Nieuws  
 

Onderzoekers van Kaspersky Lab hebben een nieuwe variant van het Trojan-virus SynAck ontdekt. Deze ransomware gebruikt de Doppelgänging-techniek: het virus nestelt zich in legitieme processen en omzeilt zo de antivirusbeveiliging. Het is voor het eerst dat de Doppelgänging-techniek in ransomware ‘in het wild’ is waargenomen. De ontwikkelaars van SynAck passen nog meer trucjes toe om detectie en analyse te omzeilen. Zo wordt voorafgaand aan de compilatie alle malwarcode onleesbaar gemaakt en het programma onmiddellijk afgesloten bij het vermoeden dat het in een sandbox draait.

De SynAck ransomware is sinds het najaar van 2017 bekend. In december werd geconstateerd dat de ransomware het voornamelijk op Engelstalige gebruikers heeft voorzien. Eerst vindt er een brute aanval plaats met behulp van RDP (remote desktop protocol), waarna de malware handmatig wordt gedownload en geïnstalleerd. De nieuwe variant die onderzoekers van Kaspersky Lab hebben ontdekt, gaat veel verfijnder te werk met de Process Doppelgänging-techniek die detectie omzeilt.

De in december 2017 gerapporteerde Process Doppelgänging-techniek valt onder fileless malware. Hierbij wordt de code direct in het geheugen geladen, zonder bestand. De code maakt gebruik van een ingebouwde Windows-functie en ongedocumenteerde implementatie van de Windows process loader. De manier waarop Windows bestandstransacties verwerkt wordt gemanipuleerd. Hierdoor kunnen de kwaadaardige acties zich voordoen als onschuldige, legitieme processen. Zélfs als er een code wordt gebruikt die al bekend is. Doppelgänging laat geen sporen na, wat het buitengewoon moeilijk maakt om een inbreuk van dit type te detecteren. Dit is de eerste keer dat er ‘in het wild’ ransomware is ontdekt die deze techniek toepast.

Andere opvallende kenmerken van de nieuwe SynAck-variant:

  • De Trojan maakt vóór de compilatie zijn uitvoerbare code onleesbaar in plaats van hem in te pakken, zoals de meeste ransomware doet. Dit maakt het moeilijker om de code te manipuleren en analyseren.
  • Het verdoezelt de links naar de noodzakelijke API-functie en slaat niet de strings zelf op, maar hashes naar de strings.
  • Tijdens de installatie kijkt de Trojan heel goed naar de directory van waaruit de executable wordt gelanceerd. Bij iedere indicatie dat dit een ‘onjuiste’ map is – bijvoorbeeld een mogelijke geautomatiseerde sandbox – wordt het programma direct afgebroken.
  • De malware wordt ook afgebroken als het toetsenbord van de pc staat ingesteld op het Cyrillische schrift.
  • Voordat hij bestanden gaat versleutelen, vergelijkt SynAck de hashes van alle actieve processen en services met zijn eigen hard-coded lijst. Als er een overeenkomst wordt gevonden, probeert de malware het proces te beëindigen. Mogelijk maakt dit het makkelijker om waardevolle bestanden te pakken te krijgen die anders actief zijn. Het gaat hier om processen als virtuele machines, kantoortoepassingen, script-tolken, databaseapplicaties, back-upsystemen en games.

De onderzoekers zijn van mening dat aanvallen met deze nieuwe SynAck-variant zeer gericht zijn. Tot nu toe hebben ze een beperkt aantal aanvallen waargenomen in de Verenigde Staten, Koeweit, Duitsland en Iran, met losgelden van 3000 dollar.

Kaspersky Lab detecteert deze SynAck-variant als:

  • Trojan-Ransom.Win32.Agent.abwa
  • Trojan-Ransom.Win32.Agent.abwb
  • PDM:Trojan.Win32.Generic

Plaats op:
Datum: 8 mei 2018
Bron: Kaspersky Lab
Gerelateerde artikelen  
14-03-2017 Nieuws Criminelen stelen ransomware code van hun collega's
02-02-2009 Nieuws 20 meest Kwaadaardige programma's in 2009
08-09-2010 Nieuws GFI Software presenteert top 10 malware-bedreigingen
18-06-2010 Nieuws D tool van cybercriminelen in mei
06-11-2015 Nieuws Palo Alto Networks ontdekt nieuwe versie CryptoWall ransomware
 
 

- partners -

 
 
 
 
 
� 2007 - 2018 Vakwereld. All rights reserved Pagina geladen in 0,32 seconden.