Gefährlicher und hartnäckiger Keylogger bedroht Windows-Systeme

Eine neue Variante des gefährlichen Snake-Keyloggers bedroht Win­dows-Nutzer. Die Malware tarnt sich geschickt, um Anti­viren­pro­gram­me auszutricksen, und stiehlt sensible Daten. IT-Experten war­nen vor Millionen von Infektionsversuchen weltweit.

Heimtückischer Keylogger

Eine gefährliche neue Variante des berüchtigten Snake-Keyloggers bedroht derzeit Windows-Nutzer. Die Malware hat es vor allem auf Anwender in China, der Türkei, Indonesien, Taiwan und Spanien abgesehen. Laut Sicherheitsexperten wurden seit Jahresbeginn bereits über 280 Millionen Infektionsversuche weltweit blockiert - eine Zahl, die die Aggressivität dieser Bedrohung unterstreicht.

Der Snake Keylogger ist darauf spezialisiert, sensible Informationen aus gängigen Webbrowsern wie Chrome, Edge und Firefox zu stehlen. Er zeichnet Tastatureingaben auf, erfasst Anmeldedaten und überwacht die Zwischenablage. Die erbeuteten Daten werden dann per SMTP oder über Telegram-Bots an die Angreifer übermittelt. So gelangen Cyberkriminelle an Passwörter, Kreditkarteninformationen und andere vertrauliche Daten ihrer Opfer.

Tarnung mit AutoIt

Wie The Register und The Hacker News unter Berufung auf Fortinet berichten, nutzt die neue Variante des Keyloggers die Skriptsprache AutoIt, um sich zu tarnen und auszuführen. AutoIt wird normalerweise zur Automatisierung von Windows-Aufgaben verwendet. Durch den Einsatz dieser Technik kann sich die Malware als harmlose Automatisierungssoftware ausgeben und damit traditionelle Erkennungsmechanismen umgehen.

Die Verwendung von AutoIt erschwert nicht nur die statische Analyse, indem die Nutzlast in das kompilierte Skript eingebettet wird, sondern ermöglicht auch ein dynamisches Verhalten, das gutartige Automatisierungstools imitiert.

Eine besonders heimtückische Eigenschaft des neuen Snake-Keyloggers ist seine Hartnäckigkeit: Nach der Infektion kopiert sich die Malware als versteckte Datei in den lokalen App-Daten-Ordner. Zusätzlich platziert sie ein Skript im Windows-Autostart-Ordner, das die Schadsoftware bei jedem Neustart des Systems automatisch aktiviert. Dadurch kann sich der Keylogger selbst nach einer Beendigung des zugehörigen Prozesses immer wieder reaktivieren.

Um Entdeckung zu vermeiden, nutzt der Keylogger eine Technik namens "Process Hollowing". Dabei injiziert die Malware ihren Code in einen legitimen Windows-Prozess wie RegSvcs.exe. So getarnt kann sie unbemerkt im Hintergrund agieren und sensible Daten abgreifen.


Siehe auch: