Moriya Rootkit infiltriert Windows-Systeme
Eine neu entdeckte Bedrohung hat stetig daran gearbeitet, Hintertüren auf Windows-Systemen zu installieren, berichteten Sicherheitsforscher kürzlich. Das Rootkit heißt Moriya und wird von einem hartnäckigen Bedrohungsakteur noch unbekannter Herkunft ausgenutzt. Forscher glauben, dass die Hacker hinter Moriya aus einer "chinesischsprachigen" Bevölkerungsgruppe stammen.
Wer auch immer die Partei hinter Moriya sein mag, sie verwenden die Malware seit etwa 2018, waren aber so gut wie versteckt zu bleiben, dass sie gerade erst entdeckt wurde. Die Kampagne, in der die Malware zuletzt bei groß angelegten Angriffen eingesetzt wurde, wird von Forschern als "Tunnelschlange" bezeichnet.
Moriya arbeitet hauptsächlich mit der Installation passiver Hintertüren auf seinen Opfersystemen. Dies sind normalerweise öffentlich zugängliche Server. Sobald die Hintertür installiert wurde, verwenden die Betreiber von Moriya ihre Befehls- und Kontrollserver, um die infizierten Systeme und Netzwerke weiter zu bearbeiten.
Moriya wurde bei Angriffen gegen afrikanische und asiatische Institutionen eingesetzt. In einigen Fällen, so die Forscher, wurde es nicht allein verwendet, sondern verfügte über ein zusätzliches Kit mit zusätzlichen schädlichen Tools, mit denen die Angreifer auf das gesamte Netzwerk zugreifen konnten.
Dieser Ansatz wird als "seitliche Bewegung" bezeichnet und impliziert einen zunehmend besseren Zugriff auf verschiedene Zweige eines Netzwerks, normalerweise bei der Suche nach der Filterung sensibler oder wertvoller Daten.
Mit dem Moriya-Rootkit können die Akteure, die es betreiben, sowohl eingehenden als auch ausgehenden Datenverkehr auf einem kompromittierten System überwachen. Wenn für die Malware bestimmte Pakete in dem Datenstrom entdeckt werden, den der Computer empfängt, reagiert die Malware.
Wie von den Sicherheitsforschern erklärt, ermöglicht dies einen sehr verstohlenen Betrieb und ermöglicht es den Hackern sogar, Shell-Befehle in das Opfersystem einzuspeisen und dann ihre Ausgabewerte zu lesen.
Moriya hat sich lange Zeit so erfolgreich der Erkennung entzogen, weil diese Paketinspektion einen Windows-Treiber im Kernel-Modus missbraucht. Dies bedeutet effektiv, dass die Malware es geschafft hat, Sicherheitssoftware zu umgehen, die möglicherweise auf dem System ausgeführt wird.
Während nicht alle Fälle, in denen Moriya gefunden wurde, das erweiterte Toolset für bösartige Anwendungen enthielten, arbeitet Moriya auch mit einer Reihe bösartiger Anwendungen zusammen, die von chinesischen Hacking-Gruppen verwendet und mit diesen in Verbindung gebracht werden.
Die einzige gute Nachricht in der Geschichte ist, dass Moriya bisher bei relativ wenigen Angriffen eingesetzt wurde. Alle diese Angriffe scheinen ebenfalls sehr eng gefasst gewesen zu sein, ohne aktuelle Informationen über Opfer außerhalb Afrikas und Asiens und insgesamt weniger als ein Dutzend Opfer in diesen beiden Gebieten.
