RemotePE: Lazarus-Gruppe setzt dateilose Schadsoftware ein

Sicherheitsforscher des IT-Dienstleisters Fox-IT haben eine neue, hochentwickelte Schadsoftware der als Lazarus bekannten APT-Gruppe identifiziert. Der als RemotePE bezeichnete Remote-Access-Trojaner (RAT) zeichnet sich durch eine dateilose Arbeitsweise aus. Da die Software vollständig im Arbeitsspeicher des infizierten Systems operiert, hinterlässt sie kaum forensische Spuren auf der Festplatte und erschwert damit die Entdeckung durch herkömmliche Sicherheitssysteme erheblich.

Dreistufige Infektionskette über Social Engineering

Die Experten von Fox-IT konnten den Angriffsverlauf detailliert rekonstruieren. Die Kampagne beginnt demnach mit Social-Engineering-Maßnahmen über den Messengerdienst Telegram. Sobald ein Ziel ausgewählt wurde, setzen die Angreifer eine dreistufige Toolchain ein. Diese besteht aus dem sogenannten DPAPILoader, dem RemotePELoader und schließlich der eigentlichen RAT-Komponente RemotePE.

Der DPAPILoader dient dabei als erste Stufe und nutzt das sogenannte Environmental Keying über die Data Protection API (DPAPI) von Windows. Dieses Verfahren stellt sicher, dass die Schadlast fest an den spezifischen Zielrechner gebunden ist und auf anderen Systemen nicht entschlüsselt werden kann. Nach der erfolgreichen Initialisierung wird der RemotePELoader aktiviert, welcher wiederum den finalen Trojaner RemotePE herunterlädt.

Die Entdeckung von RemotePE zeigt, wie aggressiv Hacker heute menschliche Schwachstellen und technische Sicherheitslücken kombinieren. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre IT-Sicherheit ohne hohe Investitionen zu stärken. Jetzt Gratis-E-Book zu aktuellen Cyberrisiken herunterladen

Technische Merkmale und menschliche Steuerung

RemotePE ist eine in C++ geschriebene Schadsoftware, die über weitreichende Funktionen verfügt. Dazu gehören Dateioperationen, eine umfassende Prozessverwaltung sowie die Fähigkeit, zusätzliche Plugins nachzuladen. Um unentdeckt zu bleiben, verfügt das Programm über Mechanismen zum sicheren Löschen von Daten und zur Manipulation der Systemumgebung. Die Software ist in der Lage, Sicherheits-Hooks zu entfernen und die Windows-Ereignisverfolgung (ETW) zu deaktivieren, wodurch viele Überwachungswerkzeuge wirkungslos werden.

Ein besonderes Merkmal der Operation ist die Einbindung menschlicher Akteure in den Verteilungsprozess. Die Forscher beobachteten, dass die Zustellung der finalen Payload eine manuelle Genehmigung durch die Operateure erfordert. Diese Aktivitäten finden vornehmlich während der Tageszeit in der Zeitzone UTC+9 statt.

Erkennung und Abwehrmaßnahmen

Trotz der hohen Tarnung konnten die Analysten von Fox-IT spezifische Indikatoren für eine Kompromittierung (IoCs) ausmachen. Auf der Host-Ebene zählen dazu unter anderem DPAPI-verschlüsselte Datenobjekte (Blobs) sowie auffällige Dynamic Link Libraries (DLLs). Im Netzwerkbereich lassen sich die Aktivitäten durch DNS-Abfragen an spezifische C2-Domains (Command-and-Control) sowie durch charakteristische Felder in den HTTP-Cookies identifizieren.

Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen, die wie bei Lazarus oft mit Social Engineering beginnen. Experten erklären in diesem kostenlosen E-Book, wie Sie sich proaktiv absichern und Sicherheitslücken schließen, bevor es zu spät ist. Kostenlose Checkliste für IT-Sicherheit jetzt abrufen

Um Unternehmen bei der Abwehr dieser Bedrohung zu unterstützen, hat Fox-IT entsprechende YARA-Regeln und eine Liste der bekannten Indikatoren veröffentlicht. Diese ermöglichen es Sicherheitsteams, ihre Netzwerke gezielt nach Spuren der Lazarus-Gruppe und der RemotePE-Schadsoftware zu durchsuchen.

de | wissenschaft | 69872292 |