Varonis identifiziert neuen Cryptominer und mysteriöse Web-Shell

Sicherheitsforscher von Varonis Systems haben einen neuen leistungsstarken XMRig-basierten Cryptominer identifiziert, der Monero schürft. Dabei wendet „Norman“ verschiedene Techniken an, um unerkannt zu bleiben. So unterbricht er etwa seine Aktivität, wenn ein Benutzer den Task-Manager öffnet. Darüber hinaus wurde bei der ursprünglichen Infektion auch eine interaktive PHP-Shell entdeckt, wobei es für einen direkten Zusammenhang zwar Hinweise, aber keine Belege gibt.

Im Rahmen einer Evaluierung der Varonis Datensicherheitsplattform bei einem mittelständischen Unternehmen wurden innerhalb kürzester Zeit mehrere netzwerkbezogene Warnmeldungen für abnormale Webaktivitäten sowie korrelierte abnormale Dateiaktivitäten ausgelöst. Diese bezogen sich auf Konten, deren Nutzer kürzlich auch instabile Anwendungen und langsame Netzwerkverbindungen gemeldet hatten. Eine weitergehende Untersuchung des Varonis-Incident-Response-Teams ergab, dass nahezu jeder Rechner und Server des Unternehmens von unterschiedlicher Malware betroffen waren, wobei die Infektionen teilweise schon Jahre zurück lagen. Mit den gesammelten Informationen konnten die Schadprogramme sicher entfernt und die Infektion gestoppt werden. Unter der in den Varonis-Laboren untersuchten Malware fiel vor allem das Sample eines neuartigen Cryptominer auf, der sich von üblicher Mining-Malware unterscheidet. Seine Ausbreitung vollzieht sich in drei Stufen (Ausführung, DLL-Injection, Schürfen), wobei er sich an die infizierten Systeme anpasst. Die Malware injiziert dabei den Cryptominer in einen legitimen Prozess und nutzt einen weiteren Prozess als eine Art Wachhund für den Schürfprozess. So beendet sie beispielsweise den Miner, wenn der Nutzer den Task-Manager öffnet, um eine Erkennung zu verhindern. Wird der Task-Manager wieder geschlossen, starten auch die Schürfprozesse wieder.

Während der Untersuchung fanden die IT-Forensiker eine auffällige XLS-Datei, die auf eine neue PHP-Shell hinwies, die sich kontinuierlich mit einem Command-and-Control-Server verbindet. Allerdings wurden nach der Initialisierung keine Befehle empfangen, wodurch der Zweck der Shell bislang nicht eindeutig geklärt werden konnte. Auch ob es einen direkten Zusammenhang mit „Norman“ gibt, kann nicht abschließend geklärt werden. Einiges spricht dafür („Norman“ verfügt über keine Fähigkeiten, sich lateral in Netzwerken zu bewegen, allerdings war er im Netzwerk stark verbreitet), einiges aber auch dagegen (zwischen der Malware und der PHP-Shell findet augenscheinlich keine Kommunikation statt, auch zeigen die Code-Strukturen keinerlei Ähnlichkeiten).

3 Tipps, wie man sich vor Web-Shells schützen kann

Malware, die durch Befehle von Command-and-Control-Server (C&C) gesteuert wird, stellt eine wesentlich größere Gefahr da als durchschnittliche Viren. Ihre Vorgehensweise ist oftmals schwer vorauszusehen und ist damit schwieriger zu identifizieren und abzuwehren. Diese drei Tipps helfen Unternehmen, sich vor Web-Shells zu schützen:

• Halten Sie alle Software auf dem neuesten Stand. Angreifer nutzen oft Schwachstellen in Software und Betriebssystemen aus, um sich lateral in Unternehmen zu bewegen und Daten zu stehlen. Die Aktualisierung mit Patches reduziert das Risiko von Bedrohungen erheblich.
• Überwachen Sie abnormale Datenzugriffe. Ein Angreifer wird höchstwahrscheinlich versuchen, sensible Daten aus dem Unternehmen zu exfiltrieren. Durch die intelligente Analyse des Nutzerverhaltens (UBA) kann abnormales Verhalten identifiziert und gestoppt werden.
• Überwachen Sie den Netzwerkverkehr. Durch die Verwendung einer Firewall oder eines Proxys ist es möglich, bösartige Kommunikation mit C&C-Servern zu erkennen und zu blockieren, so dass der Angreifer keine Befehle ausführen oder Daten extrahieren kann.

6 Tipps zum Schutz vor Cryptominern

Setzen Sie Antiviren- und EDR-Lösungen ein (aber sorgen Sie dafür, dass diese nicht die einzige Verteidigungsebene sind): Endpunktprodukte sollten in der Lage sein, bekannte Cryptominer zu erkennen und Infektionen zu verhindern, bevor Schäden auftreten. Beachten Sie, dass neue Varianten oder neue Ausweichtechniken Endpoint-Sicherheitsprodukte umgehen können.

• Halten Sie alle Betriebssysteme auf dem neuesten Stand. Das Patch-Management ist entscheidend, um Schwachstellen zu schließen und Infektionen zu verhindern.
• Überwachen Sie den Netzwerkverkehr und Web-Proxies. Es ist möglich, einen Teil der Angriffe zu erkennen und zu verhindern, indem der Datenverkehr zu bösartigen Domänen blockiert und unnötige Kommunikation eingeschränkt wird.
• Überwachen Sie die CPU-Aktivität auf Computern. Cryptominer verwenden im Allgemeinen die CPU des Computers, um Kryptowährungen zu schürfen. Jede spürbare Verschlechterung der Performance sollte entsprechend untersucht werden.
• Überprüfen Sie DNS auf ungewöhnliche Nutzung dynamischer DNS-Dienste. DuckDNS und andere dynamische DNS-Dienste werden zumeist legitim genutzt, aber eben auch von Malware. Dies kann jedoch – wie im Falle der Identifizierung der Malware hier – auch zur Entdeckung schädlicher Aktivitäten führen.
• Halten Sie einen Incident-Response-Plan bereit. Stellen Sie sicher, dass Sie die richtigen Verfahren für ähnliche Vorfälle etabliert haben und in der Lage sind, Cryptominer automatisch zu erkennen und zu stoppen.

Weitere Informationen zur Malware, ihrer Identifizierung und den drei Phasen der Infektion unter https://www.varonis.com/blog/monero-cryptominer/.

#Netzpalaver #Varonis