Neue Snake Keylogger-Variante nutzt AutoIt-Skripting zur Erkennungsevasion

MÜNCHEN (IT BOLTWISE) – Eine neue Variante des Snake Keyloggers zielt aktiv auf Windows-Nutzer in China, der Türkei, Indonesien, Taiwan und Spanien ab. Seit Jahresbeginn wurden weltweit über 280 Millionen Infektionsversuche blockiert.

Die Bedrohung durch den Snake Keylogger hat sich mit einer neuen Variante verschärft, die gezielt Windows-Nutzer in verschiedenen Ländern angreift. Laut Berichten von Sicherheitsforschern wurden seit Anfang des Jahres weltweit über 280 Millionen Infektionsversuche abgewehrt. Diese Malware wird typischerweise über Phishing-E-Mails verbreitet, die schädliche Anhänge oder Links enthalten. Ziel ist es, sensible Informationen aus beliebten Webbrowsern wie Chrome, Edge und Firefox zu stehlen, indem Tastenanschläge protokolliert, Anmeldedaten erfasst und die Zwischenablage überwacht werden.

Besonders bemerkenswert an den jüngsten Angriffen ist die Verwendung der AutoIt-Skriptsprache zur Auslieferung und Ausführung der Hauptnutzlast. Das ausführbare Programm, das die Malware enthält, ist ein AutoIt-kompiliertes Binary, das traditionelle Erkennungsmechanismen umgeht. Diese Technik erschwert nicht nur die statische Analyse, indem die Nutzlast im kompilierten Skript eingebettet wird, sondern ermöglicht auch ein dynamisches Verhalten, das gutartigen Automatisierungstools ähnelt.

Einmal gestartet, kopiert sich der Snake Keylogger in eine Datei namens „ageless.exe“ im Ordner „%Local_AppData%supergroup“. Zudem wird eine weitere Datei namens „ageless.vbs“ im Windows-Startordner abgelegt, sodass das Visual Basic Script (VBS) die Malware bei jedem Systemneustart automatisch startet. Durch diesen Persistenzmechanismus kann der Snake Keylogger den Zugriff auf das kompromittierte System aufrechterhalten und seine bösartigen Aktivitäten fortsetzen, selbst wenn der zugehörige Prozess beendet wird.

Der Angriffskette gipfelt in der Injektion der Hauptnutzlast in einen legitimen .NET-Prozess wie „regsvcs.exe“ mittels eines Verfahrens namens Process Hollowing. Dies ermöglicht es der Malware, ihre Präsenz innerhalb eines vertrauenswürdigen Prozesses zu verbergen und der Erkennung zu entgehen. Der Snake Keylogger protokolliert auch Tastenanschläge und nutzt Websites wie checkip.dyndns[.]org, um die IP-Adresse und den geografischen Standort des Opfers abzurufen.

Um Tastenanschläge zu erfassen, verwendet die Malware die SetWindowsHookEx-API mit dem ersten Parameter auf WH_KEYBOARD_LL (Flag 13) gesetzt, einem Low-Level-Tastatur-Hook, der Tastenanschläge überwacht. Diese Technik ermöglicht es der Malware, sensible Eingaben wie Bankdaten zu protokollieren.

Gleichzeitig hat CloudSEK eine Kampagne detailliert beschrieben, die kompromittierte Infrastrukturen von Bildungseinrichtungen ausnutzt, um bösartige LNK-Dateien zu verteilen, die als PDF-Dokumente getarnt sind, um letztendlich die Lumma Stealer-Malware zu installieren. Diese Aktivität, die Branchen wie Finanzen, Gesundheitswesen, Technologie und Medien ins Visier nimmt, ist eine mehrstufige Angriffskette, die zum Diebstahl von Passwörtern, Browserdaten und Kryptowährungs-Wallets führt.

In den letzten Wochen wurde auch beobachtet, dass Stealer-Malware über verschleierte JavaScript-Dateien verteilt wird, um eine Vielzahl sensibler Daten von kompromittierten Windows-Systemen zu ernten und an einen von Angreifern betriebenen Telegram-Bot zu exfiltrieren. Der Angriff beginnt mit einer verschleierten JavaScript-Datei, die codierte Zeichenfolgen von einem Open-Source-Dienst abruft, um ein PowerShell-Skript auszuführen. Dieses Skript lädt dann ein JPG-Bild und eine Textdatei von einer IP-Adresse und einem URL-Shortener herunter, die beide bösartige MZ-DOS-Executables enthalten, die mittels Steganographie eingebettet sind. Nach der Ausführung dieser Nutzlasten wird Stealer-Malware bereitgestellt.

Zu den Top-Stories!

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

1.955 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen