Überarbeiteter JSSLoader liefert den Trojaner Carbanak
Das Refactoring von Code ist eine beliebte Technik, die Softwareentwickler verwenden, um, in Laien ausgedrückt, die interne Struktur ihres Programms zu ändern, ohne das Verhalten überhaupt zu ändern. Malware-Entwickler verwenden solche Techniken auch, um ihre Projekte auf verschiedene Weise zu verbessern. Eines der Projekte, das kürzlich eine solche Änderung erfahren hat, ist der Trojaner JSSLoader. Anstatt den Code jedoch nur ein wenig zu optimieren, entschieden sich die Kriminellen hinter dem JSSLoader dafür, ihn mit einer anderen Programmiersprache neu zu schreiben. Während der ursprüngliche Trojaner JSSLoader in .NET geschrieben wurde, basiert die im Juni 2021 veröffentlichte Variante auf C++.
Warum wurde der JSSLoader neu geschrieben?
Einer der Vorteile der Umstellung von Malware auf eine völlig andere Programmiersprache besteht darin, dass aktuelle Sicherheitsmarkierungen und Erkennungen nutzlos werden können. Dies dürfte das primäre Ziel der Entwickler von JSSLoader gewesen sein – mit der Einführung der neuen Variante Firewall- und Antiviren-Software zu umgehen. Natürlich können Sie sich darauf verlassen, dass seriöse Antiviren-Tools die notwendigen Updates erhalten haben, um sicherzustellen, dass der neue JSSLoader keine Chance bekommt, Schaden anzurichten.
Cybersecurity-Experten geben an, dass die neue Variante von JSSLoader keine Funktionsverbesserungen aufweist. Die Malware wird jedoch durch neue E-Mail-Spam-Kampagnen und zusätzliche Tricks verbreitet. Die Gruppe hinter dieser Operation wird unter dem Alias TA543 verfolgt, und ihre aktuelle Kampagne richtet sich gegen Hunderte von Organisationen, die in verschiedenen Sektoren tätig sind – Gesundheitswesen, Einzelhandel, Technologie, Finanzen und andere.
Der Zweck des JSSLoaders 2021
Genau wie andere Trojan Loader macht auch dieser alleine nicht viel. Es muss mit einer zusätzlichen Malware-Familie gepaart werden – das Ziel des JSSLoader ist es, sicherzustellen, dass zusätzliche Nutzlasten nahtlos geladen werden, ohne rote Flaggen auszulösen. Die Malware-Familien, die die C++-Variante des JSSLoader-Trojaners verwendet, mögen unterschiedlich sein, scheinen aber dem Arsenal der Hackergruppe FIN7 sehr ähnlich zu sein. Einige der aktiven Kopien von JSSLoader lieferten beispielsweise eine Variante des Banking-Trojaners Carbanak.
Malware-Entwickler versuchen ständig, den Anbietern von Antivirenprodukten einen Schritt voraus zu sein, und die vollständige strukturelle Änderung von JSSLoader ist ein solcher Versuch. Das Befolgen der besten Sicherheitspraktiken beim Surfen im Internet und das Anwenden regelmäßiger Updates auf Ihre Antivirensoftware sollten ausreichen, um Angriffe wie die oben beschriebenen abzuwehren.
