Den Fans illegaler Downloads droht eine neue Bedrohung. Das Kaspersky Research Team (GReAT) hat eine groß angelegte Infektionskampagne identifiziert, die über Torrent-Tracker orchestriert wird.

Genannt MovieReaperDieser Angriff basiert auf bisher unbekannter Malware, die in Dateien versteckt ist, die vorgeben, beliebte Filme zu sein, insbesondere „Die Odyssee“.

Ein kompromittiertes öffentliches Torrent-Repository

Die Besonderheit dieser Kampagne besteht darin, dass sie nicht direkt auf Torrent-Seiten abzielt, sondern auf ein öffentliches Repository, wodurch die Infektion auf eine größere Anzahl von Benutzern übertragen wird.

Cyberkriminelle haben das Repository kompromittiert itorrents(.)org. Wenn ein Benutzer versucht, einen Film über einen Magnet-Link herunterzuladen, gibt die Website eine schädliche Torrent-Datei zurück. Letzteres führt zum Herunterladen einer ausführbaren Datei mit einem sehr langen Namen, eine Technik, die darauf abzielt, ihre wahre Natur zu verbergen.

Nach der Ausführung durch den Benutzer wird der Malware-Loader aktiviert. Der Angriff ist in mehreren Stufen konzipiert und ein erstes Modul prüft, ob er in einer Testumgebung (Sandbox) analysiert wird, um die Erkennung zu umgehen.

Eine modulare und raffinierte Bedrohung

Sobald die erste Infektionsphase erfolgreich verläuft, setzt die Schadsoftware weitere Module ein. Dadurch kann es sich dauerhaft auf dem System etablieren, die Windows-Benutzerkontensteuerung (UAC) umgehen, um Administratorrechte zu erlangen, und Angreifern schließlich Fernzugriff auf den kompromittierten Computer ermöglichen.

Das letzte Modul gibt den Betreibern nahezu vollständige Kontrolle über das Dateisystem des Opfers. Es stellt rund zwanzig Befehle zur Verfügung Damit können Sie Dateien herunterladen, hochladen, lesen, kopieren, umbenennen, verschieben und löschen.

Es kann auch Vorschauen von Bildern oder Dokumenten exfiltrieren, sodass Angreifer einen Vorgeschmack auf die verfügbaren Daten erhalten, bevor sie eine vollständige Exfiltration durchführen.

Die Verwendung einer Blockchain

Um die Adresse ihres Command-and-Control-Servers abzurufen, nutzt die Malware die Solana-Blockchain. Dieser dezentrale Ansatz macht die Infrastruktur von Angreifern viel widerstandsfähiger und schwieriger zu stören.

“ Diese Angriffskampagne zeichnet sich durch die Kombination aus klassischem Lockvogel und anspruchsvollem technischem Design aus „, betont Konstantin Isakov, Forscher bei Kaspersky.

Obwohl die erste Phase der Infektion durch die Neutralisierung einer einzelnen Domäne und IP-Adresse blockiert werden kann, erschwert die Verwendung von Blockchain für die nachfolgenden Phasen die Beseitigungsbemühungen erheblich.

Kaspersky nennt Hunderte bereits identifizierte Opfer unter einzelnen Nutzern und Organisationen in vielen Ländern.