EvilExtractor versucht, Daten zu stehlen

EvilExtractor ist ein schädliches Tool, das auf Windows-Betriebssysteme abzielt, um Daten und Dateien von Endgeräten zu extrahieren. Seine Module arbeiten über einen FTP-Dienst und wurden von einer Firma namens Kodex entwickelt, die behauptet, es sei ein Lehrmittel. Untersuchungen von FortiGuard Labs zeigen jedoch, dass Cyberkriminelle sie aktiv nutzen, um Informationen zu stehlen.

Schädliche Aktivitäten im Zusammenhang mit evilextractor.com haben im März 2023 erheblich zugenommen. FortiGuard Labs hat diese Malware in einer Phishing-E-Mail-Kampagne am 30. März beobachtet und sie auf die in ihrem Bericht enthaltenen Proben zurückgeführt. Die Malware ist als legitime Datei wie eine Adobe PDF- oder Dropbox-Datei getarnt, aber sobald sie geöffnet wird, initiiert sie böswillige PowerShell-Aktivitäten. Die Malware enthält auch Funktionen, die die Umgebung prüfen und solche, die auf Virtualisierung prüfen. Das Hauptziel der Malware besteht darin, Browserdaten und -informationen von kompromittierten Systemen zu stehlen und sie dann an die Angreifer weiterzuleiten.

Laut dem Bericht von Fortinet begannen die beobachteten Angriffe mit einer Phishing-E-Mail, die einen komprimierten ausführbaren Anhang enthielt, der als legitime PDF- oder Dropbox-Datei getarnt war. Nach dem Öffnen startet es einen .NET-Loader, der ein verschlüsseltes PowerShell-Skript verwendet, um eine ausführbare EvilExtractor-Datei zu starten. Beim ersten Start überprüft die Malware die Ortszeit und den Hostnamen des Systems, um festzustellen, ob sie in einer virtuellen Umgebung oder Sandbox ausgeführt wird. In diesem Fall wird sie beendet.

EvilExtractor enthält drei zusätzliche Python-Komponenten: „KK2023.zip“, „Confirm.zip“ und „MnMs.zip“. Das erste Programm extrahiert unter anderem Cookies, den Browserverlauf und gespeicherte Passwörter von Google Chrome, Microsoft Edge, Opera und Firefox. Das andere Modul ist ein Keylogger, der Tastenanschläge aufzeichnet und in einem lokalen Ordner speichert. Die dritte Datei ist ein Webcam-Extraktor, der die Webcam leise einschalten, Videos oder Bilder aufnehmen und die Aufnahme auf den FTP-Server des Angreifers hochladen kann. Die Malware exfiltriert auch viele Dokument- und Mediendateitypen aus den Desktop- und Download-Ordnern, erfasst Screenshots und sendet alle gestohlenen Daten an ihre Betreiber. Zusätzlich ist das Modul „Kodex ransomware“ in den Loader eingebettet und lädt bei Aktivierung eine zusätzliche Datei („zzyy.zip“) von der Website des Produkts herunter, um ein passwortgeschütztes Archiv mit den Dateien des Opfers zu erstellen.

Wie können Bedrohungsakteure Malware ähnlich wie EvilExtractor verbreiten?

Bedrohungsakteure können Malware ähnlich wie EvilExtractor mit verschiedenen Taktiken verbreiten, wie z. B.:

• Phishing-E-Mails: Angreifer können Phishing-E-Mails erstellen, die scheinbar von einer vertrauenswürdigen Quelle wie einer Bank oder einem beliebten Onlinedienst stammen und Anhänge oder Links zu schädlichen Dateien enthalten, die als legitime Dateien wie PDFs oder Dropbox-Dateien getarnt sind. Sobald das Opfer die Datei öffnet, kann die Malware auf seinem System installiert werden.
• Malvertising: Angreifer können Malware auch durch Malvertising verbreiten, bei dem böswillige Anzeigen erstellt werden, die auf legitimen Websites erscheinen. Wenn ein Benutzer auf die Anzeige klickt, wird er auf eine Website umgeleitet, die Malware auf seinem System installiert.
• Watering-Hole-Angriffe: Bei dieser Art von Angriff zielen Angreifer auf eine bestimmte Website ab, die wahrscheinlich von ihren beabsichtigten Opfern besucht wird. Sie infizieren die Website mit Malware, und wenn das Opfer die Website besucht, wird sein System mit Malware infiziert.
• Drive-by-Downloads: Angreifer können auch Drive-by-Downloads verwenden, um Malware auf dem System eines Opfers zu installieren. Bei dieser Art von Angriff wird bösartiger Code in legitime Websites eingeschleust. Wenn ein Benutzer die infizierte Website besucht, wird der bösartige Code ohne sein Wissen oder seine Zustimmung auf sein System heruntergeladen.
• Social Engineering: Angreifer können Social-Engineering-Taktiken verwenden, um Opfer dazu zu bringen, Malware auf ihren Systemen zu installieren. Beispielsweise können sie gefälschte Software-Updates oder Antivirenprogramme erstellen, die in Wirklichkeit getarnte Malware sind.

Um sich vor dieser Art von Angriffen zu schützen, ist es wichtig, eine gute Cybersicherheitshygiene zu betreiben, z. B. Ihr System und Ihre Software auf dem neuesten Stand zu halten, starke Kennwörter zu verwenden und beim Öffnen von E-Mail-Anhängen oder beim Klicken auf Links vorsichtig zu sein.