Banking-Malware: KRBanker nimmt Angriffsziele mittels Adware und Exploit-Kits ins Visier

foto cc0 pixabay unsplash bank

foto cc0

Online-Banking ist seit vielen Jahren ein bevorzugtes Ziel von Cyberkriminellen – und die Angriffe nehmen weiter zu. Die Verbrecher, die hinter diesen Kampagnen stecken, nehmen gezielt Online-Banking-Nutzer ins Visier, um ihre Anmeldeinformationen zu stehlen und finanzielle Gewinne zu erzielen. Unit 42, das Malware-Analyseteam von Palo Alto Networks, verfolgt die Malwarekampagne »KRBanker«, auch bekannt als »Blackmoon«. Den Forschern von ist es nun gelungen, Samples dieser Malware zu analysieren und weitere Informationen über deren Verbreitung zu gewinnen.

Frühe Malwarevarianten dieser Kampagne tauchten bereits Ende September 2015 auf. Die Anzahl der Infizierungsversuche durch KRBanker bis Jahresende 2015 war noch relativ gering, doch dann verzeichneten die Malwareforscher einen allmählichen Anstieg der Anzahl der Sessions seit Anfang 2016. Insgesamt konnten so in den letzten sechs Monaten fast 2.000 einzigartige Samples von KRBanker und über 200 Pharming-Server-Adressen erfasst werden. Die Analyse von Palo Alto Networks zeigt, dass KRBanker durch Web Exploit-Kits und eine bösartige Adware-Kampagne verteilt wird. Das Exploit-Kit, das für die Installation von KRBanker herangezogen wird, ist bekannt als KaiXin. Eine bösartige Adware, die zur Verbreitung des Exploit-Kits eingesetzt wird, nennt sich NEWSPOT.

Die Forscher haben das KaiXin-Exploit-Kit bei Aktivitäten in Südkorea beobachtet. In diesen Fällen führte bösartiger JavaScript durch manipulierte Websites oder Werbeanzeigen zu dem Exploit-Kit, das die Schwachstellen CVE-2014-0569 oder CVE-2015-3133 in Adobe Flash ausnutzte. Die Nutzlast in beiden Fällen war schließlich KRBanker. Der weitere Distributionskanal, die Adware NEWSPOT, wird damit beworben, 300 Prozent Umsatzwachstum für Online-Shopping-Sites zu generieren. Neben der Adware-Basisfunktion, Werbung in Browsern anzuzeigen, dient NEWSPOT mindestens seit November 2015 auch dazu, Malware zu installieren. Beim Besuch diverser koreanischer Websites, bemerken die Benutzer ein Pop-up mit einem Browser-Add-on, dass sie zur Installation von NEWSPOT auffordert.

Klassische Banking-Trojaner wie Dridex oder Vawtrak nutzen Man-in-the-Browser (MITB)-Techniken, um Anmeldeinformationen der Opfer gezielt zu stehlen. KRBanker hingegen setzt auf Pharming-Technik. Wenn ein kompromittierter Benutzer auf eine der Bankenwebsites, die von den Kriminellen ins Visier genommen wurden, zuzugreifen versucht, wird der Verkehr auf eine gefälschte Website umgeleitet. Der falsche Banking-Server fordert die Besucher auf, ihre Anmeldeinformationen zu senden. Die gefälschte Website erscheint dabei wie ihr legitimes Pendant und wird mit einer gültigen URL in der Adressleiste des Browsers angezeigt. Ziel ist jedoch, die Zugangs- und Kontodaten der Opfer zu stehlen.

Finanzieller Gewinn ist die primäre Motivation für Angreifer, die Banking-Trojaner nutzen. Die Akteure, die hinter KRBanker stecken, haben neue Vertriebskanäle erschlossen, Pharming-Techniken mehrfach weiterentwickelt und bringen täglich neue Varianten ins Spiel, um ihre Einnahmen auf Kosten der Opfer zu maximieren. Die Bedrohung wird verteilt durch Exploit-Kits, die alte Schwachstellen und Adware nutzen, die manuell installiert werden muss. Daher ist es generell wichtig, die Infektionsvektoren solcher Kampagnen zu verstehen, um deren Auswirkungen gezielt zu minimieren.

Kunden von Palo Alto Networks, die AutoFocus nutzen, können diese Bedrohung unter dem AutoFocus-Tag »KRBanker« verfolgen. Kompromittierungsindikatoren zu KRBanker stehen auf der Github-Seite von Unit 42 zur Verfügung unter: https://github.com/pan-unit42/iocs/blob/master/krbanker/hashes.txt