ablauf |
| Erstzugriff (TA0001) | T1566.001 | Spearphishing-Anhang |
| Ausführung (TA0002) | T1204.002 | Ausführung bösartiger Dateien |
| Verteidigungsflucht (TA0005) | T1140 | Dateien oder Informationen entschlüsseln/deobfuszieren. |
| T1027 | Verschleierte Dateien oder Informationen. | |
| T1218.004 | Ausführung des System-Binärproxys: InstallUtil. | |
| T1202 | Indirekte Befehlsausführung. | |
| Zugangsdatenzugriff (TA0006) | T1555 | Anmeldeinformationen aus Kennwortspeichern. |
| -T1555.003 | Anmeldeinformationen von Webbrowsern. | |
| -T1555.004 | Anmeldeinformationen von E-Mail-Clients. | |
| -T1555.005 | Anmeldeinformationen von Passwortmanagern. | |
| Entdeckung (TA0007) | T1083 | Datei- und Verzeichniserkennung. |
| T1012 | Abfrageregistrierung. | |
| Sammlung (TA0009) | T1114.002 | E-Mail-Sammlung über Client-Anwendung. |
| Befehl und Kontrolle (TA0011) | T1071.001 | Anwendungsschichtprotokoll: Webprotokolle. |
| T1105 | Ingress-Tool-Übertragung. | |
| Ressourcenentwicklung (TA0042) | T1608.001 | Stage-Fähigkeiten: Hochladen von Malware |
Fazit:
Die SnakeKeylogger-Kampagne zeichnet sich durch eine stark strukturierte Angriffskette aus, die mit Spam-E-Mails beginnt, die ahnungslosen Benutzern schädliche Anhänge übermitteln. Die Angreifer betreiben eine stabile Infrastruktur für das Hosting verschlüsselter Malware, die ihnen die nahtlose Verteilung und Aktualisierung von Nutzlasten ermöglicht. Die Infektion verläuft in mehreren Phasen und nutzt Techniken wie Dateiformat-Täuschung, Process Hollowing und verschlüsselte Nutzlastausführung, um der Erkennung zu entgehen.
Ein Hauptziel der Malware besteht darin, vertrauliche Daten abzugreifen, darunter Outlook-Profilanmeldeinformationen, E-Mail-Konfigurationen und andere gespeicherte Authentifizierungsdetails, die für Business-E-Mail-Kompromittierungen (BEC) und weitere Eindringversuche ausgenutzt oder auf Schwarzmärkten verkauft werden können.
Autoren:
Prashil Moon
Rumana Siddiqui
