Lemon Duck - Helmknop Kijk naar de koppige cryptominer

Lemon Duck is een cryptomining-malware die al een paar jaar bestaat. Het werd voor het eerst opgemerkt door beveiligingsonderzoekers in de zomer van 2019, iets meer dan twee jaar geleden, en is sindsdien gebruikt in verschillende gerichte campagnes.

Onderzoekers van Microsoft hebben een bijgewerkt onderzoek van de Lemon Duck cryptominer uitgebracht, waarin enkele merkwaardige trends in de ontwikkeling ervan worden geschetst.

Lemon Duck kan zowel op Windows als op Linux gebaseerde netwerken kruipen en overnemen. Het heeft echter een paar functies die het een beetje een speciaal geval maken tussen andere crypto-malware.

Hoewel de meeste malware gewoon zijn best doet om detectie te voorkomen, gaat Lemon Duck verder dan dat. Het sluit niet alleen antimalware- en beveiligingssoftware op de gecompromitteerde systemen af, het kan ook andere concurrerende malware uitroeien en zelfs kwetsbaarheidspatches toepassen om ervoor te zorgen dat het systeem vrij blijft van andere, concurrerende malware.

De truc met het patchen van kwetsbaarheden zorgt niet alleen voor een onbetwiste plek voor Lemon Duck op het netwerk. Het heeft als bijkomend effect dat het menselijk onderzoek vertraagt, omdat een bedrijf of netwerk eerst zijn aandacht kan richten op apparaten die nog geen patches hebben.

Een voorbeeld van Lemon Duck die zijn eigen voetstappen opruimt, is een aanval met malware op netwerken waarop Microsoft Exchange Server draait. Na misbruik te hebben gemaakt van bugs om het netwerk te infiltreren, werd Lemon Duck later gebruikt om de bugs te patchen die het in de eerste plaats gebruikte om te infiltreren. Als klap op de vuurpijl gebruikten de dreigingsactoren achter deze specifieke campagne de eigen mitigatietool van Microsoft om de bugs te patchen.

Bovendien maakt File Duck gebruik van bestandsloze technieken en directe geheugen- en procesinjecties, waardoor detectie verder wordt belemmerd.

Dit alles gecombineerd maakt File Duck bijzonder lastig op te sporen en te verwijderen, zodra het zijn weg op een netwerk heeft gevonden. Als het gaat om serverplatforms die over voldoende resource-overhead beschikken, wordt de resource-drain van de malware misschien niet meteen al te opvallend en kan deze gedurende langere tijd ongehinderd blijven werken.