BadSpace-Hintertür
Echte, aber kompromittierte Websites werden ausgenutzt, um eine Windows-Hintertür namens BadSpace zu verbreiten, die als gefälschte Browser-Updates getarnt ist. Die Strategie des Angreifers umfasst mehrere Schritte, beginnend mit einer infizierten Website, einem Command-and-Control-Server (C2), manchmal einem betrügerischen Browser-Update und schließlich einem JScript-Downloader, um die Hintertür in das System des Opfers einzupflanzen.
Inhaltsverzeichnis
Cyberkriminelle nutzen kompromittierte Websites, um die BadSpace-Hintertür zu verbreiten
Der Prozess beginnt mit einer kompromittierten Website, beispielsweise einer Website mit WordPress, auf der der korrupte Code eingeschleust wird. Dieser Code enthält eine Logik, die feststellt, ob ein Besucher die Website bereits zuvor aufgerufen hat. Beim ersten Besuch sammelt der Code Daten über das Gerät, die IP-Adresse, den Benutzeragenten und den Standort und sendet diese über eine HTTP-GET-Anfrage an eine vordefinierte Domäne.
Als Antwort darauf überlagert der Server die Webseite mit einer gefälschten Aktualisierungsaufforderung für Google Chrome. Diese Aufforderung dient dazu, die Malware direkt oder über einen JavaScript-Downloader zu übermitteln, der anschließend BadSpace herunterlädt und initiiert.
Die BadSpace-Hintertür kann eine Vielzahl von aufdringlichen Aktionen ausführen
BadSpace führt nicht nur Anti-Sandbox-Prüfungen durch und stellt Persistenz durch geplante Aufgaben her, sondern sammelt auch Systemdaten. Es kann verschiedene Befehle ausführen, darunter Screenshots erstellen, Befehle über cmd.exe ausführen, Dateien bearbeiten und geplante Aufgaben löschen.
Die Untersuchung der bei dem Angriff verwendeten Command-and-Control-Server (C2) ergab Links zu einer bekannten Malware namens SocGholish (auch bekannt als FakeUpdates). SocGholish ist eine JavaScript-basierte Downloader-Malware, die über eine ähnliche Methode verbreitet wird.
Sicherheitsforscher haben sowohl Einzelpersonen als auch Organisationen vor einem Anstieg von Kampagnen gewarnt, bei denen gefälschte Browser-Update-Taktiken auf kompromittierten Websites zum Einsatz kommen. Diese Kampagnen zielen darauf ab, Informationsdiebe und Remote Access Trojaner (RATs) zu verbreiten.
Backdoor-Bedrohungen können schwerwiegende Folgen für die Opfer haben
Bedrohungen durch Backdoor-Malware stellen ein erhebliches Risiko für die Opfer dar und können schwerwiegende Folgen haben:
- Datendiebstahl : Hintertüren können unbemerkt vertrauliche Informationen wie Passwörter, Finanzdaten, persönliche Dokumente und geistiges Eigentum sammeln. Die so gesammelten Daten können für verschiedene schädliche Zwecke verwendet werden, darunter Identitätsdiebstahl, Finanzbetrug oder Wirtschaftsspionage.
Zusammenfassend lässt sich sagen, dass Bedrohungen durch Backdoor-Malware schwerwiegende und weitreichende Folgen haben können, die nicht nur die digitalen Vermögenswerte des Opfers, sondern auch dessen finanzielle Stabilität, Privatsphäre und Ruf beeinträchtigen.
