Sophos hat die neue Studie “Trash Panda as a Service” Raccoon-Stealer Steals Cookies, Cryptocoins and More” veröffentlicht. Thema ist ein Stealer, der als Raubkopie getarnt Kryptowährungen und Informationen erbeutet und gleichzeitig schädliche Inhalte wie Kryptominer auf das Zielsystemen einschleust. „Da ein Großteil des täglichen und beruflichen Lebens heute von web-basierten Diensten abhängt, haben es Cyberkriminelle mit ihrer Malware zunehmend auf gespeicherte Web-Zugangsdaten abgesehen, denn diese bieten ihnen Zugriff auf viel mehr im Vergleich zu gestohlenen Passwort-Hashes”, sagt Sean Gallagher, Senior Threat Researcher bei Sophos.
Raccoon-Stealer nimmt jetzt auch Krypto-Wallets ins Visier
„Die von uns beobachtete Cybercrime-Kampagne zeigt, dass der Raccoon-Stealer sowohl Kennwörter und Cookies als auch Autofill-Texte von Websites stiehlt – einschließlich Kreditkartendaten und andere persönliche Informationen, die von einem Browser gespeichert werden können. Dank eines kürzlichen Updates der sogenannten Clipper-Malware, die Daten in der Zwischenablage oder die Zielinformationen für eine Kryptowährungstransaktion ändert, zielt Raccoon-Stealer jetzt auch auf Krypto-Wallets ab. Durch das Update lassen sich Systeme mit zusätzlicher Malware infizieren oder Dateien abrufen und laden. Das sind eine Menge Optionen, die Cyberkriminelle leicht zu Geld machen können – mit einem Dienst, der der sie lediglich 75 Dollar pro Woche an Miete kostet”, so Gallagher weiter.
Telegram als neue und zusätzliche Taktik
Raccoon-Stealer wird normalerweise über Spam-E-Mails verbreitet. In der von Sophos untersuchten Angriffsserie wird er jedoch über Dropper verbreitet, den die Betreiber als gecrackte Software-Installationsprogramme getarnt haben. Dropper kombinieren den Raccoon-Stealer mit zusätzlichen Angriffswerkzeugen, darunter schädliche Browser-Erweiterungen, YouTube-Klickbetrug-Bots und Djvu/Stop, eine Ransomware, die vor allem Privatanwender im Visier hat. Die Kriminellen hinter der Raccoon-Stealer-Kampagne nutzten den Sophos-Forschungsergebnissen zufolge erstmals auch den Chat-Dienst Telegram für die Befehls- und Kontrollkommunikation.
„Informationsdiebe spielen eine wichtige Rolle im Ökosystem der Cyberkriminalität. Sie bieten einen schnellen Return on Investment und ermöglichen einen einfachen und billigen Einstiegspunkt für größere Angriffe”, sagt Gallagher. „Cyberkriminelle verkaufen gestohlene Identitätsdaten auf Darknet-Plattformen, so dass andere Angreifer, darunter Ransomware-Betreiber oder Initial Access Broker, sie für ihre eigenen kriminellen Absichten nutzen können. Alternativ nutzen die Angreifer die Anmeldedaten für weitere Angriffe auf andere Benutzer auf derselben Plattform. Es besteht eine ständige Nachfrage nach gestohlenen Benutzer- und Anmeldedaten für den Zugang zu legitimen Diensten, um ohne großen Aufwand weitere Malware zu verbreiten. Datendiebe mögen als eine vergleichsweise geringere Bedrohung erscheinen, sie sind es aber nicht.“
Schutz für Unternehmen und Privatpersonen
Für Unternehmen empfiehlt Sophos, alle Konten von Online-Diensten für die Kommunikation und Zusammenarbeit am Arbeitsplatz durch Multi-Faktor-Authentifizierung (MFA) zu schützen. Zudem sollte sichergestellt sein, dass die Computer aller Mitarbeiter über einen aktuellen Malware-Schutz verfügen. Sophos Intercept X schützt Endpoints durch die Erkennung von Aktionen und Verhaltensweisen von Malware wie Raccoon-Stealer. Zudem überprüft die Security-Lösung den Speicher auf verdächtige Aktivitäten und schützt vor dateiloser Malware.
Privatpersonen rät Sophos zu einer Sicherheitslösung auf allen Geräten, die sie und ihre Familien für Online-Kommunikation und Spiele nutzen. Sophos Home schützt private Computer (Windows und Mac) mit einem mehrschichtigen Ansatz und auf Basis der Technologie der Unternehmensprodukte zuverlässig vor Malware und Cyberbedrohungen. Es ist zudem empfehlenswert, das Herunterladen und Installieren von nicht lizenzierter Software von jeder Quelle zu vermeiden.
Weitere Informationen über Raccoon-Stealer und andere Cyber-Bedrohungen finden Sie im Blog SophosLabs Uncut.