Ein Sicherheitsteam von Experten hat eine neue Generation von Malware entdeckt, das von der Turla Hacker-Gruppe erstellt wird und der Reductor Trojan genannt. Nach der vorliegenden Forschung ist es ein Nachfolger des bereits veröffentlichten COMpfun Malware, die zunächst über zurückgemeldet wurden 2014. Die aktiven Kampagnen, die sie tragen scheinen gegen Ziele in Belarus und Russland gelegen zu sein.
Reductor Trojan ist das neueste Dangerous Malware By The Turla Hacker
Die Turla Hacker-Gruppe ist eine erfahrene Gruppe, die eine gefährliche neue Bedrohung bekannt als der Reductor Trojan entwickelt hat. Es wird auch durch eine ganz neue Technik verteilt.
Der Malware-Modul wird angenommen, dass durch einen neuen Ansatz geschehen, die nicht die klassische Mann-in-the-Middle-Angriff ist, die von diesen Fällen typisch ist. Stattdessen wird die Malware so Sicherheitszertifikate in dem Web-Browser installieren ermöglicht die Remote-Angreifer sichere Sitzungen und private Informationen kapern. Die likey Methode, die von den Angreifern verwendet wurde, ist die Verteilung von Malware-infizierte Anwendung Installateure von Web-Browsern. Ein wahrscheinlicher Ort, um sie zu finden ist, sie zu laden, um “warez” sites - schattige Stellplätze, die vorhandene Piraten-Anwendungen und Daten, die in der Regel von Hackern oder Betrügern betrieben werden. Es gibt zwei mögliche Szenarien in diesem Fall:
- Copycat Installateure - Der Hacker kann das legitime Setup Bündel der gängigen Browser verkörpert - die beliebtesten sind Mozilla Firefox und Google Chrome.
- Modifizierte App Installateure & Kundenspezifische Versionen - Der Hacker kann erstellen “Aktualisiert” oder “optimiert” Versionen des gängigen Web-Browser und sie auf die gefälschten Websites präsentieren. Die andere Technik ist fake neuen Browser zu erstellen, welche Versionen der populären Anwendungen lediglich umfirmiert werden, die den Virus-Code verfügen.
Zu jeder Zeit können die Vertriebstechniken zu anderen Methoden verschieben: die Verwendung von File-Sharing-Netzwerken und die Aufnahme von Links auf die Malware-Seiten per E-Mail-Nachrichten und Social Network-Profile, die entweder gehackt oder gefälschte sind.
Der Reductor Trojan und seine Fähigkeiten
Sobald der Reductor Trojan auf einem bestimmten System seine Hauptmaschine wird gestartet eingesetzt wird. Es ist für einen Hacker-gesteuerten Server verbinden, die die Hacker die Kontrolle über den Rechner zu übernehmen erlaubt, stehlen ihre Dateien und auch andere Bedrohungen installieren.
Was gefährlich ist, ist die Tatsache, dass der Trojaner Lage sein wird, alle sensiblen und sicheren Verkehr kapern, die von den Benutzern fließt auf Internetseiten und umgekehrt. Durch die Ausführung des entsprechenden Motors können die Kriminellen eine Vielzahl von gefährlichen Aktionen durchführen. Die erfassten Proben wurden gefunden folgendes ermöglichen:
- host - Dieser Befehl wird der Computer des Hostnamen abrufen
- gettimeout - Damit wird der Timeout-Wert aus der Windows-Registrierung abrufen
- domain - Dies wird das aktuell verwendete C übertragen&C-Server-Domäne
- downfile - Dies wird eine bestimmte Datei auf dem infizierten Computer herunterladen
- upfile - Dadurch wird eine Datei auf den verunreinigten Computer hochladen
- Optionen - Ermöglicht der Hacker bestimmte Werte in der Windows-Registrierung bearbeiten out
- execfile - Dies wird eine bestimmte Datei auf der Remote-Host ausführen
- nop - Idle
- töten - Dies löscht alle Dateien und Daten, die mit dem Reductor Trojan verbunden sind,. Dazu gehört auch die digitalen Zertifikate, Dateien, Kekse, Windows-Registry-Werte und alle zugehörigen Module
- Datei löschen - Dadurch wird eine Datei an einem bestimmten Ort löschen
- certlist - Damit werden die digitalen Zertifikate der installierten Malware erneuern
Neben dem Haupt-Trojan-Engine selbst der Hacker wahrscheinlich gemeinsame Module einschließlich der Freigabe persistent Installation ein. Es wird die Boot-Konfigurationsoptionen bearbeitet somit die Hauptmaschine ermöglicht so schnell zu starten, wie das Betriebssystem gestartet wird,. In vielen Fällen wird dies auch den Zugriff auf die Recovery-Boot-Optionen deaktivieren. Die Tatsache, dass der Hacker sicheren Verkehr Ziel gibt uns Grund zu der Annahme, dass die Hacker-Gruppe wahrscheinlich Online-Banking-Sitzungen kapern versucht,. Allerdings sind andere Szenarien wahrscheinlich auch für den Diebstahl sensibler Daten verwendet werden soll, sowie Überwachung der High-Profile-Targets.
Martin Beltov
Martin hat einen Abschluss in Publishing von der Universität Sofia. er schreibt gerne über die neuesten Bedrohungen und Mechanismen des Eindringens Als Cyber-Security-Enthusiasten.
Folge mir: