Whiffy Recon Malware deckt WLAN-Standort von Windows-Rechnern auf

Die Entdeckung der Whiffy Recon-Malware hat eine besorgniserregende Entwicklung in der Welt der Cybersicherheit ans Licht gebracht. Diese Malware, die über SmokeLoader verbreitet wird, eine Loader-Malware, die hauptsächlich zum Ablegen zusätzlicher Nutzlasten auf kompromittierten Windows-Computern verwendet wird, stellt eine erhebliche Bedrohung dar.

Die Vorgehensweise von Whiffy Recon ist einzigartig. Es scannt alle 60 Sekunden WLAN-Zugangspunkte in der Nähe und nutzt die gesammelten Daten als Referenzpunkt für die Geolokalisierungs-API von Google. Die von dieser API abgerufenen Standortinformationen werden dann an böswillige Akteure zurückgesendet, sodass diese den Standort des infizierten Systems lokalisieren können.

SmokeLoader ist, wie der Name schon sagt, in erster Linie eine Loader-Malware. Seine Hauptfunktion besteht darin, die Übertragung anderer Malware auf einen Host zu erleichtern. Seit 2014 steht es Bedrohungsakteuren mit Sitz in Russland zum Verkauf zur Verfügung und wird häufig über Phishing-E-Mails verbreitet.

Die komplizierten Operationen von Whiffy Recon

Whiffy Recon ist so programmiert, dass es auf infizierten Systemen nach dem WLAN AutoConfig-Dienst (WLANSVC) sucht. Wenn dieser Dienst nicht gefunden wird, beendet er sich selbst. Es ist wichtig zu beachten, dass der Scanner nicht überprüft, ob der Dienst betriebsbereit ist oder nicht.

Um die Persistenz sicherzustellen, fügt Whiffy Recon eine Verknüpfung zum Windows-Startordner hinzu. Darüber hinaus registriert es sich bei einem Remote-Command-and-Control-Server (C2), indem es eine zufällig generierte „botID“ in einer HTTP-POST-Anfrage sendet. Als Antwort sendet der Server eine Erfolgsmeldung und eine eindeutige Kennung, die dann in einer Datei mit dem Namen „%APPDATA%\Roaming\wlan\str-12.bin“ gespeichert wird.

Die zweite Phase des Angriffs umfasst die kontinuierliche Suche nach WLAN-Zugangspunkten mithilfe der Windows-WLAN-API. Diese Scanergebnisse werden dann an die Google Geolocation API weitergeleitet und ermöglichen so die Triangulation des Standorts des infizierten Systems. Diese Informationen werden anschließend in Form eines JSON-Strings an den C2-Server übermittelt.

Um die Bedrohung zu bekämpfen, ist es wichtig zu verstehen, wie Whiffy Recon funktioniert. In diesem Abschnitt wird die Funktionalität der Malware analysiert, von ihren Initiierungs- und Persistenzmechanismen bis hin zu ihren Aufklärungsaktivitäten, und bietet Einblicke in ihre Techniken zum Auffinden von Windows-Computern über nahegelegene Wi-Fi-Zugangspunkte und zum Übertragen dieser Daten an böswillige Akteure.