Avast [LSE: AVST], ein weltweit führender Anbieter von digitalen Sicherheitsprodukten, hat das Cybercrime Fighting Centre (C3N) der französischen Nationalgendarmerie bei der Bekämpfung eines bösartigen Wurms unterstützt. Der Computerschädling hatte Hunderttausende von Windows-Rechnern weltweit – und vorwiegend in Lateinamerika – infiziert. Der Wurm, bekannt als Retadup, hat eine bösartige Software zum Schürfen von Kryptowährungen und in Einzelfällen die Stop-Ransomware und die Arkei-Passwortklau-Software an die Computer seiner Opfer verteilt. Bislang haben Avast und die französischen Behörden zusammen 850.000 Infektionen von Retadup neutralisiert (die 15 Länder, in denen die Bedrohung eliminiert wurde, sind am Ende der Meldung aufgelistet), und der bösartige Command and Control (C&C)-Server wurde durch einen Desinfektions-Server ersetzt, der die Malware unschädlich gemacht hat.
Während seiner Analyse entdeckte das Avast-Threat-Intelligence-Team, dass sich Retadup in erster Linie verbreitet, indem es bösartige LNK-Dateien auf verbundene Laufwerke ablegt, in der Hoffnung, dass die Anwender die bösartigen Dateien mit anderen Nutzern teilen werden. Die LNK-Datei wird unter dem gleichen Namen wie ein bereits vorhandener Ordner erstellt, an den ein Text wie „Copy fpl.lnk“ angehängt wird. Auf diese Weise soll der Nutzer getäuscht werden – während dieser davon ausgeht, dass er seine eigene Dateien öffnet, infiziert er sich in Wirklichkeit mit Malware. Die LNK-Datei führt dann das bösartige Skript von Retadup aus.
„Die Cyberkriminellen hinter Retadup hatten die Möglichkeit, beliebige Malware auf Hunderttausenden von Computern weltweit auszuführen“, sagt Jan Vojtěšek, Junior Reverse Engineer bei Avast. „Unsere Hauptziele waren es, sie zum einen daran zu hindern, destruktive Malware in großem Stil auszuführen. Und zum anderen wollten wir unterbinden, dass die Cyberkriminellen die infizierten Computer zu weiteren Straftaten nutzen können.“
Bei der Analyse von Retadup identifizierte das Avast-Threat-Intelligence-Team einen Designfehler im C&C-Protokoll, der die Entfernung der Malware von den Computern der Opfer mit der Übernahme des C&C-Servers ermöglichte. Da sich die C&C-Infrastruktur von Retadup hauptsächlich in Frankreich befand, kontaktierte das Team Ende März das C3N der französischen Nationalgendarmerie, um ihre Ergebnisse mitzuteilen. Am 2. Juli 2019 ersetzte C3N den bösartigen C&C-Server durch einen vorbereiteten Desinfektions-Server, der verbundene Retadup-Instanzen sich selbst zerstören ließ. Kaum war dieser aktiv, verbanden sich mehrere tausend Bots mit ihm, um Befehle vom Server einzuholen. Der Desinfektions-Server reagierte darauf und desinfizierte sie, indem er den Designfehler des C&C-Protokolls verwendete. Dies ermöglichte es, Retadup unschädlich zu machen und alle Nutzer – nicht nur jene von Avast – davor zu schützen, ohne dass die Computernutzer selbst aktiv werden mussten.
Einige Teile der C&C-Infrastruktur befanden sich auch in den USA. Die französischen Behörden alarmierten das FBI, das sie abschaltete, und am 8. Juli 2019 hatten die Malware-Autoren keine Kontrolle mehr über die Malware-Bots. Da es in der Verantwortung des C&C-Servers lag, den Bots Aufträge zum Schürfen von Kryptowährungen zu erteilen, erhielt keiner der Bots neue Befehle, die nach diesem Vorgang ausgeführt werden sollten. Das bedeutete, dass die Malware-Autoren die Rechenleistung ihrer Opfer nicht mehr nutzen und keinen finanziellen Gewinn mehr mit dem Schürfen erzielten konnten.
Computer, die mit Retadup infiziert waren, schickten eine ganze Reihe von Informationen an den C&C-Server. Die französische Gendarmerie gab dem Avast-Team partiellen Zugang für einen Snapshot des Servers, so dass es einige zusammenfassende Informationen über die Opfer von Retadup erhalten konnte.
„Die interessanteste Informationen waren die genaue Anzahl der Infektionen und deren geografische Verteilung. Bis heute wurden insgesamt 850.000 individuelle Retadup-Infektionen neutralisiert, die überwiegende Mehrheit davon in Lateinamerika“, so Jan Vojtěšek weiter. „Über 85 Prozent der Opfer von Retadup hatten keine Antivirensoftware von Drittanbietern installiert. Einige hatten diese auch deaktiviert, was sie völlig anfällig für den Wurm machte. Darüber hinaus haben sie die Infektion unbemerkt weiterverbreitet. Da wir normalerweise nur unsere eigenen Nutzer schützen können, war es für uns sehr spannend, dass wir in diesem Fall auch den Rest der Welt vor Malware in einer solchen Dimension schützen konnten.“
Der Snapshot des C&C-Servers ermöglichte es Avast auch, Einblick in die Höhe der Kryptowährungen zu bekommen, die die Cyberkriminellen hinter Retadup vom 15. Februar 2019 bis 12. März 2019 in einem Kryptowallet erbeutet haben. Die Malware-Autoren haben 53,72 XMR (rund 4.500 USD am 19. August 2019) während des halben Monats, in dem die Wallet-Adresse aktiv war, geschürft. Das Threat Intelligence-Team ist der Ansicht, dass sie möglicherweise weitere Gewinne an andere Adressen geschickt haben, so dass die tatsächlichen Gewinne wahrscheinlich höher waren.
Zusätzliche Details und eine vollständige Analyse von Retadup ist im Avast Decoded Blog nachzulesen.
Die Liste der Top 15 Länder, in denen Retadup auf PCs neutralisiert wurde (zwischen 2. Juli 2019 und 19. August 2019):