Asus-Gamer im Visier: Malware nistet sich auch auf der Grafikkarte ein

Laut Sicherheitsexperten macht seit einigen Monaten eine neue Malware die Runde, die sich als Konfigurations-Software des PC-Herstellers Asus für Gaming-PCs ausgibt. Die Schadsoftware namens CoffeeLoader versucht unter anderem, einen Teil ihres Codes im Speicher der Grafikkarte abzulegen.

Malware lädt keinen Kaffee, sondern Schadcode

Laut einem Bericht von PCWorld, der Sicherheitsexperten von der Firma Zscaler zitiert, wird seit September 2024 eine neue Malware verteilt, die speziell die Nutzer von Gaming-Systemen des taiwanischen Herstellers Asus ins Visier nimmt. Die CoffeeLoader genannte Malware gibt sich dabei als Asus' hauseigene Einstellungs-Software Armoury Crate aus, um Schadcode auf betroffene PCs zu schleusen.

Ist die CoffeeLoader-Malware einmal auf einem Ziel-PC angekommen, wird über einen Server zusätzlicher Schadcode nachgeladen, der unter anderem als Infostealer funktioniert. Die Schadsoftware versucht also, Anmeldedaten und andere persönliche Daten des Nutzers abzugreifen, um zum Beispiel an Kreditkartendaten zu gelangen.

Code wird zur Tarnung in GPU-Speicher ausgelagert

Die Malware setzt laut Zscaler auf einen aufwendigen Prozess, um sich zu verstecken. Ein sogenannter Packer namens Armoury lagert unter anderem einen Teil seines Codes auf die Grafikeinheit des jeweiligen Host-PCs aus. Weil die meisten Schutzlösungen die GPU bei ihrer Suche nach Schadsoftware außen vor lassen, kann die Malware so unter Umständen der Erkennung entgehen, heißt es.

Ferner setzen die Autoren von CoffeeLoader auch darauf, ihre Schadsoftware im Systemspeicher in einer inaktiven verschlüsselten Datei abzulegen, um so mittels dieser als Sleep Obfuscation bezeichneten Methode der Erkennung durch Antivirenlösungen zu entgehen. Weiterhin verändert CoffeeLoader seinen Speicherabdruck, um wie ein harmloses Programm auszusehen, heißt es.

Als Maßnahme zum Eigenschutz empfiehlt Zscaler den Nutzern von Gaming-Systemen aus der Produktion von Asus dringend, die Armoury Crate Software ausschließlich von der Hersteller-Website zu beziehen. Aufgrund der Parallelen zwischen CoffeeLoader und einer SmokeLoader genannten älteren Malware deutet sich an, dass es sich lediglich um eine Variante handelt, wobei dies laut den Sicherheitsexperten bislang nicht feststehen soll.


Siehe auch: