Was ist Bazar Loader und wie bereitet man sich vor?

Was ist Bazar Loader?

Bazar Loader ist ein dateiloser Angriff, der durch die Hintertür heruntergeladen wird und es Angreifern ermöglicht, zusätzliche Malware zu installieren, die häufig für Ransomware-Angriffe verwendet wird. Seit seinem Auftauchen im April 2020 hat Bazar Loader eine Vielzahl von Unternehmen in Nordamerika und Europa angegriffen. Es wird allgemein angenommen, dass Bazar Loader von einer als Trickbot bekannten Hackergruppe entwickelt wurde.

So funktioniert Bazar Loader:

Die Art und Weise der Ausführung und der Verlauf des Angriffs

In diesem Beitrag geben wir ein Beispiel für einen kürzlich erfolgten Bazar-Loader-Angriff, den wir aufgefangen haben, und analysieren ihn, wobei wir die typischen Vorgehensweisen von Bazar-Loadern aufzeigen. In diesem konkreten Beispiel wurde der Angriff an ein Luftfahrtunternehmen gesendet. Ähnliche Angriffe zielen jedoch auf verschiedene Branchen und Organisationen unterschiedlicher Größe und geografischer Lage ab.

Bazar Loader nutzt in der Regel bestehende "E-Mail"-Korrespondenzen aus. Er "antwortet" auf einen echten E-Mail-Thread mit bösartigem Inhalt und nutzt dabei Social-Engineering-Tricks, um legitim zu wirken und das Opfer anzulocken.

In vielen Fällen vermittelt der Text in der Betreffzeile und im Textkörper der E-Mail ein Gefühl der Dringlichkeit und verleitet das Opfer dazu, den Anhang ohne nachzudenken zu öffnen. Hier ist ein Beispiel:

Normalerweise ist die an die E-Mail angehängte Datei eine ZIP-Datei, die ein Kennwort erfordert. Das Passwort selbst wird im Text der E-Mail angegeben. Aus der Sicht des Angreifers besteht der Grund für die Verwendung einer passwortgeschützten Datei darin, dass es für Sicherheitslösungen schwieriger ist, die Datei zu scannen. Ein Mensch hingegen kann sie leicht öffnen, da das Kennwort in der E-Mail selbst angegeben ist.

Das Öffnen der ZIP-Datei führt zu einer Microsoft Word-Datei. In der .doc-Datei selbst wird eine Meldung angezeigt, die zur Ausführung eines Makros auffordert, um die Datei anzeigen zu können. Dies verleitet den Benutzer dazu, in der oberen Leiste auf "Inhalt aktivieren" zu klicken, damit das Makro ausgeführt werden kann.

Wie in der obigen Abbildung zu sehen ist, enthält die Datei einen kleinen, weiß unterlegten Text. Dies ist der Inhalt der HTA-Datei (HTML-Anwendung), die auf dem Computer gespeichert ist. Standardmäßig werden Dateien mit einer HTA-Erweiterung über mshta.exe ausgeführt - ein Tool, das bereits vorhanden und von Windows signiert ist. Angreifer verwenden mshta.exe, da es bereits in Windows vorhanden ist und keinen Verdacht erregt. Aus diesem Grund ist es bei Hackern sehr beliebt.

Der HTA wird dann ausgeführt und kommuniziert mit dem Server der bösen Akteure. Der Server liefert die bösartige DLL-Datei zurück, die auf den Computer geschrieben und im System ausgeführt wird.

An diesem Punkt läuft die DLL, bei der es sich um die Hintertür handelt, über regsvr32.exe und ermöglicht die Kommunikation mit einem C2-Server, der Nachrichten von dem angegriffenen Computer sendet und empfängt, so dass die Angreifer Informationen von den Opfern extrahieren oder ein anderes Angriffstool auf den Computer herunterladen können. Die Untersuchung dieser Kommunikation ergab, dass die DNS-Anfragen von verschiedenen Orten in der Welt kommen, unter anderem aus den USA, Russland, Deutschland und Panama.

Typische Umgehungs- und Anti-Debugging-Techniken

Bazar Loader verwendet eine ganze Reihe von Tricks, um Sicherheitslösungen zu umgehen und es Sicherheitsforschern zu erschweren, ihn zu enttarnen. Hier sind einige Beispiele, die bei dem analysierten Angriff verwendet wurden:

• Die http-Anfrage an den Server, der die dll-Datei an den infizierten Computer zurückschickt, wird mit einem User Agent gesendet, der so geschrieben ist, als käme er von einem Browser. Auf diese Weise können Sicherheitslösungen beim Herunterladen der bösartigen Datei umgangen werden, indem mit dem Server des Angreifers kommuniziert wird. Mit dieser Technik kann die Kommunikation legitim erscheinen.

• Ausführen von Code vor dem traditionellen Einstiegspunkt. Debugging-Software und Sicherheitsforscher beginnen in der Regel mit der Untersuchung von Dateien ab dem traditionellen Einstiegspunkt. Daher können Codestücke, die vor diesem Einstiegspunkt ausgeführt werden, leicht übersehen werden. Forscher bemerken sie wahrscheinlich nicht, es sei denn, sie haben die Einstellungen des Debuggers vorher angepasst oder erst, nachdem der Rechner infiziert wurde.
• Die bösartige Backdoor-Datei enthält einen CPU-Feature-Informationstest (cpuid), um zu überprüfen, ob sie einen echten Computer und nicht eine virtuelle Maschine erreicht hat. Auf diese Weise kann sie entweder verhindern, dass die Malware ausgeführt wird, oder die Art und Weise ändern, wie sie ausgeführt wird, um die Sandbox zu umgehen. Beim Erreichen des Endpunkts wird die Malware dann wie geplant ausgeführt.

Zusammenfassend lässt sich sagen, dass Bazar Loader-Angriffe eine interessante Mischung von Techniken verwenden - von Social Engineering über das Verstecken der bösartigen Datei hinter einer passwortgeschützten ZIP-Datei bis hin zu Umgehungstechniken, die es ermöglichen, fortschrittliche Schutzlösungen sowie Sicherheitsforscher zu umgehen.

Wie kann man sich gegen Bazar Loader schützen?

Bazar Loader wird immer beliebter, und es wird erwartet, dass weitere Bazar Loader-Varianten auftauchen werden, die es ermöglichen, herkömmliche Sicherheitslösungen zu umgehen und Unternehmen zu schädigen. Hier sind einige Tipps, die Ihnen helfen, sich vor diesem Angriff zu schützen und zu wissen, wann Sie zweimal nachdenken sollten, bevor Sie klicken:

• Ist das wirklich der Absender, der es zu sein scheint? Tappen Sie nicht in die Social-Engineering-Falle, auch wenn die E-Mail von jemandem stammt, den Sie kennen, oder der Betreff Ihnen bekannt vorkommt. Wenn Sie diese E-Mail nicht erwartet haben, wenn sie zu einer ungewöhnlichen Zeit eintrifft oder wenn sie sonstige verdächtige Merkmale aufweist, klicken Sie auf keinen Fall auf darin enthaltene Links oder angehängte Dateien.
• Eine passwortgeschützte Datei sollte Misstrauen wecken. Hacker wissen, dass passwortgeschützte Dateien für Sicherheitslösungen schwieriger zu scannen sind, und nutzen sie daher häufig, um schädliche Inhalte zu versenden. Falls Sie eine solche Datei erhalten (sei es eine ZIP-, PDF- oder eine andere Datei), seien Sie misstrauisch und prüfen Sie sie sorgfältig, bevor Sie darauf klicken. Ist es wahrscheinlich, dass der Absender Ihnen diese Art von Datei schicken würde? Ist es sinnvoll, dass diese Datei passwortgeschützt ist? Haben Sie diese E-Mail erwartet?
• Verwenden Sie fortschrittliche Schutzlösungen, die keine „Abkürzungen“ nehmen. Die meisten derzeit auf dem Markt erhältlichen E-Mail-Schutzlösungen stützen sich auf Reputationsdaten oder Muster und neigen dazu, seriösen Absendern zu „vertrauen“, anstatt alle von ihnen eingehenden E-Mails gründlich zu scannen. Auf diese Weise vermeiden diese Lösungen „unnötige“ Scans von E-Mails, die als risikoarm eingestuft werden. Wie wir bereits wissen, nutzt Bazar Loader in der Regel bestehende E-Mail-Verläufe aus, die als sicher gelten. Daher scannen viele E-Mail-Sicherheitslösungen diese bösartigen E-Mails gar nicht erst. In dem hier beschriebenen Beispiel stammte die E-Mail aus einer vertrauenswürdigen Quelle und hätte daher Sicherheitslösungen, die auf Reputation basieren, problemlos umgehen können. Um sich vor Bazar Loader und anderen Angriffen mit ähnlichen Techniken zu schützen, sollten Sie eine fortschrittliche Lösung zum Schutz vor Bedrohungen einsetzen, die alle E-Mails vor dem Eintritt in das Unternehmen scannt – einschließlich aller Links sowie Anhänge – und die darauf spezialisiert ist, den schädlichen Teil zu identifizieren (im Gegensatz zur Identifizierung von Mustern). Erfahren Sie hier mehr über Datto SaaS Defense.
• Warum sollte man mshta.exe verwenden, wenn es nicht unbedingt nötig ist?! Es wird empfohlen, die Verwendung von mshta.exe im gesamten Unternehmen so weit wie möglich zu unterbinden, da mshta.exe die Komponente ist, die es dem Bazar Loader ermöglicht, die schädliche Datei auszuführen. Glücklicherweise hat mshta.exe in den meisten Fällen keinen wesentlichen Nutzen für die tägliche Arbeit, daher ist es besser, sie zu deaktivieren.
• Was ist zu tun, falls Sie infiziert wurden? Sie können einen „Bazar Loader“-Angriff erkennen, indem Sie die DNS-Anfragen überwachen. Anfragen für Domains, die auf .bazar enden, deuten darauf hin, dass der Rechner infiziert ist. Wenn Sie die Domain zu diesem Zeitpunkt blockieren, verhindern Sie, dass die Ransomware Daten versendet oder gar die Dateien verschlüsselt.

Weitere Informationen darüber, wie Sie sich mit den Produkten von Datto vor Ransomware – insbesondere vor „Bazar Loader“ – schützen können, finden Sie unter „Datto SaaS Defense“ und Datto RMM.