Cardinal RAT und Evilnum
Während der Erforschung dieser Angriffe hat Palo Alto Networks eine mögliche Beziehung zwischen Cardinal RAT und einer anderen Malware-Familie namens Evilnum entdeckt. Evilnum ist eine JavaScript-basierte Malware-Familie, die bei Angriffen gegen ähnliche Unternehmen eingesetzt wird.
Seit der ursprünglichen Entdeckung von Cardinal RAT haben die Angreifer einige kleinere Angriffe durchgeführt. Die Aktualisierungen beschränken sich auf Verschleierungstechniken, darüber hinaus waren einige Änderungen an der Malware selbst zu verzeichnen.
Die Netzwerkkommunikation und die dem entfernten Betreiber zur Verfügung stehenden Funktionen sind hingegen gleichgeblieben:
1. Sammeln von Informationen über das Angriffsopfer
2. Update-Einstellungen
3. Reverse-Proxy-Funktion
4. Ausführung von Befehlen
5. Autonom durchgeführte Deinstallation
6. Wiederherstellung von Passwörtern
7. Herunterladen und Ausführen neuer Dateien
8. Keylogging
9. Aufzeichnung von Screenshots
10. Durchführung von Updates
11. Entfernung von Cookies aus Browsern.
Gezielte Attacke gegen FinTech-Unternehmen
Cardinal RAT und Evilnum wurden beide bei Angriffen mit gezielter Distribution gegen FinTech-Unternehmen eingesetzt. In einem Fall wurden beide Malware-Familien beim gleichen Ziel in kurzer Zeit beobachtet, während Dropper für beide Familien ähnlich thematisierte Köderdokumente teilen. Auch wenn die beiden Familien nicht miteinander verbunden sind, verfolgen die jeweiligen Akteure ähnliche Interessen.
Wie können sich Unternehmen schützen?
Ganz allgemein hilft gegen Cardinal RAT und Evilnum, was auch gegen alle anderen Viren und Trojaner hilft: FinTech-Unternehmen sollten sicherstellen, dass sie vor der verwendeten Malware geschützt sind. Unternehmen mit guter Spam-Filterung, ordnungsgemäßer Systemadministration und aktualisierten Windows-Umgebungen weisen in jedem Fall ein viel geringeres Infektionsrisiko auf.
Generische Abwehrmaßnahmen gegen diese Risiken umfassen:
1. Eingehende E-Mails mit LNK-Datei als Anhang oder ZIP-Dateien, die eine einzige LNK-Datei enthalten, nicht zulassen.
2. Eingehende E-Mails aus externen Quellen, in denen Dokumente mit Makros enthalten sind, nicht zulassen, oder sicherstellen, dass die richtige Richtlinie konfiguriert ist.
3. Einschränkung der Verwendung von Skriptsprachen.
Weiterführende Links:
unit42.paloaltonetworks.com : Cardinal RAT Sins Again, Targets Israeli Fin-Tech Firms
