NetDooka RAT
Sicherheitsforscher entdeckten kürzlich eine neue, aus mehreren Komponenten bestehende Malware, die nach einer ihrer Komponenten den Spitznamen NetDooka trägt.
NetDooka wird aufgrund seiner zahlreichen beweglichen Teile und Module als bösartiges „Framework“ beschrieben, aber im Kern handelt es sich um einen Remote-Access-Trojaner (RAT). Die Malware wird über einen Pay-per-Install-Dienst verbreitet. Neben der RAT im Kern von NetDooka enthält das Framework auch einen Initial Loader, ein Dropper-Modul und einen Schutztreiber.
PrivateLoader, eine separate Malware, wird für die Verbreitung von NetDooka verwendet. PrivateLoader ist eine Art bösartiges Schweizer Taschenmesser-Tool, mit dem nicht nur NetDooka, sondern alle anderen bösartigen kostenpflichtigen Anwendungen und Module heruntergeladen werden, die über dieselbe zentrale Pay-per-Install-Infrastruktur und denselben Dienst bereitgestellt werden.
In der ersten Phase der Infektion verwendet NetDooka einen Loader, der eine neue virtuelle Desktop-Instanz erstellt und damit ein Deinstallationsprogramm startet, das sich um die Antivirensoftware kümmert. In diesem Stadium emuliert die Malware die Maus, um mit den Eingabeaufforderungen des Deinstallationsprogramms zu interagieren.
Die NetDooka RAT verfügt über ein integriertes Modul, das überprüft, ob sie in einer virtuellen Sandbox-Umgebung ausgeführt wird, um ihre Chancen zu verbessern, der Analyse durch Sicherheitsforscher zu entgehen. Ein Lader der zweiten Stufe wird heruntergeladen, der die endgültige RAT-Nutzlast entschlüsselt und schließlich startet. Diese Payload der Endphase umfasst einen Fernzugriffstrojaner mit einer Reihe von Funktionen, darunter die Exfiltration von Browserdaten, das Sammeln von Systeminformationen und das Ausführen von Remote-Shell-Befehlen.
NetDooka enthält einen Kernel-Treiber, der die ultimative Nutzlast der RAT schützen soll.
Forscher glauben, dass sich die Malware noch in der aktiven Entwicklung befindet und mehrere leicht unterschiedliche Versionen von NetDooka-Dateien, die im ersten PrivateLoader-Schritt heruntergeladen wurden, beobachtet wurden.
