Kaspersky warnt vor schwer erkennbarer Ransomware-Variante

Zu den Angriffsopfern zählen Unternehmen weltweit, auch in Deutschland und Österreich. Diese Ergebnisse gehen aus einer aktuellen Kaspersky-Analyse hervor.

Bei der Untersuchung eines Vorfalls bei einem Kunden im Dezember 2022 entdeckte der Sicherheitsdienstleister drei verdächtige Dateien. Diese Dateien lösten eine Reihe von Aktionen aus, die zum Download der Bibliothek ,komar65‘, auch bekannt als ,BUGHATCH‘, führten. Bei BUGHATCH handelt es sich um eine ausgeklügelte Backdoor, die sich im Prozessspeicher eines Gerätes einnistet.

Innerhalb des ihr zugewiesenen Speicherplatzes führt sie einen eingebetteten Shellcode-Block aus; hierzu verwendet sie eine Windows-API, die zahlreiche Funktionen umfasst. So können beispielsweise Befehle über einen Command-and-Control-Server zum Herunterladen von schädlicher Software wie Cobalt Strike Beacon und Metasploit empfangen werden.

Cuba mit aktualisiertem Toolkit weiterhin aktiv

Dass bei diesem Angriff auch Veeamp zum Einsatz kam, deutet Kapersky zufolge stark auf eine Beteiligung der Ransomware-Gruppe Cuba hin. Zudem verweist die PDB-Datei auf den Ordner „komar“, das russische Wort für „Moskito“, was ein Indiz für die Präsenz russischsprachiger Mitglieder innerhalb der Gruppe sein könnte.

Zudem fanden die Experten von Kaspersky weitere Module, die von der Cuba-Gruppe in Umlauf gebracht wurden und die Funktionalität der Malware erweitern. Eines dieser Module ist für das Sammeln von Systeminformationen verantwortlich, die dann über HTTP-POST-Anfragen an einen Server gesendet werden.

Gefahr für Softwareentwickler

Bei Cuba handelt es sich um einen Single-File-Ransomware-Stamm, der aufgrund seiner Funktionsweise ohne zusätzliche Bibliotheken nur schwer zu erkennen ist. Die Angreifer setzen eine Mischung aus öffentlichen und proprietären Tools ein, aktualisieren ihr Toolkit regelmäßig und nutzen Taktiken wie BYOVD (Bring Your Own Vulnerable Driver).

Ein Hauptmerkmal ihrer Vorgehensweise ist das Fälschen von Kompilierungs-Zeitstempeln, um Sicherheitsexperten in die Irre zu führen. So wiesen beispielsweise einige im Jahr 2020 gefundene Samples ein Kompilierungsdatum vom 4. Juni 2020 auf, während die Zeitstempel neuerer Versionen als Datum den 19. Juni 1992 vorgaben. Die besondere Vorgehensweise von Cuba umfasst nicht nur die Verschlüsselung von Daten, sondern auch individuell ausgerichtete Angriffe zur Extraktion sensibler Daten und Informationen wie Finanzdokumente, Bankunterlagen, Firmenkonten und Quellcode. Insbesondere Softwareentwicklungsfirmen seien davon gefährdet, so Kaspersky weiter.

Erkennung verhindert

Im Zuge weiterer Untersuchungen stießen die Kaspersky Experten bei VirusTotal auf neue Malware-Samples, die der Cuba-Gruppe zugeschrieben werden. Einige dieser Samples konnten die Entdeckung durch andere Sicherheitsanbieter umgehen. Hierbei half eine neue Version der BURNTCIGAR-Malware, die sich mit verschlüsselten Daten der Erkennung durch Antivirenprogramme entziehen kann.

„Unsere jüngsten Erkenntnisse unterstreichen, wie wichtig der Zugang zu aktuellen Analysen und Bedrohungsdaten ist“, betont Gleb Ivanov, Sicherheitsexperte bei Kaspersky. „Da Ransomware-Gruppen wie Cuba immer neue Methoden entwickeln und ihre Taktiken ständig verbessern, ist es entscheidend, ihnen immer einen Schritt voraus zu sein, um potenzielle Angriffe wirksam abwehren zu können. Im Hinblick auf die sich ständig verändernde Bedrohungslage ist Wissen die beste Verteidigung gegen aufstrebende Cyberkriminelle.“