Was ist Mylobot und wie funktioniert diese Malware?

Im Jahr 2017 entdeckten Sicherheitsforscher täglich etwa 23.000 Malware-Beispiele, was etwa 795 Malware-Teilen entspricht, die jede Stunde produziert werden. Es hört sich furchtbar an, aber in Wirklichkeit handelt es sich bei den meisten dieser Beispiele um Variationen bestehender Malware, die lediglich anderen Code verwendet, um eine „neue“ Signatur zu erstellen. Vor kurzem ist jedoch eine neue, sehr ausgefeilte Malware namens Mylobot aufgetaucht.

Was ist Mylobot?

Mylobot ist eine Botnet- Malware , die eine große Anzahl böswilliger Absichten enthält. Tom Nipravsky, ein Sicherheitsforscher für Deep Instinct, war der erste, der diese Malware entdeckte.

Diese Malware vereint eine Reihe komplexer Infektions- und Verschleierungstechniken in einem leistungsstarken Paket. Hier sind die Techniken, die in Mylobot verwendet werden:

• Antivirtuelle Maschine (VM)-Technik : Diese Malware untersucht die Computerumgebung auf Anzeichen der Nutzung virtueller Maschinen . Wenn ein Hinweis darauf gefunden wird, dass der Benutzer eine virtuelle Maschine verwendet, wird diese nicht ausgeführt.
• Anti-Sandbox-Techniken : Sehr ähnlich zu Anti-Virtual-Machine-Techniken.

Weitere Informationen: Die 7 besten Sandbox-Anwendungen für Windows 10

• Anti-Debugging-Techniken : Verhindern Sie, dass Sicherheitsforscher effektiv an einem Malware-Beispiel arbeiten, indem Sie das Verhalten eines bestimmten Debugging-Programms ändern.
• Umhüllen Sie die Interna mit einer verschlüsselten Ressourcendatei : Schützen Sie den internen Code der Malware durch Verschlüsselung.
• Code-Injection-Angriffstechnik : Mylobot führt benutzerdefinierten Code aus, um das System anzugreifen, und infiziert Prozesse mit diesem Code, um auf den regulären Betrieb zuzugreifen und ihn zu stören.
• Leeres Handle : Der Angreifer erstellt einen neuen Prozess im angehaltenen Zustand und ersetzt ihn dann durch einen versteckten Prozess.
• Reflektierende EXE-Technik : Führen Sie EXE-Dateien aus dem Speicher statt auf dem Laufwerk aus.
• Verzögerungsmechanismus : Die Malware verzögert 14 Tage, bevor sie eine Verbindung zum Befehls- und Kontrollserver herstellt.

Mylobot führt verschiedene Techniken aus, um verborgen zu bleiben.

Anti-Sandbox-, Anti-Debug- und Anti-Virtual-Machine-Techniken versuchen zu verhindern, dass Malware beim Scannen mit Anti-Malware-Software erkannt wird , und verhindern, dass Sicherheitsforscher Malware auf einer Maschine isolieren. Virtuelle oder Sandbox-Umgebung für Analyse und Forschung .

Mylobot verwendet „Reflective EXE“, um die Erkennung noch schwieriger zu machen, da es nicht direkt auf dem Laufwerk funktioniert und daher nicht von Antiviren- oder Anti-Malware-Software analysiert werden kann.

„Seine Codestruktur ist sehr komplex, es handelt sich um eine Multithread-Malware, jeder Thread ist für die Implementierung unterschiedlicher Funktionen der Malware verantwortlich“, schrieb Nipravsky in einem Beitrag. Und erwähnte auch: „Diese Malware enthält drei ineinander verschachtelte Dateiebenen, wobei jede Ebene für die Ausführung der nächsten verantwortlich ist.“ Die letzte Ebene verwendet die „Reflective EXE-Technik“.

Zusammen mit Anti-Analyse- und Anti-Erkennungstechniken kann Mylobot 14 Tage verzögern und dann Kontakt mit seinem Befehls- und Kontrollserver aufnehmen. Wenn Mylobot eine Verbindung herstellt, schaltet das Botnetz Windows Defender und Windows Update aus und schließt einige Windows-Firewall-Ports.

Mylobot sucht nach anderen Arten von Malware und tötet sie ab

Eine der interessanten und seltenen Eigenschaften dieser Mylobot-Malware ist ihre Fähigkeit, andere Malware zu suchen und zu zerstören. Im Gegensatz zu anderer Malware ist Mylobot bereit, diese Art von Malware zu zerstören, wenn sie auf dem System vorhanden ist. Es durchsucht den Anwendungsdatenordner des Systems nach gängigen Malware-Dateien und -Ordnern. Wenn eine bestimmte Datei oder ein bestimmter Prozess gefunden wird, „tötet“ Mylobot sie.

Was genau macht Mylobot?

Die Hauptfunktion von Mylobot besteht darin, das System zu kontrollieren, von dem aus der Angreifer Zugriff auf Online-Anmeldeinformationen, Systemdateien usw. hat. Die Höhe des Schadens hängt vom Systemangreifer ab. Insbesondere beim Eindringen in das Unternehmensumfeld kann es großen Schaden anrichten.

Mylobot ist auch mit anderen Botnetzen wie DorkBot, Ramdo und dem berüchtigten Locky-Netzwerk verbunden. Wenn Mylobot als „Kanal“ für Botnets und andere Arten von Malware fungiert, ist das eine echte Katastrophe.

Wie man Mylobot entgegenwirkt

Die schlechte Nachricht ist, dass Mylobot seit mehr als zwei Jahren Systeme infiziert. Der Befehls- und Kontrollserver wurde erstmals im November 2015 gefunden. Mylobot entging lange Zeit allen anderen Forschern und Sicherheitsunternehmen, bevor es vom „Deep Learning“-Netzwerkforschungstool von Deep Instinct entdeckt wurde.

Herkömmliche Antiviren- und Anti-Malware-Tools können zumindest vorerst nicht vor Mylobot schützen. Da nun ein Mylobot-Beispiel verfügbar ist, können viele Forscher und Sicherheitsunternehmen damit Maßnahmen gegen diese Malware finden.

In der Zwischenzeit sollten Sie sich unsere Liste mit Antiviren- und Computersicherheitstools ansehen . Obwohl diese Tools Mylobot nicht zerstören können, können sie andere Malware stoppen. Darüber hinaus können Sie den Artikel Schadsoftware (Malware) auf Windows 10-Computern vollständig entfernen lesen .

Mehr sehen:

• 9 Dinge, die Sie tun sollten, wenn Sie feststellen, dass Ihr Computer mit Malware infiziert ist
• Wie viele Arten von Malware kennen Sie und wissen Sie, wie Sie sie verhindern können?
• 10 typische Arten von Malware