Top Malware Dezember 2023: Qbot und Nanocore

Sicherheitsspezialist Check Point Software Technologies hat für Dezember 2023 wieder eine Statistik der Top Malware-Bedrohungen erstellt. Interessant ist, dass Qbot zurück ist, obwohl seine Infrastruktur von Strafverfolgern zerschlagen wurde. Und in Deutschland ist der Remote Access Trojaner (RAT) Nanocore eine der am häufigsten gefundene Malware.

Qbot ist zurück

Im globalen Bedrohungsindex für Dezember 2023 halten die Forscher von Check Point fest, dass die Malware Qbot zurück ist. Ich hatte im Blog-Beitrag FBI und Europol zerschlagen mit Partnern das Qakbot-Netzwerk über diese Zerschlagungsaktion berichtet. Im Dezember 2023 entdeckte Microsoft eine neue Kampagne (siehe Microsoft entdeckt Qakbot-Phishing-Kampagne (Dez. 2023). Damit ist Qakbot oder Qbot vier Monate nach der Zerschlagung seiner Infrastruktur durch die US-amerikanischen und internationalen Strafverfolgungsbehörden im Rahmen der Operation Duck Hunt im August 2023, wieder auferstanden. In der Zwischenzeit ist der Bildungs- und Forschungssektor die in Deutschland am stärksten betroffene Branche geworden.

Im Dezember 2023 wurde die Qbot-Malware von Hackern als Teil eines Phishing-Angriffs eingesetzt, der auf Unternehmen im Hotel- und Gastronomie-Gewerbe zielte. Bei der Kampagne gaben sich die Hacker als die US-amerikanische Internal Revenue Service (IRS) aus und versendeten betrügerische E-Mails mit PDF-Anhängen, die eingebettete URLs enthielten und mit einem Microsoft-Installationsprogramm verknüpft waren. Einmal aktiviert, löste dies eine unsichtbare Version von Qbot aus, die eine eingebettete Dynamic Link Library (DLL) nutzte.

Bevor Qbot im August 2023 aus dem Verkehr gezogen wurde, dominierte es den Bedrohungsindex und rangierte 10 Monate in Folge unter den drei am weitesten verbreiteten Malwares. Obwohl Qbot nicht wieder auf die Liste zurückgekehrt ist, wird sich nach dieser heimlichen Auferstehung während der nächsten Monaten zeigen, ob der Schädling wieder denselben Bekanntheitsgrad erlangen kann, den er zuvo rinne hatte.

"Die Tatsache, dass Qbot weniger als vier Monate nach der Zerschlagung seiner Verbreitungsinfrastruktur wieder aufgetaucht ist, erinnert uns daran, dass wir zwar Malware-Kampagnen unterbrechen können, die dahinterstehenden Akteure sich jedoch mit neuen Techniken der Lage anpassen werden", so Maya Horowitz, VP Research bei Check Point Software. "Deshalb sollten Unternehmen einen präventiven Ansatz bei der Endgerätesicherheit verfolgen und den Ursprung sowie die Absicht einer E-Mail mit der gebotenen Sorgfalt prüfen."

Top-Ten der Malware

In ihrer Statistik führen die Sicherheitsforscher von Check Point Research folgende Malware als Top 3 auf:

1. Nanocore – Ein Fernzugriffs-Trojaner (RAT), der auf Benutzer von Windows-Betriebssystemen zielt und erstmals 2013 beobachtet wurde. Alle Versionen des RAT enthalten grundlegende Plugins  und Funktionen, wie Bildschirmaufnahmen, Krypto-Währungs-Mining, Fernsteuerung des Desktops und Diebstahl von Webcam-Sitzungen.
2. Formbook – E Infostealer, der auf das Windows-Betriebssystem abzielt und erstmals im Jahr 2016 entdeckt wurde. Er wird in Underground-Hacking-Foren als Malware-as-a-Service (MaaS) vermarktet, da er starke Umgehungstechniken und einen  relativ niedrigen Preis hat. Formbook sammelt Anmeldeinformationen von verschiedenen Webbrowsern, sammelt Screenshots, überwacht und protokolliert Tastatureingaben und kann Dateien auf Anweisung von seinem C&C herunterladen und ausführen.
3. Remcos ist ein RAT, der erstmals 2016 in der freien Wildbahn auftauchte. Remcos verbreitet sich über bösartige Microsoft Office-Dokumente, die an SPAM-E-Mails angehängt sind, und ist so konzipiert,  dass er die UAC-Sicherheit von Microsoft Windows umgeht und Malware mit hohen Berechtigungen ausführt.

Top 3 Schwachstellen

Im vergangenen Monat waren Apache Log4j Remote Code Execution (CVE-2021-44228) undWeb Servers Malicious URL Directory Traversal die am häufigsten ausgenutzten Schwachstellen, von denen 46 Prozent der Unternehmen weltweit betroffen waren, gefolgt von Zyxel ZyWALL Command Injection (CVE-2023-28771) mit einem weltweiten Anteil von 43 Prozent.

1. Apache Log4j Remote Code Execution (CVE-2021-44228) – In Apache Log4j besteht eine Schwachstelle für Remote Code Execution. Die erfolgreiche
   Ausnutzung dieser Schwachstelle könnte einem entfernten Angreifer die Ausführung von beliebigem Code auf dem betroffenen System ermöglichen.
2. Webserver Malicious URL Directory Traversal (CVE-2010-4598, CVE-2011-2474, CVE-2014-0130, CVE-2014-0780, CVE-2015-0666, CVE-2015-4068, CVE-2015-7254, CVE-2016-4523, CVE-2016-8530,  CVE-2017-11512, CVE-2018-3948, CVE-2018-3949, CVE-2019-18952, CVE-2020-5410, CVE-2020-8260) – Es besteht eine Directory Traversal-Schwachstelle auf verschiedenen Webservern. Die Sicherheitsanfälligkeit ist auf einen Eingabevalidierungsfehler  in einem Webserver zurückzuführen, der die URI für die Verzeichnisdurchquerungsmuster nicht ordnungsgemäß bereinigt. Eine erfolgreiche Ausnutzung erlaubt es nicht-authentifizierten Angreifern, beliebige Dateien auf dem verwundbaren Server offenzulegen oder  darauf zuzugreifen.
3. Zyxel ZyWALL Command Injection (CVE-2023-28771) – Eine Command Injection-Schwachstelle existiert in Zyxel ZyWALL. Eine erfolgreiche Ausnutzung
   dieser Schwachstelle würde entfernten Angreifern erlauben, beliebige Betriebssystembefehle auf dem betroffenen System auszuführen.

Top 3 Mobile Malware

Im vergangenen Monat stand Anubis weiterhin an erster Stelle der am häufigsten verbreiteten Handy-Malware, gefolgt von AhMyth und der wieder eingestiegenen Android-MalwareHiddad.

1. Anubis ist eine Banking-Trojaner-Malware, die für Android-Mobiltelefone entwickelt wurde. Seit seiner ersten Entdeckung hat er zusätzliche Funktionen erhalten, darunter Remote-Access-Trojaner (RAT), Keylogger, Audio-Aufnahmefunktionen  und verschiedene Ransomware-Funktionen. Er wurde in Hunderten von verschiedenen Anwendungen im Google Store entdeckt.
2. AhMyth ist ein Remote-Access-Trojaner (RAT), der 2017 entdeckt wurde. Er wird über Android-Apps verbreitet, die in App-Stores und auf verschiedenen Websites zu finden sind. Wenn ein Nutzer eine dieser infizierten Apps installiert, kann die Malware sensible Informationen vom Gerät sammeln und Aktionen wie Keylogging, das Erstellen von Screenshots, das Versenden von SMS-Nachrichten und das Aktivieren der Kamera durchführen, was in der Regel zum Stehlen sensibler Informationen genutzt wird.
3. Hiddad ist eine Android-Malware, die legitime Apps neu verpackt und sie dann in einem Drittanbieter-Store veröffentlicht. Ihre Hauptfunktion ist die Anzeige von Werbung, aber sie kann auch Zugriff auf wichtige Sicherheitsdetails des Betriebssystems erlangen.

Top 3 der angegriffenen Branchen und Bereiche in Deutschland

1. Bildung/Forschung
2. Gesundheitswesen
3. ISP/MSP

Der Global Threat Impact Index und die ThreatCloudMap von Check Point basieren auf der ThreatCloud-Intelligence von Check Point. ThreatCloud bietet Echtzeit-Bedrohungsdaten, die von Hunderten von Millionen Sensoren weltweit über Netzwerke, Endpunkte und Mobiltelefone abgeleitet werden. Angereichert wird diese Intelligenz mit KI-basierten Engines und exklusiven Forschungsdaten von Check Point Research, der Forschungs- und Entwicklungsabteilung von Check Point Software Technologies.  

Die vollständige Liste der zehn häufigsten Malware-Familien im Dezember findet sich auf dieser Check Point-Seite.