Neue Windows-Malware umgeht wochenlang Erkennung durch beschädigte Header

LONDON (IT BOLTWISE) – Eine neue Bedrohung für Windows-Systeme hat die Aufmerksamkeit von Cybersicherheitsexperten auf sich gezogen. Diese Malware nutzt beschädigte DOS- und PE-Header, um Erkennungsmechanismen zu umgehen und sich unbemerkt auf infizierten Systemen zu halten.

In der Welt der Cybersicherheit ist es eine ständige Herausforderung, mit den immer raffinierteren Methoden von Angreifern Schritt zu halten. Jüngste Entdeckungen von Fortinet zeigen, dass eine neue Art von Malware, die auf Windows-Systemen operiert, durch die Manipulation von DOS- und PE-Headern wochenlang unentdeckt bleiben konnte. Diese Header sind entscheidend für die Erkennung und Ausführung von Programmen unter Windows, da sie Informationen über die ausführbare Datei bereitstellen.

Die DOS-Header sorgen für die Rückwärtskompatibilität mit MS-DOS, während die PE-Header Metadaten enthalten, die für das Laden und Ausführen des Programms unter Windows notwendig sind. Durch die Beschädigung dieser Header wird die Analyse der Malware erheblich erschwert, was es den Angreifern ermöglicht, ihre Aktivitäten im Verborgenen fortzusetzen.

Forscher des FortiGuard Incident Response Teams, darunter Xiaopeng Zhang und John Simmons, berichteten, dass die Malware in einem kompromittierten System mehrere Wochen aktiv war. Die Angreifer nutzten eine Kombination aus Skripten und PowerShell, um die Malware innerhalb eines Windows-Prozesses auszuführen. Obwohl es Fortinet nicht gelang, die Malware selbst zu extrahieren, konnten sie einen Speicherabzug des laufenden Malware-Prozesses sowie einen vollständigen Speicherabzug des kompromittierten Systems erhalten.

Die Malware operiert innerhalb eines dllhost.exe-Prozesses und ist eine 64-Bit-PE-Datei mit beschädigten DOS- und PE-Headern. Diese Strategie erschwert die Analyse und Rekonstruktion der Nutzlast aus dem Speicher. Trotz dieser Hindernisse gelang es Fortinet, die Malware in einer kontrollierten Umgebung zu analysieren, indem sie die Umgebung des kompromittierten Systems nachbildeten.

Einmal ausgeführt, entschlüsselt die Malware Informationen über die Command-and-Control-Domain (C2), die im Speicher gespeichert sind, und stellt dann eine Verbindung zum Server her. Die Kommunikation mit dem C2-Server erfolgt über das TLS-Protokoll, was zusätzliche Sicherheit für die Angreifer bietet. Die Malware fungiert als Remote-Access-Trojaner (RAT) mit der Fähigkeit, Screenshots zu erfassen, Systemdienste zu manipulieren und als Server für eingehende Verbindungen zu agieren.

Diese mehrschichtige Architektur ermöglicht es der Malware, das kompromittierte System effektiv in eine Plattform für Fernzugriffe zu verwandeln, die es den Angreifern erlaubt, weitere Angriffe zu starten oder verschiedene Aktionen im Namen des Opfers durchzuführen. Die Entdeckung dieser Malware unterstreicht die Notwendigkeit, die Sicherheitsmaßnahmen kontinuierlich zu verbessern und auf dem neuesten Stand zu halten, um solchen Bedrohungen entgegenzuwirken.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!