PDFSider: Malware sucht langfristigen Zugriff auf Windows-Systeme

Sicherheitsforscher haben eine neue Schadsoftware entdeckt, mit der sich Angreifer möglichst unbemerkt einen langfristigen Zugang zu Windows-Systemen sichern wollen. Der Schadcode wurde auf den Titel "PDFSider" getauft.

Raffinierte Strategie

Die Malware wird hauptsächlich gezielt bei Angriffen auf große Unternehmen aus dem Finanzsektor eingesetzt. So wurden bereits mehrere Attacken auf Firmen aus der Fortune-100-Gruppe registriert. Ziel der Angreifer war es, sich unbemerkt langfristigen Zugriff auf Windows-Systeme zu verschaffen und darüber weitere Schadprogramme, etwa Ransomware, nachzuladen.

Nach Angaben des Sicherheitsunternehmens Resecurity kombinierten die Täter technische Raffinesse mit klassischem Social Engineering. In ersten Phasen der Angriffe gaben sie sich als Mitarbeiter des technischen Supports aus und versuchten, Beschäftigte dazu zu bewegen, das Microsoft-Tool "Quick Assist" zu installieren. Auf diese Weise wollten sie Fernzugriff auf interne Systeme erlangen.


Die eigentliche Schadsoftware wurde jedoch vor allem über gezielte Phishing-E-Mails verbreitet. Diese enthielten ZIP-Archive mit einer scheinbar harmlosen, digital signierten Anwendung: dem PDF24 Creator des deutschen Herstellers Miron Geek Software. Dem Paket war allerdings eine manipulierte DLL-Datei beigefügt, die beim Start des Programms automatisch geladen wurde. Diese als DLL-Side-Loading bekannte Technik ermöglichte es den Angreifern, eigenen Code auszuführen, ohne sofort aufzufallen.

In manchen Fällen setzten die Täter zusätzlich auf speziell angepasste Köderdokumente, um die Glaubwürdigkeit zu erhöhen. So wurde etwa ein Dokument verwendet, das angeblich von einer chinesischen Regierungsstelle stammte. Einmal gestartet, lief die Schadsoftware mit den Rechten der legitimen Anwendung und konnte so Sicherheitsmechanismen umgehen. Laut Resecurity nutzten die Angreifer bekannte Schwachstellen der PDF24-Software gezielt aus, um Erkennungs- und Abwehrsysteme zu umgehen.

Schutz vor Entdeckung

PDFSider arbeitet weitgehend speicherbasiert und hinterlässt kaum Spuren auf der Festplatte. Befehle werden über anonyme Pipes ausgeführt, während Systeminformationen über DNS-Verbindungen an Server der Angreifer übertragen werden. Die Kommunikation ist stark verschlüsselt, unter anderem mit AES-256-GCM, und zusätzlich durch moderne Authentifizierungsverfahren abgesichert. Mehrere Schutzmechanismen sorgen dafür, dass sich die Malware bei Analyseversuchen oder in virtuellen Umgebungen selbst beendet.

Resecurity stuft PDFSider als besonders gefährlich ein, da die Malware eher an Werkzeuge staatlicher Spionagekampagnen erinnert als an typische, rein finanziell motivierte Schadsoftware. Sie eigne sich für verdeckte Langzeitoperationen und werde inzwischen von mehreren Ransomware-Gruppen aktiv genutzt.

Siehe auch: