Astaroth-Infostealer-Kampagne

Samantha Clarke und die Sicherheitsforscher von Mimecast haben kürzlich eine „Astaroth“-Kampagne zur Datenerhebeung identifiziert (intern als MCTO1022 erfasst). Astaroth ist ein ausgereifter Trojaner zum Diebstahl von Daten, der seit 2017 in der Bedrohungslandschaft aktiv ist, wobei seine Entwicklungsaktivitäten bis ins Jahr 2015 zurückverfolgt werden können. Die Malware zielt gezielt auf lateinamerikanische Länder ab und konzentriert sich dabei vor allem auf Brasilien und Mexiko, wo sie die höchsten Infektionsraten verzeichnet.

Astaroth nutzt einen ausgeklügelten, mehrstufigen Infektionsprozess, der mit einer Phishing-E-Mail beginnt, die eine verschleierte URL enthält, die auf secureserver.net gehostet wird. Beim Anklicken des Links wird ein ZIP-Archiv heruntergeladen, das eine schädliche Verknüpfungsdatei (.lnk) enthält, die mithilfe von cmd.exe und mshta.exe verschleiertes JavaScript ausführt, welches anschließend eine Verbindung zu einem Command-and-Control-Server (C2) herstellt, um sensible Systemdaten zu exfiltrieren. Die Malware zeichnet sich insbesondere durch ihre dateilosen Angriffstechniken, ihre Fähigkeit, legitime Betriebssystem-Tools zu missbrauchen, sowie durch ausgefeilte Umgehungsmethoden aus, mit denen sie herkömmliche Sicherheitsmaßnahmen umgehen kann.

Die Bedrohung zeugt durch ihre modulare Architektur von einer ausgeklügelten operativen Planung, die umfassende Möglichkeiten zur Datenexfiltration ermöglicht, darunter Bankzugangsdaten, Sitzungs-Cookies und gespeicherte Anmeldedaten für Websites. Mehrere Sicherheitsanbieter haben die technische Entwicklung von Astaroth dokumentiert, darunter auch Cybereason mit seiner Analyse von Kampagnen, die über eine sichere Serverinfrastruktur auf Brasilien und Mexiko abzielten. Die Kampagnen von Astaroth zeichnen sich durch eine bemerkenswerte Kontinuität aus: Sie halten sich an tägliche Aktivitätspläne, die Wochenenden ausschließen, und erreichen eine beträchtliche Reichweite durch E-Mail-Versandvolumina zwischen 10.000 und 100.000 Nachrichten pro Tag. Die Sicherheitsforschung von Microsoft dokumentierte frühe Varianten dieser unsichtbaren Angriffstechniken und wies dabei auf das anhaltend hohe Tempo der Kampagne sowie die Weiterentwicklung der Infrastruktur hin.

Der operative Erfolg von Astaroth beruht auf der Implementierung von Geofencing, wodurch sichergestellt wird, dass die Auslieferung der Nutzlast ausschließlich innerhalb der vorgesehenen Zielregionen erfolgt. Dadurch werden die Infektionsraten maximiert und gleichzeitig das Risiko minimiert, von Sicherheitsforschern entdeckt zu werden, die außerhalb dieser Regionen tätig sind. Dieser Targeting-Ansatz zeugt von einem fundierten Verständnis der regionalen Sicherheitslage und der Verhaltensmuster der Nutzer.