Sie sind hier: Startseite » IT Security » Cyber-Angriffe & Sicherheitslecks

Malware sucht nach Windows-API-Funktionen

PipeMagic-Backdoor tarnt sich als ChatGPT-Anwendung
Kaspersky entdeckte die PipeMagic-Backdoor erstmalig im Jahr 2022; damals hatte es die Malware auf Unternehmen in Asien abgesehen

Die Experten von Kaspersky haben eine neue schädliche Kampagne mit dem PipeMagic-Trojaner entdeckt, der sich in einer gefälschten ChatGPT-Anwendung versteckt. Dabei kommt eine Backdoor zum Einsatz, die sowohl vertrauliche Daten extrahieren kann als auch vollständigen Fernzugriff auf infizierte Geräte bietet. Weiterhin fungiert die Malware als Gateway, so dass sie weitere Malware nachladen kann und damit den Start weiterer Angriffe im Unternehmensnetzwerk ermöglicht.

Kaspersky entdeckte die PipeMagic-Backdoor erstmalig im Jahr 2022; damals hatte es die Malware auf Unternehmen in Asien abgesehen. Die aktuelle Version versteckt sich nun in einer gefälschten ChatGPT-Anwendung, die in der Programmiersprache Rust erstellt wurde. Diese Backdoor erscheint zunächst legitim und enthält mehrere gängige Rust-Bibliotheken, die auch in anderen Rust-basierten Anwendungen verwendet werden. Wird die Anwendung jedoch ausgeführt, zeigt sie einen leeren Bildschirm ohne sichtbare Nutzeroberfläche an – dabei versteckt sie 105.615 Byte verschlüsselter Daten, bei denen es sich um die schädliche Payload handelt.

Nachdem die Anwendung gestartet wurde, sucht die Malware nach wichtigen Windows-API-Funktionen. Hierfür durchforstet sie die entsprechenden Speicher mithilfe eines Names-Hashing-Algorithmus. Anschließend weist sie Speicher zu, lädt die PipeMagic-Backdoor, passt die erforderlichen Einstellungen an und führt die Malware aus. Eines der einzigartigen Merkmale von PipeMagic ist, dass es ein 16-Byte-Zufallsarray generiert, um eine named Pipe im Format \\.\pipe\1.<hex string> zu erstellen. Es erzeugt einen Prozess, der kontinuierlich diese Pipe erstellt, Daten daraus liest und sie wieder schließt. Die Pipe wird zum Empfang verschlüsselter Payloads und Stoppsignale über die standard lokale Schnittstelle verwendet. PipeMagic funktioniert normalerweise mit mehreren Plugins, die von einem Command-and-Control-Server (C2) heruntergeladen werden, der in diesem Fall auf Microsoft Azure gehostet wurde.

"Cyberkriminelle entwickeln ihre Strategien ständig weiter, um mehr Opfer zu erreichen und ihre Präsenz auszuweiten, wie die jüngsten Angriffe des PipeMagic-Trojaners zeigen. Angesichts der Fähigkeiten erwarten wir eine Zunahme von Angriffen, die diese Backdoor ausnutzen", so Sergey Lozhkin, Principal Security Researcher im Global Research & Analysis Team (GReAT) bei Kaspersky. (Kaspersky Lab: ra)

eingetragen: 29.11.24
Newsletterlauf: 18.12.24

Netscout Systems: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Cyber-Angriffe

Signatur ist nicht gleich Signatur
Geraten digitale Prozesse immer wieder ins Stocken, weil etwas unterzeichnet werden muss? Dann wird es Zeit, eine moderne Signaturlösung in die eigenen Abläufe zu integrieren. Bereits seit den 1970er Jahren wird immer wieder das papierlose Büro prognostiziert. Lange haben sich diese Prognosen eher als Papiertiger erwiesen, doch heute sind wir näher an der Umsetzung als je zuvor. In Zeiten von Tablets, 5G-Konnektivität und KI-Assistenten sind Ausdrucke für die meisten Büroangestellten eher zu einer Last geworden. Ganz verschwunden sind sie dennoch nicht und dafür sorgt nicht selten das Nadelöhr Unterschrift. Oft brechen an diesem Punkt Prozesse ab, die ansonsten vollständig digital ablaufen.
Identity Lifecycle Management
Wirtschaftliche Veränderungen wirken sich auf nahezu alle Unternehmensbereiche aus. Immer betroffen ist die Belegschaft: Prosperiert ein Unternehmen, stellt es Leute ein, in Zeiten der Rezession versucht es durch Personalentlassungen Kosten einzusparen. In jedem Konjunkturzyklus, sei es Expansion, Rezession oder Erholung, entstehen durch personelle Fluktuation spezifische Herausforderungen für die Verwaltung von Mitarbeiter-, Kunden- und Partner-Identitäten - und somit auch für die IT-Sicherheit. Denn nicht mehr benötigten Nutzerkonten müssen Zugriffsrechte entzogen, neu angelegten solche gewährt werden und das alles in Einklang mit Unternehmens- und Compliance-Richtlinien. Den Lebenszyklus einer digitalen Identität zu verwalten, wird als Identity Lifecycle Management bezeichnet.
Datenklau als primäres Ziel
Das Damoklesschwert Ransomware ist nicht neu, aber es schlägt immer etwas anders aus. Große Akteure wie LockBit und ALPHV/BlackCat sind scheinbar passé, doch in entstehende Lücken drängen neue, noch nicht etablierte Gruppen. Die Ransomware-as-a-Service (RaaS)-Gruppen revidieren zudem ihre interne Arbeitsaufteilung und -organisation. Selbst Staaten wie Russland und Nordkorea entdecken Ransomware als Einnahmequelle.

Meldungen: Cyber-Angriffe

Signatur ist nicht gleich Signatur
Geraten digitale Prozesse immer wieder ins Stocken, weil etwas unterzeichnet werden muss? Dann wird es Zeit, eine moderne Signaturlösung in die eigenen Abläufe zu integrieren. Bereits seit den 1970er Jahren wird immer wieder das papierlose Büro prognostiziert. Lange haben sich diese Prognosen eher als Papiertiger erwiesen, doch heute sind wir näher an der Umsetzung als je zuvor. In Zeiten von Tablets, 5G-Konnektivität und KI-Assistenten sind Ausdrucke für die meisten Büroangestellten eher zu einer Last geworden. Ganz verschwunden sind sie dennoch nicht und dafür sorgt nicht selten das Nadelöhr Unterschrift. Oft brechen an diesem Punkt Prozesse ab, die ansonsten vollständig digital ablaufen.
Identity Lifecycle Management
Wirtschaftliche Veränderungen wirken sich auf nahezu alle Unternehmensbereiche aus. Immer betroffen ist die Belegschaft: Prosperiert ein Unternehmen, stellt es Leute ein, in Zeiten der Rezession versucht es durch Personalentlassungen Kosten einzusparen. In jedem Konjunkturzyklus, sei es Expansion, Rezession oder Erholung, entstehen durch personelle Fluktuation spezifische Herausforderungen für die Verwaltung von Mitarbeiter-, Kunden- und Partner-Identitäten - und somit auch für die IT-Sicherheit. Denn nicht mehr benötigten Nutzerkonten müssen Zugriffsrechte entzogen, neu angelegten solche gewährt werden und das alles in Einklang mit Unternehmens- und Compliance-Richtlinien. Den Lebenszyklus einer digitalen Identität zu verwalten, wird als Identity Lifecycle Management bezeichnet.
Datenklau als primäres Ziel
Das Damoklesschwert Ransomware ist nicht neu, aber es schlägt immer etwas anders aus. Große Akteure wie LockBit und ALPHV/BlackCat sind scheinbar passé, doch in entstehende Lücken drängen neue, noch nicht etablierte Gruppen. Die Ransomware-as-a-Service (RaaS)-Gruppen revidieren zudem ihre interne Arbeitsaufteilung und -organisation. Selbst Staaten wie Russland und Nordkorea entdecken Ransomware als Einnahmequelle.

Auf ICS spezialisierte Malware Raffinierte und koordinierte DDoS-Angriffe