Hintergrund
Auf der Spur der digitec Phishing Mails
von Dominik Bärlocher
Was die digitec Phisher wirklich wollen
16.11.2016
Das E-Mail mit dem Schadscript, das von Phishern verschickt worden ist, ist analysiert. Wir erklären die Funktion und wie du den Schädling wieder loswirst.
Nachdem wir Bericht erhalten haben, dass Phishing-Mails mit dem Absender digitec unterwegs sind, haben wir unsere User gewarnt und uns auf Spurensuche begeben.
Während andere sich übers Wochenende auf dem Sofa ausgeruht haben, hat das Team von Christian Margadant, Head of Technics bei Digitec Galaxus AG, den Schadcode entschlüsselt und analysiert. «Wir können mit ziemlicher Sicherheit sagen, was der Schadcode mit den Computern anstellen will», sagt er.
Reverse Engineering mit Vorsicht
Stück für Stück zur Entschlüsselung
Nun, da der ganze Code entschlüsselt ist, können wir euch sagen, was die Malware denn genau macht.
Was die Malware mit deinem Computer anrichtet
Die gute Nachricht zuerst: Deine Daten werden weder gelöscht noch verschlüsselt. Die Schlechte: Dein Geld ist nicht mehr sicher. Aber eins nach dem anderen.
In einem ersten Schritt bereitet die Malware den Boden für komplexere Operationen.
- Deine IP wird geloggt
- Es werden Zertifikate installiert
- Neue Registry-Einträge werden angelegt
Dies an und für sich ist noch nicht schädlich, bietet aber fruchtbaren Boden für weitere Malware. Vor allem die Zertifikate werden im späteren Verlauf der Operationen wichtig.
Im zweiten Schritt werden Downloads ausgeführt. Keine der heruntergeladenen Programme sind an und für sich Malware oder böse. Im Gegenteil. In einigen Teilen der Welt gehören sie zum digitalen Überleben.
Dann startet die Malware den TorBrowser und Proxifier. Damit diese im Hintergrund immer mitlaufen, werden sie als Scheduled Task aufgerufen. Diese Hintergrundprozesse werden getarnt.
- Der Proxifier-Task heisst getarnt MicrosoftUpdate
- Der Tor-Task heisst getarnt SkypeUpdateTask
Hier zeigt sich zum ersten Mal, was die Software wirklich tut. Denn Proxifier wird mit einem Profil versehen. Es leitet Anfragen an bestimmte Websites über eine von Dritten kontrollierte Route weiter. Diese sind:
In einer Man-in-the-Middle-Attacke wird der Traffic vom User zum Host über eine Dritte Stelle weitergeleitet. Dort wird sie mitgelesen.Da Christian Margadant und sein Team aber nicht auf die Seiten im Dark Net zugreifen können, schliesst der Head of Technics auf eine von zwei Möglichkeiten:
- Die Darknet-Sites sind entweder noch nicht oder nicht mehr online
- Die Darknet-Sites akzeptieren nur POST, nimmt also nur Daten entgegen, aber keinen GET, den User benötigen würden, um Daten vom Server im Browser ansehen zu können.
Wie du die Malware wieder los wirst
Die einfachste und mit Abstand gründlichste Lösung, dein System von der Malware zu befreien ist, dein Windows komplett neu aufzusetzen. Dies hat auch User Deville_TGR im vorherigen Artikel richtig erkannt.
Also OS neu aufsetzen?
Genau. Doch das ist nicht immer möglich oder gewünscht, wenn auch empfohlen. Für den Fall, dass du dein Windows nicht neu aufsetzen kannst oder willst, dann gelten folgende Ratschläge, nebst dem ersten Ratschlag, den wir im ersten Artikel erwähnt haben.
Diese Methode schränkt die Bedrohung ein, hinterlässt aber Spuren.
- 7Zip bleibt nach wie vor auf deinem System als Datenmüll bestehen, aber das ist nicht weiter schlimm.
- Die Registry-Einträge bleiben ebenfalls bestehen, da sie nun harmlos sind. Mit einer Software wie CCleaner kann die Registry aber gesäubert werden.
Wenig effektiv unter Windows 10
Christian Margadant hat unter kontrollierten Bedingungen das Script ausgeführt. Er kann nun mit Sicherheit sagen, dass es sich um eine Man-in-the-Middle-Attacke handelt. Und: Das Script ist identisch mit einer Datei, die von einem Absender verschickt wird, der vorgibt, die SBB zu sein, aber vom Absender sbbclient@sbb.rs versendet wird.
Windows-10-User haben Glück. Microsofts neuestes Betriebssystem erkennt die JavaScript-Datei, die den ganzen Schadcode ausführen will mindestens ab den Definitionen in Windows Defender v1.231.1459.0 vom 08.11.2016/10:24 als böse und verhindert die Ausführung. Registry-Einträge werden auch nicht gemacht und Zertifikate werden erst nach Bestätigung durch den User installiert.
Journalist. Autor. Hacker. Ich bin Geschichtenerzähler und suche Grenzen, Geheimnisse und Tabus. Ich dokumentiere die Welt, schwarz auf weiss. Nicht, weil ich kann, sondern weil ich nicht anders kann.
Hintergrund
Interessantes aus der Welt der Produkte, Blicke hinter die Kulissen von Herstellern und Portraits von interessanten Menschen.
Alle anzeigen
