Der Diebstahl von Informationen ist für Cyber-Banden von grundlegender Bedeutung, um sich Zugang zu Systemen zu verschaffen und größere Malware-Kampagnen gegen Unternehmen zu initiieren. In einer jüngsten Analyse der Prynt Stealer-Malware fanden ThreatLabz-Sicherheitsforscher von Zscaler nun heraus, dass Diebstahl von Informationen auch unter Cyberkriminellen auf der Tagesordnung steht.
Schadcode zum Erbeuten von Firmeninformationen, wie beispielsweise der Infostealer Prynt, werden von den Machern häufig über einen Builder konfiguriert und dann an weniger erfahrene Bedrohungsakteure verkauft. Bei der Analyse des Prynt Stealers entdeckten die Sicherheitsforscher nun eine Hintertür, die automatisch Kopien der exfiltrierten Daten der Opfer an einen privaten Telegram-Chat weiterleitet.
Dieser Chat wird von den Entwicklern des Builders überwacht, die damit die gestohlenen Daten abgreifen können. Auf diese Weise gelangen die Daten der bestohlenen Organisationen in die Hände mehrerer Bedrohungsakteure, wodurch sich das Risiko eines oder mehrerer groß angelegter Angriffe erhöht.
Mit dem Prynt Stealer sind Cyberkriminelle in der Lage, Anmeldeinformationen zu erfassen, die auf einem kompromittierten System gespeichert sind, einschließlich Webbrowsern, VPN/FTP-Clients sowie Messaging- und Spieleanwendungen. Programmiert wurde der Stealer auf Basis von Open-Source-Projekten wie AsyncRAT und StormKitty.
Nach den Erkenntnissen der Sicherheitsforscher sind die Malware-Familien DarkEye und WorldWind, die ebenfalls Informationen stehlen, mit Prynt Stealer nahezu identisch.
Prynt Stealer – ein Beispiel cyberkrimineller Copy Cat-Aktivitäten
Prynt Stealer ist eine relativ neue Malware-Familie für Informationsdiebstahl, die in .NET geschrieben wurde. Bei Prynt Stealer handelt es sich teilweise um Code, der direkt aus den Repositories der Varianten WorldWind und DarkEye kopiert wurde und auf den gleichen Malware-Autor schließen lässt.
Viele Teile des Prynt Stealer-Codes, die von anderen Malware-Familien entliehen wurden, werden nicht verwendet, sind aber in der Binärdatei als unerreichbarer Code vorhanden. Die erbeuteten Dateien des Opfers werden zu einem Telegram-Account des Prynt-Betreibers weitergeleitet.
Was der Betreiber nicht wissen dürfte, ist allerdings, dass eine Kopie dieser Daten via einen weiteren eingebetteten Telegram-Kanal ebenfalls an den eigentlichen Autoren der Malware geschickt wird. Als Hintertür kommt dabei DarkEye-Code zum Einsatz.
Bereits in der Vergangenheit konnte dieses Vorgehen von Malware-Autoren beobachtet werden, wenn Malware kostenlos zur Verfügung gestellt wurde. Der Autor profitiert von den Aktivitäten der Cyberkriminellen, die seine Malware einsetzen und Unternehmen damit infizieren.
Da alle entdeckten Prynt Stealer Samples denselben Telegram-Kanal eingebettet haben, lässt auf den vorsätzlichen Einbau der Hintertür zum Zweck der Monetarisierung schließen, obwohl manche der Kunden auch für Prynt Stealer bezahlen.
Fazit
Die freie Verfügbarkeit von Quellcode von zahlreichen Malware-Familien hat die Entwicklung und Anpassung für Bedrohungsakteure mit geringen Programmierkenntnissen einfacher denn je gemacht. Infolgedessen sind im Laufe der Jahre viele neue Malware-Familien entstanden, die auf beliebten Open Source Malware-Projekten wie NjRat, AsyncRAT und QuasarRAT basieren.
Der Autor von Prynt Stealer ging noch einen Schritt weiter und fügte eine Hintertür hinzu, um seine Kunden zu bestehlen. Dafür baute er einen Telegram-Token und eine Chat-ID in die Malware ein. Diese Taktik ist keineswegs neu und zeigt einmal mehr, dass es keine Ehre unter Dieben gibt.