Steganographie: Wie XWorm Malware in Bildern versteckt

MÜNCHEN (IT BOLTWISE) – In der digitalen Welt, in der wir leben, lauern Gefahren oft dort, wo man sie am wenigsten erwartet. Ein unscheinbares Bild, das eine atemberaubende Landschaft zeigt oder als lustiges Meme daherkommt, kann in Wirklichkeit eine Bedrohung verbergen, die nur darauf wartet, zuzuschlagen.

Steganographie ist eine raffinierte Technik, die von Cyberkriminellen genutzt wird, um schädlichen Code in harmlos erscheinenden Dateien zu verstecken. Anders als bei der Verschlüsselung, die Daten unlesbar macht, tarnt die Steganographie den bösartigen Code in Bildern, Videos oder Audiodateien, sodass er für traditionelle Sicherheitstools nahezu unsichtbar bleibt. Angreifer betten ihre Schadsoftware in Bilddateien ein, die später auf dem System des Opfers extrahiert und ausgeführt werden.

Diese Methode bietet Cyberkriminellen zahlreiche Vorteile. Der versteckte Code in Bildern umgeht Antivirenprogramme und Firewalls, da keine verdächtigen ausführbaren Dateien benötigt werden. Die Erkennungsrate ist niedrig, da traditionelle Sicherheitsscans selten Bilder auf Malware überprüfen. Zudem bleibt die Schadsoftware verborgen, bis sie extrahiert und ausgeführt wird, und umgeht so auch E-Mail-Filter, die bei herkömmlichen Phishing-Angriffen Alarm schlagen würden.

Ein aktuelles Beispiel für den Einsatz von Steganographie in einem Malware-Angriff ist die XWorm-Kampagne, die in einer Analyse des ANY.RUN Interactive Sandbox untersucht wurde. Der Angriff beginnt mit einem Phishing-PDF, das einen bösartigen Link enthält, der Benutzer dazu verleitet, eine .REG-Datei herunterzuladen. Diese Datei modifiziert die Systemregistrierung und pflanzt ein verstecktes Skript ein, das automatisch beim Neustart des Computers ausgeführt wird.

Nach dem Ausführen der .REG-Datei wird ein Skript in den Windows-Autorun-Registrierungsschlüssel injiziert, das sicherstellt, dass die Malware beim nächsten Systemneustart gestartet wird. Zu diesem Zeitpunkt wurde noch keine tatsächliche Malware heruntergeladen, sondern nur ein inaktives Skript, das auf seine Aktivierung wartet. Dies macht den Angriff besonders heimtückisch.

Nach einem Systemneustart löst das Registrierungsskript PowerShell aus, das eine VBS-Datei von einem entfernten Server herunterlädt. An diesem Punkt gibt es noch keine offensichtliche Malware, nur ein Skript, das eine scheinbar harmlose Datei abruft. Die eigentliche Bedrohung ist jedoch im nächsten Schritt verborgen, bei dem Steganographie verwendet wird, um die Schadsoftware in einem Bild zu verstecken.

Statt eine ausführbare Datei herunterzuladen, ruft das VBS-Skript eine Bilddatei ab. Doch in diesem Bild ist eine bösartige DLL-Payload versteckt. Bei der statischen Analyse erscheint das Bild legitim, aber bei genauerer Untersuchung wird der versteckte Code sichtbar. Dies bestätigt, dass Steganographie verwendet wurde, um die XWorm-Payload im Bild zu verbergen, sodass sie die Sicherheitsüberprüfung umgeht, bis sie extrahiert und ausgeführt wird.

Im letzten Schritt des Angriffs wird die extrahierte DLL ausgeführt, die XWorm in den AddInProcess32-Systemprozess injiziert. An diesem Punkt erhält der Angreifer Fernzugriff auf das infizierte System, was ihm ermöglicht, sensible Daten zu stehlen, Befehle aus der Ferne auszuführen, zusätzliche Malware zu installieren und das infizierte System als Ausgangspunkt für weitere Angriffe zu nutzen.

Steganographie-basierte Angriffe stellen eine wachsende Herausforderung für Unternehmen dar, da traditionelle Sicherheitstools oft übersehen, dass Malware in Bildern und anderen Mediendateien versteckt ist. Dies ermöglicht es Cyberkriminellen, die Erkennung zu umgehen, Daten zu stehlen und Systeme zu infiltrieren, ohne Alarm auszulösen. Mit Tools wie der interaktiven Sandbox von ANY.RUN können Sicherheitsteams jeden Schritt eines Angriffs visuell verfolgen, versteckte Payloads aufdecken und verdächtige Dateien in Echtzeit analysieren.

Zu den Top-Stories!

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

1.915 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen