ZE Loader ermöglicht Overlay-Angriffe über eine RDP-Verbindung

Der ZE Loader ist eine bösartige Windows-Anwendung, deren Betreiber damit sogenannte Overlay-Angriffe ausführen. Diese Angriffstechnik konzentriert sich auf den Diebstahl von Finanzdaten von Opfern, indem gefälschte Phishing-Aufforderungen über legitimen Anwendungen und Websites angezeigt werden. Im Fall von ZE Loader zielen die Kriminellen auf Banken, Online-Zahlungsabwickler und Kryptowährungsbörsen ab. Der Angreifer kann in Echtzeit mit dem Computer des Opfers interagieren, wodurch die Finesse der gesamten Operation erheblich verbessert wird.

Typischerweise interagieren Opfer des ZE Loader aufgrund von Phishing-E-Mails, gefälschten Downloads oder raubkopierter Software mit der Malware. Nach der Ausführung nimmt der ZE Loader einige Änderungen an der Windows-Installation vor. Diese Änderungen bieten dem Remote-Angreifer einen einfacheren Zugriff:

• Es stellt sicher, dass der Trojaner mit Administratorrechten ausgeführt wird.
• Es stellte eine Remote Desktop Protocol (RDP)-Verbindung zum Command-and-Control-Server her.
• ZE Loader ermöglicht mehrere RDP-Verbindungen auf dem infizierten Gerät durch Manipulation der Windows-Registrierung.
• Außerdem erstellt die Malware ein neues Benutzerkonto mit dem Namen Administart0r und dem Passwort 123mudar.
• Schließlich stellt das Implantat sicher, dass RDP-Verbindungen durch die Windows-Firewall zugelassen werden.

In der Zwischenzeit legt die Malware auch einige Dateien auf dem Computer des Opfers ab. Einige davon sollen die Sicherheitsmaßnahmen lockern, während eine JDK_SDK-Datei alle Assets enthält, die der Trojaner während seines Angriffs verwendet. Dies ist eher ungewöhnlich – normalerweise holen Trojaner, die Overlay-Angriffe ausführen, ihre Bilder und Phishing-Seiten vom Remote-Server. Diese Malware speichert jedoch alle diese Assets in einem verschlüsselten Zustand auf dem Computer des Opfers.

ZE-Loader-Operatoren orchestrieren Angriffe über RDP-Verbindungen

ZE Loader überwacht aktiv neu geöffnete Prozesse und aktive Browsersitzungen. Wenn es erkennt, dass der Benutzer versucht, eine der unterstützten Online-Banking-Sites oder eine App zu laden, auf die der Trojaner abzielt, erhält der Angreifer eine Benachrichtigung. Sobald sich die Kriminellen über RDP verbinden, können sie mit der Ausführung von Befehlen beginnen. Normalerweise werden die Phishing-Assets aus der JDK_SDK-Datei angezeigt, die der ZE Loader mitgebracht hat. Die Kriminellen können verschiedene Szenarien durchspielen, um Daten zu stehlen. Sie könnten den Benutzer beispielsweise nach Anmeldeinformationen, Kreditkartendaten, Zwei-Faktor-Authentifizierung und mehr fragen.

Obwohl der ZE Loader nicht den ausgefeiltesten Overlay-Angriff ausführt, den wir gesehen haben, ist er dennoch eine sehr gefährliche Malware. Schützen Sie Ihre Windows-Systeme vor solchen Angriffen, indem Sie aktuelle Antiviren-Tools verwenden. Natürlich sollten Sie auch lernen, wie Sie sicher im Internet surfen.