Windows-Backdoor: Bedrohungsakteure nutzen BITS als C2-Mechanismus aus

Jüngsten Berichten zufolge haben Cybersicherheitsforscher von Elastic Security Labs eine neue Windows-Backdoor entdeckt. Diese nutzt eine integrierte Funktion namens „Background Intelligent Transfer Service“ (BITS) und setzt sie als Command-and-Control-Mechanismus (C2) ein. In diesem Artikel werden wir uns eingehend mit den Details dieser Windows-Backdoor befassen und erfahren, welche Gefahren sie mit sich bringt. Los geht’s!

Die BITS-Windows-Backdoor Erstentdeckung

Nach den vorliegenden Informationen wurde die Windows-Backdoor am 25. Juni 2024 von den Sicherheitsforschern von Elastic Labs entdeckt. Es ist erwähnenswert, dass diese Entdeckung im Zusammenhang mit einem nicht näher bezeichneten Angriff auf einen südamerikanischen Außenminister erfolgte.

Derzeit wird der Aktivitätscluster unter dem Namen REF8747 verfolgt. Die Forscher Seth Goodwin und Daniel Stepanic haben Details zur Windows-Backdoor der BITSLOTH-Malware genannt:

"Die zum Zeitpunkt dieser Veröffentlichung aktuellste Version der Hintertür verfügt über 35 Handler-Funktionen, darunter Keylogging- und Screen-Capture-Funktionen. Darüber hinaus enthält BITSLOTH viele verschiedene Funktionen zur Erkennung, Aufzählung und Befehlszeilenausführung."

Die BITSLOTH-Malware verstehen

BITSLOTH, das Tool, das von den Bedrohungsakteuren zum Sammeln von Daten verwendet wird, befindet sich seit 2021 in der Entwicklung. Die Identität der Hintermänner der Windows-Backdoor-Malware BITSLOTH ist nach wie vor unbekannt. Bestimmte Protokollierungsfunktionen und Zeichenfolgen deuten jedoch darauf hin, dass die Autoren möglicherweise Chinesisch sprechen.

Diese Verbindung wird durch den häufigen Einsatz eines anderen Tools namens RingQ noch verstärkt. Chinesische Cyberspionage-Bedrohungsakteure verwenden RingQ in erster Linie zur Verschlüsselung der Malware, damit diese unentdeckt bleibt und direkt im Speicher entschlüsselt und ausgeführt werden kann. Die BITSLOTH-Malware kommt in einer DLL-Datei namens "flengine.dl" vor.

Angriffskette und Fähigkeiten der BITSLOTH-Malware

Um den Angriff zu initiieren, wird die DLL-Datei mithilfe einer Side-Loading-Technik in Verbindung mit einer ausführbaren Datei geladen. Die ausführbare Datei ist mit einer Image-Line namens FL Studio (fl.exe) verbunden. Darüber hinaus haben die Bedrohungsakteure der BITSLOTH-Malware eine neue Planungskomponente hinzugefügt.

Mit dieser Komponente können sie steuern, wann die Malware in einer bestimmten Umgebung aktiv werden soll. Diese Funktion wurde bereits bei anderen Malware-Programmen wie EAGERBEE beobachtet.

Was die Fähigkeiten der Windows-Backdoor-Malware BITSLOTH betrifft, so kann sie eine Reihe von böswilligen, absichtlichen Aktionen durchführen, darunter:

• Beschaffung sensibler Daten.
• Rekonfiguration der Persistenz.
• Beendigung beliebiger Prozesse.
• Hochladen und Herunterladen von Dateien.
• Befehle ausführen und ausführen lassen.
• Protokollieren von Tasten und Erfassen von Bildschirmen.
• Neustart oder Herunterfahren des Geräts.
• Durchführung der Auszählung und Entdeckung.
• Abmelden der Opfer von ihren Geräten.
• Wechsel des Kommunikationsmodus zu HTTP oder HTTPS.
• Aktualisierung oder Löschung von den kompromittierten Systemen.

Wer sich vor Cyber-Bedrohungen schützen will, muss wissen, dass die Windows-Backdoor BITS für Exploits genutzt werden kann, da der BITS-Netzwerkverkehr schwer zu überwachen ist. Es ist erwähnenswert, dass solche Erkenntnisse bei der Entwicklung einer Cybersicherheitsstrategie von Unternehmen berücksichtigt werden sollten.

Schlussfolgerung

Die Entdeckung der BITSLOTH-Malware unterstreicht die Fähigkeiten von Cyberkriminellen, die BITS als C2-Mechanismus nutzen. Unternehmen müssen ihre Cybersicherheitsmaßnahmen verbessern, den Netzwerkverkehr sorgfältig überwachen und auf dem Laufenden bleiben, um sich gegen solche raffinierten Bedrohungen zu schützen.

Zu den Quellen für diesen Artikel gehören Artikel in The Hacker News und Elastic Security Labs.