Keylogger.SimpleRAT.D

Keylogger.SimpleRAT.D ist eine Bedrohung, die der Kategorie der Keylogger zugeordnet wird. Keylogger sind Schadprogramme, die heimlich die Eingaben und Aktionen eines Benutzers auf einem infizierten Computer überwachen und aufzeichnen. Da keine detaillierten technischen Daten zu dieser spezifischen Bedrohung verfügbar sind, erläutert dieser Artikel das typische Verhalten von Keyloggern und Remote-Access-Tools (RATs), damit Benutzer die mit dieser Art von Infektion verbundenen Risiken verstehen und darauf reagieren können.

Was diese Bedrohung bewirkt

Wie andere Keylogger ist auch Keylogger.SimpleRAT.D so konzipiert, dass er unauffällig im Hintergrund eines infizierten Systems arbeitet und Tastatureingaben, Zwischenablageinhalte, Screenshots und andere Aktivitäten ohne Wissen des Benutzers aufzeichnet. Der Namensbestandteil „RAT“ deutet darauf hin, dass er möglicherweise auch Fernzugriffsfunktionen bietet, die es einem Angreifer ermöglichen, bestimmte Funktionen des infizierten Rechners aus der Ferne zu steuern. Diese Kombination ist typisch für moderne Spyware, bei der Keylogging mit Fernsteuerungsfunktionen kombiniert wird, um Angreifern einen umfassenderen Zugriff auf das System und die Daten des Opfers zu verschaffen.

Die durch diese Art von Bedrohung gesammelten Informationen werden typischerweise an einen von Cyberkriminellen kontrollierten Server gesendet. Dazu gehören Anmeldedaten, Bankdaten, private Nachrichten, Browserverlauf und andere sensible Informationen, die auf dem Gerät eingegeben oder gespeichert wurden.

Wie es üblicherweise auf Computer gelangt

Keylogger und RAT-basierte Bedrohungen wie diese verbreiten sich üblicherweise über die gleichen Methoden wie andere Schadsoftware. Dazu gehören schädliche E-Mail-Anhänge, irreführende Download-Links, gebündelte Software-Installationsprogramme, Downloads von gecrackten oder raubkopierten Programmen und gefälschte Updates. Nutzer installieren diese Art von Bedrohung möglicherweise unwissentlich, indem sie eine infizierte Datei öffnen, auf einen schädlichen Link klicken oder Software aus nicht vertrauenswürdigen Quellen herunterladen. Nach der Installation ist das Programm in der Regel so konzipiert, dass es unbemerkt im Hintergrund läuft und keine Aufmerksamkeit erregt.

Risiken für den Nutzer

Die Bedrohung durch eine Kombination aus Keylogger und Remote-Access-Tool (RAT) birgt erhebliche Risiken für Datenschutz und Sicherheit. Da diese Kombination Tastatureingaben aufzeichnen und potenziell die Fernsteuerung des Rechners ermöglichen kann, könnten sensible Informationen wie Passwörter, Finanzdaten und persönliche Kommunikation in die Hände von Angreifern gelangen. Diese Informationen können später für Identitätsdiebstahl, unautorisierte Finanztransaktionen, Kontoübernahmen oder die weitere Verbreitung von Schadsoftware missbraucht werden. In manchen Fällen ermöglicht der Fernzugriff einem Angreifer zudem die Installation weiterer Schadsoftware oder die Manipulation von Dateien auf dem kompromittierten System.

Anzeichen einer Infektion

Keylogger sind in der Regel so konzipiert, dass sie unbemerkt bleiben, weshalb Infektionen nicht immer offensichtlich sind. Typische Warnzeichen für diese Bedrohungskategorie können jedoch ungewöhnliche Systemverlangsamungen, unerwartete Netzwerkaktivitäten, dem Benutzer unbekannte Programme oder Prozesse, die unerwartete Deaktivierung von Sicherheitstools oder ungewöhnliches Verhalten wie beispielsweise sich bewegende Cursor oder Dateiänderungen ohne Benutzerinteraktion sein. Da diese Symptome variieren können, ist das Fehlen offensichtlicher Anzeichen keine Garantie dafür, dass ein System sicher ist.

Wie Sie sich schützen können

Um das Risiko einer Infektion durch Bedrohungen wie Keylogger.SimpleRAT.D zu verringern, sollten Nutzer Software nicht aus inoffiziellen oder nicht verifizierten Quellen herunterladen, vorsichtig mit E-Mail-Anhängen und Links unbekannter Absender umgehen und ihr Betriebssystem sowie ihre Anwendungen stets mit den neuesten Sicherheitspatches aktualisieren. Die Verwendung seriöser, aktueller Sicherheitssoftware und regelmäßige Systemscans helfen, solche Bedrohungen zu erkennen und zu beseitigen. Die Verwendung sicherer Passwörter, die Aktivierung der Zwei-Faktor-Authentifizierung (wo möglich) und die Aufmerksamkeit auf ungewöhnliches Systemverhalten können den potenziellen Schaden durch Keylogging und Fernzugriffsbedrohungen weiter reduzieren.

Analysebericht

Allgemeine Information

Nachname:	Keylogger.SimpleRAT.D
Signaturstatus:	No Signature

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: 6e1b099574e1051414cd2dd48a4e2ad6 SHA1: 34e726362bf88a9cda263439d31c9545acc5dfe3 SHA256: 0701F93CD1BA5DD07B43127C77AE56671210F43B02A12A8F6C6DDAF74853E783 Dateigröße: 430.59 KB, 430592 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateisymbole

i

Dateisymbole

Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.

Windows PE Versionsinformationen

i

Windows PE Versionsinformationen

Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.

Name	Wert
Assembly Version	1.0.0.0
File Description	usb loader host
File Version	1.0.0.0
Internal Name	UpgradeFirmware.exe
Legal Copyright	Copyright © 2010
Original Filename	UpgradeFirmware.exe
Product Name	usb loader host
Product Version	1.0.0.0

Dateieigenschaften

• .NET
• HighEntropy
• x86

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	134
Potenziell schädliche Blöcke:	62
Zugelassene Blocker:	72
Unbekannte Blöcke:	0

Visuelle Karte

x 0 0 x x x x x x x 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 x x x x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 x x x x 0 0 x 0 0 0 x 0 x x 0 x x x x x x x x x x x x x x x x x x x x x x x x 0 x 0 0 0 0 x x x x x x x x x 0 x 0 0 x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Ähnliche Familien

i

Ähnliche Familien

Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.

• SimpleRAT.D

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation