Neue Taktiken von „SourTrade“ zielen auf Investoren und Händler mit einem Infostealer ab. Die Kampagne nutzt eine Reihe von Malvertising-Ködern, um das Interesse potenzieller Opfer zu wecken, wobei viele sich auf Handelstipps oder Kryptowährungs-Geschenke konzentrieren. Besucht ein Nutzer eine dieser Seiten, beginnt Sourtrade mit der heimlichen Auslieferung der Schadsoftware. Dieses Beispiel Browser-basierter Malware zeigt, warum Sicherheits-Scans von Dateien nicht ausreichen. Ein Kommentar von Darren Guccione, CEO und Mitbegründer von Keeper Security
„Die eigentliche Innovation von Sourtrade liegt nicht im Köder, sondern im Erstellungsprozess. Indem die Angreifer Anweisungen anstatt einer fertigen Binärdatei versenden und die Schadsoftware innerhalb einer legitimen Laufzeitumgebung im Browser zusammenbauen, umgehen sie die meisten Sicherheitskontrollen, auf die sich Organisationen verlassen – darunter Hash-Abgleiche, statische Signaturen und netzwerkbasierte Dateiinspektionen. Der Trick: Es passiert nichts Verdächtiges, bis die Schadsoftware bereits auf dem Endgerät läuft. Und selbst dann sieht Schadsoftware auf jedem Gerät etwas anders aus.
Eine Identifizierung von Schadsoftware, die auf Dateiuntersuchungen basiert, wird immer hinter den Angreifern zurückbleiben, da sie das Aussehen einer Datei verändern können. Organisationen sollten ihren Fokus darauf verlagern, was eine unbekannte ausführbare Datei tun darf, anstatt darauf, wie sie aussieht. Berechtigungsbeschränkungen auf Endgeräten, die das Schreiben nicht signierter oder unbekannter Binärdateien in sensible Pfade blockieren, das Erhöhen von Berechtigungen oder das Verhindern des Zugriffs auf Anmeldedaten, würden das Risiko dieser Angriffstechnik abschwächen, unabhängig davon wie die Schadsoftware zusammengesetzt wurde.
Diese Attacken wollen Anmeldedaten erbeuten und richtet sich gegen Händler und Krypto-Besitzer. Sitzungstokens, Wallet-Anmeldedaten und Börsen-Logins sind die eigentlichen Ziele. Dies bedeutet, dass privilegierter Zugriff und die sichere Speicherung von Anmeldedaten – nicht nur als Endgeräte-Hygiene – einen weiteren Meilenstein in der Verteidigung darstellen. Organisationen, die Anmeldedaten sicher speichern und Sitzungskontrollen auf Identitätsebene durchsetzen, verfügen über eine doppelte Verteidigungslinie, die selbst dann noch wirksam ist, wenn ein Endgerät bereits kompromittiert wurde.“
#KeeperSecurity
