LuaDream-Malware wird Sandman-Bedrohungsakteur zugeschrieben
Ein bisher unbekannter Bedrohungsakteur namens Sandman wurde mit einer Reihe von Cyberangriffen gegen Telekommunikationsanbieter im Nahen Osten, Westeuropa und dem südasiatischen Subkontinent in Verbindung gebracht. Insbesondere nutzen diese Einbrüche einen Just-in-Time-Compiler (JIT) für die Lua-Programmiersprache namens LuaJIT, um ein neues Implantat namens LuaDream bereitzustellen.
Laut einer Analyse des SentinelOne-Sicherheitsforschers Aleksandar Milenkoski in Zusammenarbeit mit QGroup sind die beobachteten Aktivitäten durch strategische Querbewegungen zu bestimmten Zielarbeitsplätzen und minimalem Engagement gekennzeichnet. Dies legt einen bewussten Ansatz nahe, der darauf abzielt, Ziele zu erreichen und gleichzeitig das Entdeckungsrisiko zu minimieren. Die Implementierung von LuaDream weist auf ein gut durchgeführtes, aktiv entwickeltes Projekt von erheblichem Umfang hin.
Sandman – eine neue Einheit in der Infosec-Landschaft
Trotz sorgfältiger Untersuchung gibt es keinen bekannten Zusammenhang zwischen dieser Kampagne und einem bekannten Bedrohungsakteur oder einer bekannten Bedrohungsgruppe. Die verfügbaren Beweise deuten jedoch darauf hin, dass ein Cyberspionage-Gegner eine Vorliebe dafür hat, den Telekommunikationssektor in verschiedenen Regionen ins Visier zu nehmen. Diese Angriffe wurden erstmals über einen Zeitraum von mehreren Wochen im August 2023 entdeckt.
Milenkoski erklärte weiter, dass die Staging-Kette von LuaDream darauf ausgelegt sei, eine Erkennung zu vermeiden und die Analyse zu behindern, indem die Malware direkt in den Speicher geladen werde. Dies wird durch die Nutzung der LuaJIT-Plattform erreicht, einem Just-in-Time-Compiler für Lua, der es schwierig macht, bösartigen Lua-Skriptcode zu erkennen.
Das Vorhandensein von String-Artefakten im Quellcode des Implantats, die bis zum 3. Juni 2022 zurückreichen, lässt darauf schließen, dass die Vorbereitungsarbeiten für LuaDream seit über einem Jahr andauern.
Es wird vermutet, dass es sich bei LuaDream um eine Variante einer neuen Malware-Variante namens DreamLand handelt. Laut Sicherheitsforschern nutzt DreamLand die Skriptsprache Lua zusammen mit ihrem Just-in-Time-Compiler, um schwer zu erkennenden Schadcode auszuführen.
