Neue RedEnergy Stealer-as-a-Ransomware-Kampagne

Diese neue Malware-Kategorie kombiniert den Datendiebstahl mit Verschlüsselung und kann dadurch maximalen Schaden beim Opfer anrichten. Der neue Stealer nutzt eine gefälschte Update-Kampagne für Browser und nimmt damit vertikale Branchen wie Energieversorger, Öl- und Gas- oder Telekommunikationsanbieter ins Visier. Die Malware besitzt die Fähigkeit, Informationen von verschiedenen Browsern abzugreifen und ist dadurch in der Lage, sensible Daten zu extrahieren. Zusätzlich enthält der Stealer verschiedene Module für die Durchführung von Ransomware-Aktivitäten. Angegriffene Unternehmen sehen sich dem Verlust sensibler Daten ausgesetzt, die offengelegt oder verkauft werden können.

Trügerische Fake Updates-Kampagne

Die von den ThreatLabZ-Analysten untersuchte Stealer-Variante nutzt eine trügerische Fake Updates-Kampagne, um Personen in anvisierten Zielunternehmen dazu zu bewegen, ihren Browser zu aktualisieren. Dabei kommt die Redirection-Technik zum Einsatz. Bei dem Versuch, eine Unternehmenswebseite über deren LinkedIn-Profil aufzurufen, werden ahnungslose User auf eine Webseite mit Schadcode umgelenkt. Dort werden sie aufgefordert, über vier verschiedene dargebotene Browser Icons ein scheinbar legitimes Browser-Update zu installieren. Anstelle eines echten Updates wird allerdings die ausführbare Datei des RedEnergy Stealers auf ihr System geladen.

Die Malware arbeitet in mehreren Phasen und beginnt mit der Ausführung der als Browser-Update getarnten bösartigen Dateien, die sich hinter verschiedenen populären Browsern wie Google Chrome, Microsoft Edge, Firefox oder Opera verstecken. Der Angriff wird oberflächlich hinter einem echten Zertifikat verborgen ausgeführt, um Vertrauen beim User zu erwecken. In der zweiten Phase werden Daten nachgeladen, Persistenz im System sicherstellen. Die Malware installiert dabei vier Dateien auf dem System des Opfers, von denen zwei ausführbar sind und dem gleichen Namensprinzip folgen. Nur eine der Dateien trägt die eigentliche Payload, die im Hintergrund geladen wird, während die anderen Dateien den Browser-Update-Prozess vorgaukeln. Um die gewünschte Persistenz im System sicherzustellen, werden bösartige, ausführbare Dateien im Windows Start-up Verzeichnis abgelegt, die die schädlichen Aktivitäten auch bei einem Systemneustart aufgreifen.

Datenexfiltration und nicht autorisierte Datei-Uploads

Verdächtige FTP-Interaktionen deuten auf eine mögliche Datenexfiltration und nicht autorisierte Datei-Uploads hin. Die Malware enthält Ransomware-Module, die Benutzerdaten mit der Erweiterung „.FACKOFF!“ verschlüsseln, so dass sie nicht mehr zugänglich sind, bis ein Lösegeld gezahlt wird. Außerdem modifiziert sie die Datei desktop.ini, um eine Erkennung zu umgehen und die Anzeigeeinstellungen für Dateisystemordner zu ändern. In der letzten Phase löscht die Malware Schattenlaufwerksdaten und Windows-Sicherungspläne und verstärkt dadurch die Ransomware-Eigenschaften. RedEnergy Stealer hinterlässt eine Batch-Datei und einen Erpresserbrief auf betroffenen Systemen, in dem eine Zahlung für die Entschlüsselung der Dateien gefordert wird.

Die technische Analyse der Malware hat ihre Doppelfunktionalität als Stealer und Ransomware offengelegt und stellt eine alarmierende Entwicklung gegenüber herkömmlichen Angriffen dar. Die analysierten Angriffskampagnen verdeutlichen die Weiterentwicklung von Angriffsmethoden und eine Spezialisierung auf verschiedene Branchen und Organisationen. Diese neuartigen Stealer as a Ransomware-Kampagnen unterstreichen die Bedeutung von robusten Sicherheitsmaßnahmen und die Notwendigkeit beim User das Bewußtsein für neuartige Angriffsmuster zu schärfen.

Roger Homrich

Recent Posts

Google schließt schwerwiegende Sicherheitslöcher in Chrome

Sie stecken unter anderem in der JavaScript-Engine V8. Angreifbar sind Chrome für Windows, macOS und…

9 Stunden ago

VMware-Alternativen: Diese Möglichkeiten bieten andere Anbieter, Open Source und die Cloud

Die Übernahme von VMware durch Broadcom schlägt in der IT-Welt hohe Wellen. Die Produkt- und…

11 Stunden ago

Checkpoint: Microsoft überarbeitet kumulative Updates für Windows 11

Mit Windows 11 Version 24H2 setzt Microsoft auf kleinere kumulative Update-Pakete. Dafür erhält Windows zwischen…

14 Stunden ago

Smartphoneverkäufe steigen um 6,5 Prozent im zweiten Quartal

Samsung und Apple wachsen langsamer als die Konkurrenz aus China. IDC rechnet mit weiteren Wachstumsimpulsen…

1 Tag ago

Nach Verkaufsverbot: Kaspersky zieht sich auf US-Markt zurück

Der schrittweise Rückbau der Geschäftsaktivitäten beginnt am 20. Juli. Das Verkaufsverbot entzieht Kaspersky nach eigenen…

1 Tag ago

IT-Ausgaben steigen 2024 voraussichtlich um 7,5 Prozent

Gartner korrigiert seine Prognose leicht nach unten. Wachstumsmotor der IT-Ausgaben bleibt jedoch der zunehmende Einsatz…

1 Tag ago