Hacker versuchen, Malware in Microsoft-Hilfedateien zu verstecken

Proben der Vidar-Stealer-Malware wurden an einem Ort gefunden, der höchst unwahrscheinlich erscheint. Die Malware wurde von Forschern ausgerechnet in HTML-basierten Hilfedateien von Microsoft entdeckt.

Ein Sicherheitsforscher von Trustwave veröffentlichte einen Blogbeitrag, in dem die Kampagne, die Vidar verbreitete, detailliert beschrieben wurde. Diese letzte Kampagne wurde als ziemlich rudimentär beschrieben, abgesehen von der Wendung, Malware in Hilfedateien zu stecken.

Langweiliger Köder, clevere Verschleierung

Die Phishing-E-Mails, die zur Verbreitung des Vidar-Infostealers verwendet werden, sehen aus, als wären sie das Produkt einer Kampagne mit minimalem Aufwand. Der Köder ist äußerst einfach, wobei die E-Mail behauptet, „wichtige Informationen“ für das potenzielle Opfer zu enthalten. Wie bei fast jeder Phishing-Kampagne enthält die E-Mail auch einen schädlichen Anhang. In diesem Fall entschieden sich die Hacker für eine .iso Disk-Image-Datei, die so umbenannt wurde, dass sie wie eine MS Word .doc-Datei aussieht.

In der Bilddatei befinden sich nur zwei Dateien – eine Microsoft-Hilfedatei mit dem Namen „pss10r.chm“ und eine Datei mit dem Namen „app.exe“, bei der es sich um die anfängliche Vidar-Nutzlast handelt. CHM-Dateien sind Microsoft-Hilfedateien, die in verschiedenen legitimen Anwendungen verwendet werden und komprimiertes HTML und möglicherweise Bilder enthalten.

Der Grund, warum Hacker auf die Verwendung von CHM-Dateien zurückgegriffen haben, ist, dass sie damit das Laden der MS Help Viewer-Anwendung beim Öffnen der CHM-Datei erzwingen können. Wenn eine mit Malware verseuchte CHM-Datei auf diese Weise geöffnet wird, wird die ausführbare Help Viewer-Datei unbemerkt aufgerufen und verwendet, um die anfängliche Nutzlast app.exe für Vidar zu laden.

Sobald die ausführbare Datei gestartet wird, ruft die Malware ihre Abhängigkeiten und Einstellungen von ihrem C&C-Server ab. Sobald dies erledigt ist, kratzt die Malware alle verfügbaren Informationen aus dem System und überträgt sie dann zurück an den Command-and-Control-Server. Die Forscher stellten fest, dass sie bereits früher eine ähnliche Verschachtelung bösartiger Payloads und sogar die Verwendung von Hilfedateien beobachtet haben. All dies ist nur eine weitere Möglichkeit für Hacker, eine automatische Erkennung auf dem System des Opfers so lange wie möglich zu vermeiden.