Lemon Duck - Anther Blick auf den hartnäckigen Cryptominer
Lemon Duck ist eine Krypto-Mining-Malware, die es seit einigen Jahren gibt. Es wurde erstmals im Sommer 2019, also vor etwas mehr als zwei Jahren, von Sicherheitsforschern entdeckt und seitdem in mehreren gezielten Kampagnen eingesetzt.
Forscher von Microsoft haben eine aktualisierte Untersuchung des Kryptominers Lemon Duck veröffentlicht, die einige kuriose Trends in seiner Entwicklung skizziert.
Lemon Duck kann sowohl Windows- als auch Linux-basierte Netzwerke einschleichen und übernehmen. Es hat jedoch einige Funktionen, die es zu einem Sonderfall unter anderen Krypto-Malware machen.
Während die meisten Malware einfach ihr Bestes tut, um eine Erkennung zu vermeiden, geht Lemon Duck darüber hinaus. Es beendet nicht einfach Anti-Malware und Sicherheitssoftware auf den kompromittierten Systemen, es kann sogar andere konkurrierende Malware ausrotten und sogar Sicherheitslücken-Patches anwenden, um sicherzustellen, dass das System von anderer, konkurrierender Malware sauber bleibt.
Der Trick mit dem Patchen von Schwachstellen sorgt nicht nur für einen unbestrittenen Platz für Lemon Duck im Netzwerk. Es hat den zusätzlichen Effekt, dass menschliche Untersuchungen verzögert werden, da ein Unternehmen oder ein Netzwerk seine Aufmerksamkeit möglicherweise zuerst auf Geräte lenken kann, denen noch Patches fehlen.
Ein Beispiel dafür, wie Lemon Duck den Boden seiner eigenen Fußstapfen aufwischt, ist ein Angriff mit der Malware auf Netzwerke mit Microsoft Exchange Server. Nachdem sie Fehler missbraucht hatten, um das Netzwerk zu infiltrieren, wurde Lemon Duck später verwendet, um genau die Fehler zu beheben, die sie ursprünglich verwendet hatte. Um das Ganze abzurunden, verwendeten die Bedrohungsakteure hinter dieser speziellen Kampagne das Microsoft-eigene Abwehrtool, um die Fehler zu beheben.
Darüber hinaus verwendet File Duck dateilose Techniken und direkte Speicher- und Prozessinjektionen, sodass die Erkennung weiter behindert wird.
All dies zusammen macht File Duck besonders schwierig aufzuspüren und zu entfernen, sobald es seinen Weg in ein Netzwerk gefunden hat. Bei Serverplattformen mit ausreichendem Ressourcen-Overhead wird der Ressourcenverbrauch der Malware möglicherweise nicht sofort spürbar und sie kann über längere Zeiträume ungehindert ausgeführt werden.
