PLEAD Malware: Gestohlene Zertifikate taiwanischer Tech-Unternehmen missbraucht

ESET-Forscher haben eine neue Malware-Kampagne entdeckt, bei der gestohlene digitale Zertifikate zum Einsatz kommen.

Wir spürten die Malware auf, als unsere Systeme mehrere Dateien als verdächtig einstuften. Interessanterweise trugen die markierten Dateien valide digitale Signaturen durch Code Signing-Zertifikate von der D-Link Corporation. Das gleiche Zertifikat wurde dazu benutzt, nicht schädliche D-Link Software zu signieren. Wir glaubten also, dass das Zertifikat gestohlen wurde.

Bald bestätigte sich die schädliche Natur der Dateien. Wir setzten D-Link darüber in Kenntnis, worauf das Unternehmen seine eigenen Untersuchungen begann.
Seit dem 3. Juli 2018 wird das kompromittierte digitale Zertifikat von D-Link zurückgewiesen.

Abbildung 1: Das D-Link Code Signing-Zertifikat wurde verwendet, um Malware zu signieren.

Die Malware

Unsere Analysen ergaben zwei unterschiedliche Malware-Familien, die sich das gestohlene Zertifikat zu Nutze machten. Einerseits handelt es sich hierbei um die PLEAD Malware – eine ferngesteuerte Backdoor – und um eine Komponente zum Stehlen von Passwörtern. Erst vor gut einem Monat veröffentlichte das Japan Computer Emergency Response Team (JPCERT) eine tiefergehende Analyse der PLEAD Backdoor. Micro Trend zu Folge wird die Hintertür von der Cyberspionage-Gruppe BlackTech eingesetzt.

Abbildung 2: Das Changing Information Technology Inc. Code Signing-Zertifikat wurde verwendet, um Malware zu signieren.

Neben den PLEAD Samples, welche mit D-Link Zertifikaten signiert waren, haben ESET-Forscher auch Samples identifiziert, die ein Zertifikat eines taiwanesischen Sicherheitsunternehmens Changing Information Technology Inc. missbrauchten.

Obwohl Changing Information Technology Inc. das Zertifikat seit dem 4. Juli zurückweist, benutzt es die BlackTech-Gruppe immernoch, um ihre schädlichen Tools zu signieren.

Die Fähigkeiten, mehrere taiwanesische Technologiekonzerne zu kompromittieren, um ihr Code Signing-Zertifikate für zukünftige Attacken zu stehlen, zeigen, wie gut sich die Gruppe auskennt und wie fokussiert sie auf die Region Ostasien sind.

Die signierten PLEAD Malware-Samples waren sehr mit unbrauchbaren (Junk-)Code übersät. Allerdings verfolgen sie alle denselben Zweck. Von einem Remote Server oder vom lokalen Speicher aus öffnet der Schadcode ein kleines verschlüsseltes BLOB. Dieses BLOB enthält einen verschlüsselten Shellcode, der das abschließende PLEAD-Backdoor-Modul herunterlädt.

Abbildung 3: Verschleierter Code der PLEAD Malware

Das Passwort-Stealer-Tool wird verwendet, um gespeicherte Passwörter von folgenden Anwendungen zu sammeln:

• Google Chrome
• Microsoft Internet Explorer
• Microsoft Outlook
• Mozilla Firefox

Warum digitale Zertifikate stehlen?

Das Zweckentfremden von digitalen Zertifikaten ist ein Weg vieler Cyberkrimineller ihre schädlichen Absichten zu verschleiern. Ein gestohlenes Zertifikat kann Malware als valide Software klassifizieren. Damit besteht die größere Chance, dass sich die Malware an Sicherheitsmaßnahmen ohne größere Aufmerksamkeit vorbeischummelt.

Die möglicherweise bekannteste Malware, die sich für den Diebstahl mehrerer digitaler Zertifikate verantwortlich machen muss, ist der Stuxnet Wurm. Die 2010 entdeckte Malware ist für eine der ersten Cyberattacken auf kritische Infrastrukturen bekannt. Stuxnet benutzte gestohlene RealTek und JMicron Zertifikate – zwei sehr bekannte Sicherheitsunternehmen, die auch aus Taiwan stammen.

Unsere aktuellen Entdeckungen beweisen aber, dass die Methode mit den gestohlenen Zertifikaten nicht nur bei hochkarätigen Zielen (wie kritischen Infrastrukturen) zum Einsatz kommt.

IoCs