LabRat-Malware
Ein heimtückisches Malware-Paket, das außerordentlich schwer zu erkennen ist, hat aufgrund seiner offensichtlichen Fähigkeit, zahlreiche Abwehrmaßnahmen und Sicherheitsprotokolle zu umgehen, Anlass zur Sorge gegeben. Eingehende, von Experten durchgeführte Untersuchungen haben die LabRat-Malware aufgedeckt, die ein bemerkenswertes Maß an Raffinesse in ihren Strategien aufweist, um verborgen und einsatzbereit zu bleiben, ohne entdeckt zu werden.
Im Gegensatz zu den meisten ähnlichen Cyberangriffen, bei denen Geschwindigkeit wichtiger ist als Subtilität, weist der Einsatz der LabRat-Malware ein hohes Maß an Raffinesse auf. Dieser Bedrohungsakteur hat seine Operationen sorgfältig mit besonderem Augenmerk auf Tarnung konzipiert, ein Faktor, den viele Angreifer gerne vernachlässigen. Diese gewissenhaften Bemühungen seitens des Bedrohungsakteurs werden die Herausforderungen für die Verteidiger bei der Identifizierung und Abwehr dieser Bedrohung deutlich erhöhen.
Die LabRat-Malware führt Krypto- und Proxyjacking-Aktionen durch
Die Analyse der LabRat-Malware zeigt, dass es sich bei der Bedrohung um einen relativ typischen Fall eines Cryptojacking- und Proxy-Jacking-Tools handelt. Bei einer Kryptojacking-Kampagne nutzen die Angreifer den Computer des Opfers heimlich zum Schürfen von Kryptowährungen und erwirtschaften Gewinne, indem sie die Ressourcen des Opfers ausnutzen. Andererseits besteht eine Proxy-Jacking-Kampagne darin, den Computer des Opfers stillschweigend in ein Peer-to-Peer-Netzwerk zur gemeinsamen Bandbreitennutzung einzubinden, was dem Angreifer durch die Erweiterung seiner Ressourcen zugute kommt.
Die Angriffsmethode basiert auf einer bekannten Schwachstelle in GitLab-Servern (CVE-2021-2205) und nutzt diese aus, um Code aus der Ferne auszuführen und die Malware-Nutzlast auf den gefährdeten Computer zu übertragen.
Was diese spezielle Angriffskampagne jedoch auszeichnet, ist die bemerkenswerte Hingabe, mit der die Malware-Ersteller ihren Code verbergen. Darüber hinaus fügt die Einführung des TryCloudFlare-Dienstes zur Weiterleitung des Datenverkehrs eine zusätzliche Ebene hinzu und verschleiert effektiv die Identität der Angreifer vor den Systemen, die sie kompromittiert haben.
Die LabRat-Angriffsoperation legt großen Wert auf Heimlichkeit
Die LabRat-Malware ist mit robuster Verschlüsselung und ausgefeilten Anti-Reverse-Engineering-Techniken ausgestattet, was ihre Erkennung zu einer äußerst anspruchsvollen Aufgabe macht. Die in Go codierten Persistenz-Binärdateien zeigten eine bemerkenswerte Fähigkeit, unbemerkt zu bleiben, ebenso wie die bei dem Angriff eingesetzten Krypto-Miner-Komponenten.
Die Forscher stellten fest, dass die LabRat-Gruppe bei ihren Bemühungen, den Code zu verschleiern, ein außergewöhnliches Maß an Engagement an den Tag gelegt hatte, sodass die bedrohliche Nutzlast im Verborgenen agieren konnte. Tatsächlich scheinen die Bedrohungsakteure hinter dieser Kampagne im Vergleich zu vielen anderen mehr Wert auf die Aufrechterhaltung der Tarnung zu legen, da sie erkennen, dass Zeit direkt mit einem höheren finanziellen Gewinn einhergeht. Je länger sie ihren Zugriff aufrechterhalten können, während sie die Proxy-Jacking- und Kryptomining-Software ausführen, desto höher ist ihre finanzielle Rendite.
Die Bedeutung, unbemerkt zu bleiben, ist besonders wichtig im Zusammenhang mit Proxy-Jacking, wo die Wirksamkeit eines nicht zuordenbaren Netzwerks direkt mit der Anzahl der darin enthaltenen Knoten verknüpft ist. Sollte die Anzahl der Knoten sinken, besteht die Gefahr, dass der Dienst blockiert wird oder einfach wirkungslos wird.
