Was ist passiert?
Die nordkoreanische Lazarus-Gruppe setzt eine neue speicherbasierte Malware namens RemotePE gegen Finanz- und Kryptounternehmen ein. Sicherheitsforscher der Fox-IT (NCC Group Tochterunternehmen) haben eine mehrstufige Angriffskette dokumentiert, die zwei Loader nutzt: DPAPILoader und RemotePELoader. Diese ermöglichen es Angreifern, Malware direkt im Arbeitsspeicher auszuführen, ohne Dateien auf der Festplatte zu hinterlassen.
Hintergrund & Bedeutung
RemotePE ist eine memory-only RAT (Remote Access Trojan), die speziell darauf ausgerichtet ist, Sicherheitserkennung zu umgehen. Die zweistufige Laderarchitektur erhöht die Komplexität der Angriffe erheblich. DPAPILoader nutzt Windows-Verschlüsselungsmechanismen zur Verschleierung, während RemotePELoader die eigentliche Malware einschleust. Diese Technik ist besonders gefährlich, da traditionelle Endpunkt-Sicherheitslösungen speicherbasierte Bedrohungen häufig schwerer erkennen als dateibasierte Malware.
Empfehlungen für IT-Teams
- Memory-Scanning implementieren: EDR-Lösungen (Endpoint Detection and Response) mit erweiterten Memory-Analysefunktionen einsetzen
- Process-Monitoring verstärken: Verdächtige Prozessaktivitäten und Speicherzugriffe kontinuierlich überwachen
- DAPI-Nutzung kontrollieren: Windows Data Protection API-Zugriffe protokollieren und analysieren
- Multifaktor-Authentifizierung: Besonders für Finanz- und Kryptoplattformen implementieren
- Threat Intelligence teilen: IoCs (Indicators of Compromise) mit Sicherheitsteams austauschen
Fazit
Die RemotePE-Kampagne unterstreicht, dass Lazarus kontinuierlich sophistizierte Angriffstechniken entwickelt. Unternehmen müssen ihre Endpunktsicherheit modernisieren und speicherbasierte Bedrohungserkennung priorisieren.
Quelle: Original Artikel