RemotePE-Trojaner: Lazarus setzt speicherbasierte Malware ein

Sicherheitsforscher identifizieren RemotePE-Trojaner der Lazarus-Gruppe, der vollständig im Arbeitsspeicher läuft und EDR-Systeme umgeht.

Sicherheitsforscher haben eine neue, hochspezialisierte Schadsoftware der nordkoreanischen Hackergruppe Lazarus identifiziert. Der als RemotePE bezeichnete Trojaner agiert ausschließlich im Arbeitsspeicher infizierter Systeme und ist darauf ausgelegt, moderne Sicherheitslösungen zu umgehen und forensische Untersuchungen nahezu unmöglich zu machen.

Aktuellen Berichten zufolge markiert der Einsatz von RemotePE eine weitere Evolutionsstufe in der Strategie der unter der Bezeichnung Lazarus bekannten Advanced Persistent Threat (APT)-Gruppe. Die Besonderheit dieser Malware liegt in ihrer Ausführung: Da sie vollständig im RAM (Random Access Memory) läuft, hinterlässt sie minimale digitale Spuren auf den physischen Datenträgern der angegriffenen Rechner. Diese Technik dient primär dazu, Endpoint-Detection-and-Response-Systeme (EDR) zu unterlaufen, die häufig auf dateibasierte Anomalien auf der Festplatte prüfen.

Funktionsweise und technisches Toolset

Das von den Angreifern genutzte Toolset ist modular aufgebaut und umfasst neben dem eigentlichen Trojaner RemotePE zwei weitere Komponenten: den DPAPILoader sowie den RemotePELoader. Diese aufeinander abgestimmten Werkzeuge ermöglichen es der Gruppe, tief in die Zielsysteme einzudringen und dort dauerhaft, aber unentdeckt zu operieren.

Anzeige

Professionelle Cyberangriffe zielen immer häufiger auf menschliche Schwachstellen ab, um technische Hürden zu umgehen. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie Unternehmen sich wirksam gegen psychologische Manipulation schützen können. 7 psychologische Schwachstellen jetzt entlarven

Der Erstzugriff auf die Netzwerke erfolgt laut den Analysen der Sicherheitsforscher über gezielte Social-Engineering-Kampagnen. Dabei nutzen die Akteure vermehrt den Nachrichtendienst Telegram, um Kontakt zu Mitarbeitern in den Zielunternehmen aufzunehmen. Ein weiterer Vektor ist der Einsatz von gefälschten Internet-Domains, die legitime Buchungsplattformen wie Calendly oder Picktime imitieren. Über diese täuschend echt wirkenden Oberflächen wird der Schadcode initial in die Infrastruktur der Opfer eingeschleust.

Analyse nach Vorfall im DeFi-Sektor

Die detaillierte technische Analyse von RemotePE wurde von Experten des IT-Sicherheitsunternehmens Fox-IT, einem Teil der NCC Group, veröffentlicht. Grundlage für diese Untersuchung war ein konkreter Sicherheitsvorfall bei einer Organisation aus dem Bereich der dezentralen Finanzen (DeFi). Der DeFi-Sektor gilt aufgrund der dort verwalteten Kryptowerte seit geraumer Zeit als eines der Hauptziele nordkoreanischer Cyber-Aktivitäten.

Im Zuge der Aufarbeitung des Vorfalls konnten die Experten nachvollziehen, wie die Lazarus-Gruppe die verschiedenen Komponenten ihres Toolsets einsetzt, um sensible Daten zu exfiltrieren oder Zugriffsberechtigungen auszuweiten, ohne dabei Alarmmeldungen herkömmlicher Sicherheitsprotokolle auszulösen.

Anzeige

Wer sich mit der Absicherung geschäftlicher Infrastrukturen befasst, muss die neuesten gesetzlichen Anforderungen und Bedrohungslagen kennen. Dieses Gratis-E-Book liefert fundierte Informationen zu aktuellen Cyberrisiken und zeigt Wege auf, die IT-Sicherheit ohne hohe Investitionen nachhaltig zu stärken. Kostenloses Cyber-Security E-Book herunterladen

Empfehlungen für die IT-Verteidigung

Auf Basis der gewonnenen Erkenntnisse haben die Sicherheitsforscher spezifische Empfehlungen für IT-Verantwortliche und Verteidiger in Unternehmen formuliert. Da herkömmliche Scan-Methoden bei speicherbasierter Malware oft versagen, rücken andere Überwachungsbereiche in den Fokus.

Besonderes Augenmerk sollte auf die Überwachung von sogenannten DPAPI-Blobs gelegt werden, die häufig für die Speicherung von Anmeldedaten in Windows-Umgebungen genutzt werden. Zudem wird geraten, die Nutzung von Dynamic Link Libraries (DLLs) auf verdächtige Verhaltensweisen hin zu prüfen. Ein weiterer wichtiger Indikator für eine Kompromittierung sind DNS-Abfragen an bekannte Command-and-Control-Domains (C2), über welche die Malware Anweisungen von den Servern der Angreifer empfängt.

Die Entdeckung von RemotePE unterstreicht die anhaltende Bedrohung durch staatlich akquirierte Hackergruppen, die ihre Werkzeuge kontinuierlich weiterentwickeln, um auch in gut gesicherten Unternehmensumgebungen unerkannt zu bleiben. Experten mahnen daher zur Wachsamkeit, insbesondere bei Interaktionen über Messenger-Dienste und beim Aufruf von externen Terminbuchungsseiten.