Forscher bringen selbstlöschende Mistic-Backdoor mit möglicher Aktivität eines Zugangsvermittlers in Verbindung

Sicherheitsforscher erklären, dass eine neu identifizierte Backdoor namens Mistic oder MLTBackdoor seit April bei Angriffen eingesetzt wird und möglicherweise mit einer kriminellen Zugangsvermittler-Operation verbunden ist, die Zugangspunkte zu Unternehmensnetzwerken an Ransomware-Gruppen verkauft.

Die Malware wurde Anfang dieses Monats erstmals von Zscaler beschrieben. Das Unternehmen vermutete, dass sie Angreifern dabei helfen soll, sich zunächst in den Zielumgebungen festzusetzen, bevor sie sich dort lateral ausbreiten. In einem am Mittwoch veröffentlichten Threat Briefing erklärten Symantec und Carbon Black, Mistic in den vergangenen Monaten bei Angriffen auf Organisationen aus den Bereichen Versicherungen, Bildung, IT und professionelle Dienstleistungen beobachtet zu haben.

Die Forscher betonten, dass ihre Einschätzung nur eine geringe Zuverlässigkeit aufweist. Sie gehen jedoch davon aus, dass Mistic mit der finanziell motivierten Gruppe in Verbindung stehen könnte, die sie als KongTuke, auch bekannt als Woodgnat, verfolgen. Dieser Cluster wurde bereits mit Aktivitäten zur Erlangung des Erstzugangs sowie mit dem Remote-Access-Trojaner ModeloRAT in Verbindung gebracht, einem Tool, das ebenfalls bei Vorfällen mit Ransomware-Deployment beobachtet wurde.

Dem Bericht zufolge wurde Mistic in einem Fall in unmittelbarer Nähe zu ModeloRAT betrieben. Zudem beobachtete Zscaler, wie die Backdoor über eine mehrstufige ClickFix-Infektionskette eingeschleust wurde. Beide Details deuten den Forschern zufolge auf dieselbe übergeordnete Aktivität hin.

Was die Backdoor kann

• Dateien hochladen, herunterladen, verschieben, umbenennen und löschen
• Neue Verzeichnisse erstellen
• Sich bei von Angreifern kontrollierten Command-and-Control-Servern melden
• Nutzlasten direkt im Arbeitsspeicher ausführen, statt sie auf die Festplatte zu schreiben
• Sich nach der Nutzung selbst löschen

Die Ausführung im Arbeitsspeicher ist bemerkenswert, da sie die Wahrscheinlichkeit einer Erkennung durch herkömmliche Antiviren- und Endpoint-Sicherheitstools verringern kann. In einem von den Forschern untersuchten Vorfall wurde die Malware über eine legitime ausführbare Datei per Side-Loading geladen und aus einer DLL ausgeführt – eine Technik, die dabei helfen kann, bösartige Aktivitäten in vertrauenswürdigen Softwareprozessen zu verbergen.

Sicherheitsteams zufolge macht die Kombination aus Tarnfunktionen und einer integrierten Selbstzerstörungsfunktion Mistic besonders nützlich für kurzlebigen, schwer erkennbaren Zugriff. In der Praxis kann eine solche Fähigkeit Angreifern genügend Zeit verschaffen, die Kontrolle zu übernehmen, den Zugriff an eine andere Gruppe weiterzugeben und anschließend Beweise für die ursprüngliche Kompromittierung zu entfernen.