Akira Stealer entgeht der Entdeckung

Akira, eine Anfang 2023 entdeckte Schadsoftware zum Diebstahl von Informationen, ist in der Lage, vertrauliche Daten wie gespeicherte Anmeldedaten, Zahlungskarteninformationen, Benutzernamen, Systemidentifikationen, Hardwarespezifikationen, installierte Software und Netzwerkkonfigurationen zu stehlen. Nach dem Extrahieren dieser Daten werden sie auf „GoFile“, einen Online-Speicherdienst, und auf Discord-Messaging-Konten hochgeladen, die vom Bedrohungsakteur kontrolliert werden. Wie Cyber Security News exklusiv berichtet, setzt Akira Stealer einen mehrstufigen Infektionsprozess ein, um seinen Code zu verbergen und einer Entdeckung zu entgehen.

Der Bedrohungsakteur bietet auch Dienste über Telegram, einen C2-Server und GitHub an. Darüber hinaus behaupten sie, dass diese Malware „vollständig nicht nachweisbar“ (FUD) sei. Ihr Telegram-Kanal „Akira“ hat derzeit 358 Abonnenten. Darüber hinaus stellt der Bedrohungsakteur eine Malware-as-a-Service-Domäne unter „https[:]//akira[.]red/“ bereit.

Akira kommt in ein CMD-Skript

Zu Analysezwecken erhielten die Forscher eine Beispieldatei mit dem Namen „3989X_NORD_VPN_PREMIUM_HITS.txt.cmd“. Bei dieser Datei handelte es sich um ein CMD-Skript mit verstecktem, verschleiertem Code. Bemerkenswert ist, dass diese Datei, wie der Bedrohungsakteur behauptet, von VirusTotal unbemerkt bleibt. Bei der Ausführung wird eine verborgene Batchdatei.bat im aktuellen Verzeichnis abgelegt, die ebenfalls unempfindlich für die Erkennung ist. Diese Datei enthält ein verschleiertes PowerShell-Skript, das die Batchdatei mit der Datei tmp.vbs zur Ausführung über den Prozess csscript.exe integriert.

Beim Informationsdiebstahl richtet die Malware einen Ordner ein, der nach dem kompromittierten PC benannt ist, um die gestohlenen Daten zu speichern. Anschließend beginnt der Diebstahl von Informationen aus verschiedenen Webbrowsern, darunter Microsoft Edge, Google Chrome, Opera, Mozilla Firefox und 14 anderen Browsern. Darüber hinaus ist die Malware in der Lage, auf Finanzdaten abzuzielen, darunter gespeicherte Kreditkartendaten und Anmeldedaten, das Sammeln von Lesezeichen und Wallet-Erweiterungsdaten, das Aufzeichnen von Screenshots und mehr.

Wie kann Malware der Erkennung entgehen?

Malware kann verschiedene Techniken einsetzen, um der Erkennung durch Sicherheitssoftware zu entgehen und der Kontrolle von Cybersicherheitsexperten zu entgehen. Zu diesen Umgehungstaktiken gehören:

• Polymorpher Code: Malware kann polymorphen Code verwenden, um ihr Erscheinungsbild jedes Mal zu ändern, wenn sie ein neues System infiziert. Dies macht es für signaturbasierte Antivirensoftware schwierig, sie zu identifizieren und zu blockieren, da sich der Code der Malware ständig ändert.
• Metamorpher Code: Ähnlich wie polymorpher Code schreibt sich metamorpher Code bei jeder Infektion vollständig neu, was die Erkennung noch schwieriger macht.
• Rootkit-Techniken: Malware kann Rootkit-Techniken verwenden, um ihre Präsenz auf einem System zu verbergen. Rootkits manipulieren das Betriebssystem, um die Dateien, Prozesse und Registrierungseinträge der Malware zu verbergen.
• Verschlüsselung und Codierung: Malware kann ihren Code verschlüsseln oder verschlüsseln, um ihn für Sicherheitssoftware unlesbar zu machen. Es entschlüsselt oder dekodiert seine Nutzlast erst, wenn sie sich sicher im Zielsystem befindet, was es schwierig macht, sie vor der Ausführung zu erkennen.
• Heimliches Laden: Malware nutzt möglicherweise Techniken, um sich selbst in den Speicher zu laden, ohne auf die Festplatte zu schreiben, wodurch die Wahrscheinlichkeit geringer ist, dass sie von dateibasierten Sicherheitsscans erkannt wird.
• Dynamische Verknüpfung: Einige Malware verwendet dynamische Verknüpfung, was bedeutet, dass bei der Ausführung nur die erforderlichen Bibliotheken geladen werden, wodurch die Anzahl verdächtiger Dateien oder Funktionen verringert wird, die erkannt werden können.
• Anti-Analyse-Techniken: Malware kann erkennen, wenn sie in einer Sandbox oder einer virtuellen Umgebung ausgeführt wird, und sich in solchen Situationen harmlos verhalten, was es für Forscher schwieriger macht, ihr Verhalten zu analysieren.
• Code-Verschleierung: Malware-Autoren können ihren Code absichtlich verschleiern, was es für Sicherheitsanalysten schwierig macht, die Logik und Funktionalität der Malware zu verstehen.
• Dateilose Malware: Manche Malware operiert vollständig im Speicher und hinterlässt keine Spuren im Dateisystem, wodurch signaturbasierte Erkennungsmethoden umgangen werden können.