Scavenger Trojan: Neue Bedrohung für Krypto-Wallets durch Spiel-Mods

LONDON (IT BOLTWISE) – Eine neue Malware-Kampagne sorgt für Aufsehen in der IT-Sicherheitswelt. Der sogenannte Scavenger Trojan zielt gezielt auf Krypto-Wallets und Passwortmanager ab, indem er Schwachstellen in Windows-Systemen und Browsern ausnutzt.

Die Bedrohung durch den Scavenger Trojan ist ein aktuelles Beispiel für die zunehmende Raffinesse von Cyberangriffen, die auf Krypto-Wallets und Passwortmanager abzielen. Diese Malware nutzt eine Schwachstelle in der Art und Weise aus, wie Windows bestimmte Komponenten lädt, um sich in Systeme einzuschleusen und sensible Informationen zu stehlen. Der Angriff beginnt häufig mit der Manipulation von DLL-Dateien, die in denselben Ordnern wie legitime Anwendungen platziert werden, um den Vorrang vor echten Systemversionen zu erhalten.

Die Entdeckung dieser Malware-Kampagne geht auf eine Untersuchung von Doctor Web zurück, die einen gezielten Angriff auf ein russisches Unternehmen untersuchte. Dabei fiel auf, dass die Angreifer die Technik des DLL Search Order Hijacking nutzten, um sich Zugang zu verschaffen. Diese Methode erlaubt es, bösartige Dateien als legitime Komponenten auszugeben, indem sie in denselben Ordner wie die Zielanwendung gelegt werden.

Ein besonders perfider Aspekt der Scavenger-Kampagne ist die mehrstufige Verteilung der Malware. Die Angreifer nutzen verschiedene Ködermethoden, wie Spiel-Patches und Cheats, um Opfer dazu zu verleiten, die Malware auszuführen. Ein Beispiel ist der Trojan.Scavenger1, der als Leistungs-Patch für das Spiel Oblivion Remastered getarnt ist. Obwohl dieser Exploit in diesem speziellen Spiel fehlschlug, könnte er in anderen Programmen erfolgreich sein.

Einmal ausgeführt, lädt der Trojaner die nächste Stufe, Trojan.Scavenger.2, herunter, die weitere Module wie Trojan.Scavenger.3 und Trojan.Scavenger.4 nachlädt. Besonders gefährlich ist Trojan.Scavenger.3, der sich als Systembibliothek tarnt und in Ordner von Chromium-basierten Browsern wie Chrome, Edge und Opera platziert wird. Diese Version des Trojaners manipuliert die internen Sicherheitsfunktionen des Browsers, indem sie den Sandbox-Modus deaktiviert und die Überprüfung von Browser-Erweiterungen blockiert.

Ein weiteres Ziel der Malware ist die Exodus-Krypto-Wallet. Trojan.Scavenger.4 wird beim Start der App geladen und nutzt die gleiche DLL-Hijacking-Methode, um auf wichtige Daten wie den mnemonischen Satz und den privaten Schlüssel zuzugreifen. Diese Informationen werden dann an den Server des Angreifers gesendet.

In einer anderen Version der Kampagne überspringen die Angreifer den ersten Trojaner und beginnen direkt mit einem modifizierten Trojan.Scavenger.2. Diese Version verwendet eine Datei mit der .ASI-Erweiterung, die häufig mit Spiel-Mods oder Plugins in Verbindung gebracht wird. Nutzer könnten beispielsweise aufgefordert werden, eine Datei namens „Enhanced Native Trainer.asi“ in ihren GTA-Spielordner zu installieren, wodurch die Infektionskette fortgesetzt wird.

Ein gemeinsames Merkmal aller Versionen dieser Malware ist die Fähigkeit, zu erkennen, ob sie in einer virtuellen Maschine oder einer Debug-Umgebung ausgeführt wird. Bei Erkennung solcher Umgebungen stellt die Malware ihre Aktivität ein, um einer Entdeckung zu entgehen. Zudem kommunizieren die Trojaner mit ihrem Kontrollserver über einen verschlüsselten Kanal, der durch einen zweistufigen Handshake gesichert ist.

Obwohl Doctor Web die Entwickler der betroffenen Software über die Schwachstellen informierte, lehnten die meisten eine Behebung des DLL-Hijacking-Problems ab. Daher ist es für Nutzer entscheidend, Vorsicht walten zu lassen und keine Anwendungen aus Drittanbieterquellen herunterzuladen, auf Raubkopien zu verzichten und ihre Antivirensoftware stets aktuell zu halten.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!