[datensicherheit.de, 16.08.2019] Laut einer aktuellen Meldung von proofpoint ist eine neue Variante der Malware „DanaBot“ (ID27) aufgetaucht, mit der speziell Anwender in Deutschland attackiert werden. Die Web-Publikationen „H3 Collective“ und „ZDNet“ haben darüber gerade erst berichtet.

DanaBot-Malware weiterentwickelt: In neuer Form nun auch Angriffe auf Unternehmen in Deutschland

„DanaBot“ sei 2018 von proofpoint-Forschern entdeckt worden und habe sich zunächst gegen Ziele in Australien gerichtet. „Zudem schien es so, als ob ,DanaBot‘ vor mehr als einem Jahr von lediglich einem Team Cyber-Krimineller eingesetzt wurde.“ In der Zwischenzeit sei diese Malware weiterentwickelt worden und attackiere in neuer Form nun auch Unternehmen in Deutschland.

Jetzt aufgetauchte DanaBot-Variante ID 27 seit etwa sechs Monaten stabil

Zu der jetzt aufgetauchten Variante „ID 27“ von „DanaBot“ nimmt Sherrod DeGrippo, „Senior Director Threat Research and Detection“ bei proofpoint, Stellung: „Die aktuelle Version von ,DanaBot‘ ist seit etwa sechs Monaten stabil. Sie hat die mit Abstand größte Anzahl von Affiliate-IDs, die wir von proofpoint weiterhin beobachten – insbesondere deshalb, da mehr oder weniger permanent neue Varianten erscheinen.“

Gezielte Attacken: Deutsche Unternehmen auch weiterhin gefährdet

Zunächst sei es so erschienen, also ob bereits Anfang Juni 2019 bei der Adressierung deutscher Anwender mit „ID 27“ der Höhepunkt erreicht gewesen wäre, einschließlich der Verwendung der „Airbnb“-Domain in den Web-Injects. Jedoch blieben deutsche Unternehmen auch weiterhin gefährdet und würden gezielt attackiert.

DanaBot-Affiliate 4 hat begonnen, Banken in den USA ins Visier zu nehmen

Die Akteure hinter jeder ID der aktuellen Version könnten andere sein als in einer früheren Version. Dies hänge vermutlich davon ab, wer den Dienst vom „DanaBot“-Anbieter kauft. DeGrippo: „Die größte Veränderung, die wir bei ,Danabot‘ gesehen haben, ist, dass ,Affiliate 4‘ begonnen hat, Banken in den USA anzusprechen.“

Weitere Informationen zum Thema:

H3 Collective, 14.08.2019
Review of a Danabot Infection

ZDNet, Charlie Osborne for Zero Day, 15.08.2019
DanaBot banking Trojan jumps from Australia to Germany in quest for new targets / The malware has evolved from a basic threat to profitable, global crimeware.

datensicherheit.de, 08.07.2019
Banktrojaner DanaBot verlangt nun Lösegelder

datensicherheit.de, 21.09.2018
Banktrojaner DanaBot mit modularer Architektur in Europa aktiv

datensicherheit.de, 10.08.2018
Banking-Trojaner halten Spitzenplatz im zweiten Quartal 2018

datensicherheit.de, 19.07.2018
Im Juni 2018 50 Prozent mehr Banking-Trojaner unter Bedrohungsakteuren

datensicherheit.de, 11.06.2018
Wandel der Bedrohungslage: Bankentrojaner vor Ransomware

Malware nach Update als Ransomware eingesetzt

[datensicherheit.de, 08.07.2019] Laut einer aktuellen Meldung von Check Point Software Technologies verlangt „DanaBot“ nun Lösegelder. Das hauseigene „Research Team“ hat demnach neue Angriffsmöglichkeiten dieser Malware entdeckt.

DanaBot über gefälschte E-Mails zugestellt

Sicherheitsforscher von Check Point Software Technologies bestätigten, dass die Malware „DanaBot“ nach einem Update als Ransomware eingesetzt werde, um Lösegelder für verschlüsselte Dateien zu fordern. Seit August 2018 hätten diese fortlaufend diese Malware untersucht.
Die Angreifer versenden demnach gefälschte E-Mails mit unterschiedlichen Inhalten, die einen Link zu angeblichen Dokumenten enthalten, die auf „GoogleDocs“ hochgeladen wurden. Die angebotene Datei enthalte ein VBS-Script, das als „Dropper“ für die Malware diene.
Wird die Datei nach dem Herunterladen geöffnet, dann entpacke der „Dropper“ automatisch die „DanaBot Downloader DLL“ in den Temp-Ordner des Betriebssystems und registriere sie als Dienst. Danach versuche „DanaBot“, eine Verbindung mit dem „Command & Control“-Server (C&C) der Angreifer aufzubauen.

DanaBot fällt unter Kategorie der NonRansomware-Distribution

Seit April 2019 sei „DanaBot“ nun um die Funktion erweitert worden, als Ransomware zu arbeiten. Dabei falle diese Malware unter die Kategorie der „NonRansomware“-Distribution. Das bedeutet laut Check Point, „dass die Software irgendwelche Daten auf den lokalen Festplatten auswählt und verschlüsselt, aber nicht den ,Windows‘-Systemordner. Die verschlüsselten Daten bekommen die neue Endung .non angehängt. Außerdem wird in jedem Ordner, der verschlüsselte Datensätze enthält, eine Lösegeldforderung als .txt-Datei platziert.“
Die Sicherheitsforscher von Check Point weisen darauf hin, dass die Entwickler hinter „DanaBot“ diese Software seit einem Jahr kontinuierlich weiterentwickelt hätten, und erwarten „auch in naher Zukunft neue Funktionen und Verbesserungen“. Zudem versuchten die Cyber-Kriminellen ihre Zusammenarbeit mit anderen Gruppierungen zu erweitern.
Check Point empfiehlt außerdem ausdrücklich, „auf keine Lösegeldforderung einzugehen, um die Motivation der Kriminellen nicht anzufeuern“. Stattdessen bietet Check Point nach eigenen Angaben ein Entschlüsselungsprogramm gegen Angriffe durch „NonRansomware“-Schädlinge an. Kunden von Check Point seien gegen „DanaBot“ und ähnliche Bedrohungen durch den „SandBlast Agent“ geschützt.

Abbildung: Check Point

NonRansomware „DanaBot“: Lösegeldforderung (Bsp.)

Weitere Informationen zum Thema:

<cp>r CHECK POINT RESEARCH, 20.06.2019
DanaBot Demands a Ransom Payment

datensicherheit.de, 21.09.2018
Banktrojaner DanaBot mit modularer Architektur in Europa aktiv

datensicherheit.de, 10.08.2018
Banking-Trojaner halten Spitzenplatz im zweiten Quartal 2018

datensicherheit.de, 19.07.2018
Im Juni 2018 50 Prozent mehr Banking-Trojaner unter Bedrohungsakteuren

datensicherheit.de, 11.06.2018
Wandel der Bedrohungslage: Bankentrojaner vor Ransomware

[datensicherheit.de, 21.09.2018] Seit kurzem wird ein deutlichen Anstieg der Aktivitäten des Banktrojaners DanaBot festgestellt. Der Trojaner selbst wurde Anfang des Jahres in Australien und Polen entdeckt. Besonders gefährlich macht ihn seine modulare Architektur. Er setzt bei den meisten Funktionen auf Plugins. Die Schadsoftware mit der mehrstufigen und mehrkomponentigen Architektur wird vorrangig durch schädliche E-Mails verteilt. Diese geben sich zumeist als Rechnungen verschiedener Unternehmen aus.

Die Ergebnisse der von ESET durchgeführten Untersuchung zeigen, dass DanaBot immer noch aktiv genutzt und entwickelt wird, gerade in europäischen Ländern. Derzeit betroffen sind Deutschland, Österreich, Polen, Italien und die Ukraine. „Unseren Untersuchungen zufolge haben die Angreifer seit den früheren Kampagnen mehrere Änderungen an den DanaBot-Plugins vorgenommen“, sagt Thomas Uhlemann, Security Specialist bei ESET. „Online-Banking Nutzer sollten darauf achten, mithilfe passender Antiviren-Software ausreichend geschützt zu sein, welche auch schädliche Dateinanhänge falscher E-Mails entfernen kann. “

Im deutschsprachigen Raum waren vor allem Nutzer der Mailprovider Outlook.com und Gmail betroffen. Neben den Mail-Kampagnen zielte DanaBot in Deutschland vor allem auf folgende Bankwebseiten ab: bv-activebanking.de, commerzbank.de, sparda.de, comdirect.de, deutsche-bank.de, berliner-bank.de, norisbank.de, targobank.de. ESET-Systeme erkennen und blockieren nach eigenen Angaben alle bereits identifizierten DanaBot-Komponenten und Plugins.

Ständige Weiterentwicklung – Aktivität von DanaBot

Die die zuletzt eingeführten, neuen Funktionen zeigen, dass die Angreifer die modulare Architektur der Malware weiterhin nutzen. Ihre Reichweite und Erfolgsrate werden also immer noch erhöht. Neu hinzugekommen ist Anfang September 2018 ein RDP-Plugin. Es basiert auf dem Open-Source-Projekt RDPWrap, das Remote Desktop Protocol-Verbindungen zu Windows-Computern bereitstellt, die normalerweise nicht unterstützt werden. Dies ist neben dem VNC-Plugin die zweite Erweiterung, die den Angreifern einen Fernzugriff auf die Rechner der Opfer ermöglicht. Es is einfach weniger wahrscheinlich, dass das RDP-Protokoll durch Firewalls blockiert wird. Außerdem ermöglicht RDPWrap mehreren Benutzern, dasselbe Gerät gleichzeitig zu benutzen. So kann der Angreifer Aufklärungsaktionen durchführen, während das ahnungslose Opfer den Computer noch benutzt.

Weitere Informationen zum Thema:

WeLiveSecurity
DanaBot: getarnter Banken-Trojaner erreicht Europa

datensicherheit.de, 10.08.2018
Banking-Trojaner halten Spitzenplatz im zweiten Quartal 2018

datensicherheit.de, 19.07.2018
Im Juni 2018 50 Prozent mehr Banking-Trojaner unter Bedrohungsakteuren

datensicherheit.de, 11.06.2018
Wandel der Bedrohungslage: Bankentrojaner vor Ransomware

datensicherheit.de, 26.01.2018
FinFisher: ESET-Whitepaper bietet neue Einblicke in Spyware-Kampagne