Qbot-Malware passt sich gegenüber der neuesten Verteidigungstaktik von Microsoft an
Zuletzt aktualisiert am 9. Juni 2023 von Marina Meier
Obwohl Microsoft in den letzten Jahren beachtliche Fortschritte bei der Bekämpfung von Malware und der Verhinderung ihrer Verheerungen gemacht hat, einschließlich des kürzlichen Verbots von Makros in Office-Dateien, die aus dem Internet heruntergeladen werden, scheinen Bedrohungsakteure immer einen Weg zu finden. Die berüchtigte Qbot-Malware hat sich nun weiterentwickelt, um effektiv gegen die neueste Taktik von Microsoft vorzugehen.
Laut einer Studie von Black Lotus Labs hat die Qbot-Malware, die vor über einem Jahrzehnt als Banking-Trojaner begann, ihr Vertriebsnetzwerk, ihre Bereitstellungsmethoden und ihre Befehls- und Kontrollserver (C2) schnell an die Änderungen von Microsoft angepasst. Darüber hinaus haben die Angreifer auch neue Techniken für den initialen Zugriff in Phishing-Kampagnen eingeführt, wie zum Beispiel die Verwendung von bösartigen OneNote-Dateien, Mark of the Web-Evasion und HTML-Smuggling.
“Qakbot hat gezeigt, dass es widerstandsfähig ist, indem es einen einfallsreichen Ansatz beim Aufbau und der Entwicklung seiner Architektur verwendet… es zeigt technische Kompetenz, indem es verschiedene Methoden für den initialen Zugriff einsetzt und eine robuste, aber ausweichende Wohn-C2-Architektur aufrechterhält”, heißt es in dem Bericht.
Größere Anpassungsfähigkeit
Neben den neuen Bereitstellungsmethoden haben die Qbot-Betreiber auch ihre Verwaltung der C2-Server modifiziert. Anstatt auf gehostete virtuelle private Server (VPS) angewiesen zu sein, verstecken die Angreifer die C2-Server nun in kompromittierten Webservern und Hosts in Wohn-IP-Räumen. Obwohl dieser Ansatz dazu führt, dass die Server eine kürzere Lebensdauer haben, können Hacker schnell neue Server erhalten. Während eines Spamzyklus werden etwa 90 neue C2-Server jede Woche hochgefahren.
Darüber hinaus ist die Umwandlung von Bots in C2-Server für den Betrieb von Qbot entscheidend. Denn über 25% dieser Server sind nur einen Tag lang aktiv, und die Hälfte überlebt nicht länger als eine Woche. Daher spielen umgewandelte Bots eine wichtige Rolle bei der Auffrischung des C2-Serverbestands.
Zu allem Überfluss wird die Malware laut dem Bericht auch in absehbarer Zukunft eine erhebliche Bedrohung darstellen. “Es gibt derzeit keine Anzeichen dafür, dass Qakbot langsamer wird.”
