Im Jahr 2019 zählten Sicherheitsforscher noch 14 aktive Botnetze zu Dridex, teils neu entwickelt, teils alte Bekannte. Auch hier sahen die Ermittlungsbehörden erhöhten Handlungsbedarf und eröffneten erneut eine Fahndung nach dem mutmaßlichen Autor von Dridex und Kopf der Akteure, Maksim Yakubets, diesmal sogar in Höhe von fünf Millionen US-Dollar – bis heute konnte Yakubets nicht gefasst werden.

Die Infektionskette von Dridex
Zur Verteilung der eigenen Malware nutzen die Kriminellen hinter Dridex die Spambots anderer Gruppen, die in der Lage sind, große Mengen mit Malware infizierter E-Mails gezielt zu versenden. Dafür wird das Schadprogramm in Anhängen, wie Dokumenten, versteckt und wird tätig, sobald ein unvorsichtiger Nutzer diese öffnet. Zusätzlich hatte Dridex in der Vergangenheit auch andere Botnetze zur eigenen Verteilung genutzt, unter anderem Necurs, Cutwail und Andromeda.

Die Angriffe laufen stets gleich ab: Öffnet der Anwender die infizierte Datei, so werden VBA-Makros (Visual Basics for Application) ausgeführt. Diese wiederum starten automatisch ein PowerShell-Skript, das die Nutzdateien (Payload) für Dridex von einem Command-and-Control-Server (C&C) der Hacker herunterlädt. Anschließend wird diese Datei ausgeführt und der Rechner infiziert. Ziel der Angriffe waren bisher unter anderem US-Bankkonten, US-Kreditkartengesellschaften, US-Finanzinvestitionsgesellschaften, europäische Bankkonten, Regierungsbehörden in Saudi-Arabien, Katar und Oman sowie Anwaltskanzleien in Deutschland.

Um die Opfer gleichzeitig in Sicherheit zu wiegen, nutzen die mit Malware verseuchten E-Mails den Deckmantel legitimer Geschäfte und Dienstleister. Entsprechend lauten die Betreffzeilen sowie die Texte in der Nachricht und entsprechend täuschend echt wirkt die oft sehr professionell gestaltete graphische Aufmachung der E-Mails. Besonders beliebt sind Paketlieferdienste wie FedEx oder DHL, die mit falschen Sendungsinformationen locken – besonders angesichts der aktuellen gesellschaftlichen Lage wegen der Corona-Krise und dem Zuwachs des Versandhandels. Einer der bekanntesten Zwischenfälle in Deutschland war eine Kampagne, die Anwaltskanzleien ins Visier nahm. Die Kriminellen versuchten dabei, sich und die Malware-Mails als Korrespondenzen mit anderen Anwaltskanzleien zu tarnen und so über Dridex einen Zugang zu den Kanzleisystemen zu erlangen.

Gefährliche Payload
Der wichtigste Teil der Infektionskette von Dridex aber ist die Konfiguration in der Payload. Sie enthält wichtige Informationen wie die Bot-ID oder die Anzahl der C&C-Server und eine Liste der C&C-Server selbst. Die Malware sendet eine POST-Anfrage an die in der Konfiguration vermerkten C&C-Server, sobald sie auf dem Zielrechner installiert wurde, und wartet auf eine Empfangsbestätigung derselben. Um die Nachverfolgung dieser verräterischen Kommunikation zu erschweren, nutzt Dridex den Umweg über mehrere Reihen von Proxy-Servern, um die C&C-Server zu kontaktieren.

Ist der Kontakt hergestellt, werden die Befehle an die Malware ausgegeben und sie beginnt damit, Informationen über den infizierten Rechner zu sammeln, zu verschlüsseln und an das die Server des Botnetzes zu übermitteln. Zu den attraktiven und überaus nützlichen Informationen gehören

• der Computer-Name
• die Botnetz-ID-Nummer
• der Typus der Anfrage
• die Betriebssystemarchitektur
• die Liste der installierten Software

Zusätzlich fungiert Dridex als Keylogger, was bedeutet, dass die Malware die Tastaturanschläge des infizierten Rechners aufzeichnet. Das ermöglicht den Angreifern den Diebstahl von Zugangsinformationen wie Passwörtern und personenbezogenen Daten der Opfer, darunter Bankkonto-Details.

Schwierig zu erkennen
Obwohl bereits so viele Einzelheiten über Dridex bekannt sind, kann es dennoch sehr schwierig sein, die Malware mithilfe einer Sicherheitslösung eindeutig zu identifizieren. Das liegt daran, dass wie bei anderen Malwarefamilien und Varianten ähnliche Methoden Verwendung finden. So teilten sich zum Beispiel Dridex und das kürzlich von polizeilichen Behörden attackierte berüchtigte Botnetz Emotet (ebenfalls ein Banking-Trojaner) teilweise sogar die Proxy-Server. Daher ist es so wichtig, dass die Fachkräfte eines Unternehmens bei einem entdeckten Angriff auf jedes Detail des Ablaufs achten, um eindeutige Schlüsse ziehen zu können. So ist eine Malware am einfachsten über die finale Nutzlast zu identifizieren, die sich meist einer Malwarefamilie genau zuordnen lässt.

Was die Abwehr von Dridex besonders schwierig macht: Solange die Malware sich noch in der Form einer Datei verbirgt, ist sie schwer zu identifizieren. Das liegt daran, dass der initiale Loader, also der Teil der Malware, der den Download der eigentlichen Nutzlast vom C&C-Server anstößt, gezielte Techniken zur Umgehung einer Analyse kennt. Eine dieser Methoden ist die OutputDebugStringW-Funktion: Hier wird eine lange Schleife an bedeutungslosen Debug-Nachrichten generiert, um die eigentliche Funktion hinter einem Schwall von Informationen zu maskieren.

Ebenso versucht die Nutzlast, die eigenen Absichten und Funktionen so gut es geht zu verschleiern. Funktionen im Code sind nicht eindeutig benannt, sondern nutzen Hash-Values und entsprechende Bibliotheken, um die ausgeführten Befehle undurchsichtig zu gestalten und heimlich auszuführen.

Konstante Verbesserung der Malware
Einige Malwarefamilien wie Dridex stellen auch deshalb dauerhaft eine Bedrohung für Unternehmen dar, weil manche Hackergruppen dahinter ihre Schadsoftware stetig verbessern, um Sicherheitsexperten und Schutzmaßnahmen einen Schritt voraus zu sein. EvilCorp erhöhte beispielsweise erst im vergangenen Jahr 2020 die Anzahl der möglichen URLs, von denen Dridex seine Payload herunterladen kann, von einer Adresse auf 50 verschiedene. Zudem waren neuere Varianten der Malware in der Lage, Code-Injection zu nutzen: Hierbei handelt es sich um eine beliebte Hacking-Methode, die die Verarbeitung ungültiger Daten durch das Betriebssystem ausnutzt, um Befehle ausführen zu lassen. Als Einfallstor dient ein anfälliges Programm auf dem System – eine vielversprechende Methode zur erfolgreichen Verbreitung dieser Variante.

Neben den direkten finanziellen Einkünften, die EvilCorp durch Dridex mit Datendiebstahl und Erpressung generierte, haben die Kriminellen zudem ein zweites Standbein entwickelt: die Vermietung des Botnetzes. Gegen Vorauszahlungen im sechsstelligen Bereich und eine anschließende Gewinnbeteiligung offerierte die Hackergruppe ihre Malware und Infrastruktur anderen Hackern über das Darknet. Wie lukrativ das Geschäft für EvilCorp dabei läuft, legen diverse Berichte zu Maksim Yakubets offenbar luxuriösem Lebensstil nahe.

Zusätzlich hat Hackergruppierungen wie EvilCorp die Corona-Krise in die Hände gespielt, da ein Großteil der Belegschaft vieler Unternehmen eilig ins Home Office versetzt wurde. Die IT-Sicherheit der Fernarbeit wurde jedoch selten priorisiert, was zur Folge hatte, dass die Angriffsfläche der Unternehmen sich rasch vergrößerte. Wegen der nun erhöhten Aktivität aller Bedrohungen und insbesondere von Dridex, sahen sich die Justiz-Behörden in den USA gezwungen, einen erneuten Aufruf nach Informationen zu den Köpfen hinter Dridex und EvilCorp zu starten – erneut mit einer Belohnung in Höhe von fünf Millionen US-Dollar.

Den Serientäter aufhalten

Sicher ist außerdem, dass Dridex nach der mutmaßlichen Zerschlagung des berüchtigten Botnetzes Emotet stärker in den Fokus rücken wird – das gilt für Justiz- und Ermittlungsbehörden ebenso wie für Verantwortliche in der IT-Sicherheit aber auch für kriminelle Vereinigungen und Akteure. EvilCorp wird nun versuchen, das eigene Netzwerk weiter auszubauen und seine Malwarekampagnen zu intensivieren, um den Platz von Emotet einzunehmen. Auf diesen Schritt und die wachsende Bedrohung müssen Unternehmen sowohl ihre Mitarbeiter als auch die eigene IT-Infrastruktur vorbereiten. Wer das versäumt, der wird sich früher oder später selbst auf der langen Liste der Opfer wiederfinden, die der Serientäter Dridex seit mittlerweile sechs Jahren pflegt und stetig erweitert.

Fazit
Von ihren Anfängen als Ableger von ZeuS bis hin zu ihrem heutigen, international bekannten Profil als Serientäter hat die Malwarefamilie hinter Dridex eine rasante Entwicklung genommen – und ein ebenso langes Strafregister an Schäden und Opfern vorzuweisen. Gleichzeitig kletterten die kriminellen Köpfe hinter dem Schädling, die Hackergruppe EvilCorp, die Fahndungslisten der internationalen Ermittlungsbehörden stetig hinauf. Nachdem nun mit dem Emotet-Botnetz einer der größten kriminellen Konkurrenten ausgeschaltet wurde, wird Dridex in die Fußstapfen treten wollen und in Zukunft noch größeres Interesse auslösen – sowohl von Hackern, die die Malware für ihre böswilligen Zwecke einsetzen möchten, als von Seite der Behörden, die versuchen, dem nächsten Serientäter dauerhaft das Handwerk zu legen.

ln/Christine Schönig, Regional Director Security Engineering CER, Office of the CTO, bei Check Point