Schädling späht Rechner aus und lädt Daten auf verseuchten Server hoch

Wie die Experten der AlienVault Labs herausfanden, wurde die Website des U.S. Department of Labor gehackt. Beim Besuch der Seite führt sich automatisch eine Malware aus, die wichtige Informationen über den Rechner des Users ausspäht und diese an einen verseuchten Server weiterleitet. Zum Beispiel stellt sie die vorhandene Microsoft Office-Lösung sowie die verwendete Java-Version fest. Außerdem ermittelt der Schädling, welche Anti-Viren-Software installiert ist, und versucht diese zu deaktivieren. Anschließend lädt die Malware einen Schadcode auf das System.

Bei der angegriffenen Webseite handelt es sich um die Präsenz des US-amerikanischen „Department of Labor“ (DOL; Arbeitsministerium) und deren Unterseite „Site Exposure Matrices (SEM)“. Dies ist eine Sammlung von verschiedenen Quellen zu toxischen Substanzen, ermittelt durch das Department of Energy (DOE) sowie die „Radiation Exposure Compensation Act (RECA)“-Einrichtungen. Wie die Experten der AlienVault Labs ermittelten, reicht der Besuch der Site aus, um den Rechner mit der Malware zu infizieren. Sie spioniert den Rechner aus und analysiert neben Details zum Betriebssystem u.a. die Flash Player-Version sowie Erweiterungen des Browsers Google Chrome, die auf die verwendete Antivirensoftware hinweist. Generell späht der Schädling aus, welche Security Suite auf dem Rechner vorhanden ist, und versucht sie zu deaktivieren, um unerkannt zu bleiben. Sobald der Schädling alle gewünschten Daten gesammelt hat, sendet er diese mittels POST-Request an die URL dol[.]ns01[.]us:8081/web/js[.]php.

Threat kopiert sich selbst

Zum Zeitpunkt der Analyse gingen die AlienVault-Spezialisten davon aus, dass der bösartige Server die Schwachstelle CVE-2012-4792 nutzt. Darüber wird schließlich Schadcode auf das System geladen. Sobald dieser den Rechner infiltriert hat, erstellt die Malware eine Kopie von sich selbst im Ordner „Documents and Settings\[CURRENT_USER]\Application Data\conime.exe“. Zudem legt sie einen Registry-Schlüssel an, der auf conime.exe auf „KEY_USERS\Software\Microsoft\Windows\CurrentVersion\Run conime“ hinweist. Nicht zuletzt verbindet sich der Threat mit einem C & C auf microsoftUpdate.ns1.name, der zum Untersuchungszeitpunkt auf einen Google DNS server 8.8.8.8. hinweist.

Weitere Informationen stehen auf der Seite der AlienVault Labs bereit.

Weiterführende Links

• Orginalmeldung von AlienVault Central & Eastern Europe
• Alle Meldungen von AlienVault Central & Eastern Europe