Abo
  • Services:
Anzeige
Durch ein Nicht-Ascii-Zeichen verschleiert sich Malware in der Registry von Windows.
Durch ein Nicht-Ascii-Zeichen verschleiert sich Malware in der Registry von Windows. (Bild: Gdata)

Poweliks: Malware, die sich in der Registry versteckt

Datenexperten haben eine ungewöhnliche Malware entdeckt, die sich in der Windows-Registry versteckt und Payloads über die Powershell installiert. Dadurch sei sie von Antivirensoftware nur schwer aufzuspüren.

Anzeige

Der Trojaner Poweliks versteckt sich in der Windows-Registry und nutzt zahlreiche Verschleierungstaktiken, um Payloads auszuführen oder zu installieren. Durch seine Vielschichtigkeit ist er nur sehr schwer von Antivirensoftware aufzuspüren und entsprechend schwer zu analysieren gewesen. Dabei wurde nicht einmal eine Datei auf Speichermedien geschrieben. Bislang erfolgte der Angriff über eine Schwachstelle in Microsoft Word. Er könnte aber auch über andere Exploits eingeschleust werden, schreiben Datenexperten von Gdata.

Damit der Trojaner einen Neustart überlebt, nistet er sich zunächst in die Registry ein. Dort wird unter \CurrentVersion\Run ein neuer Schlüssel erstellt, der aus einem Nicht-Ascii-Zeichen besteht. Dadurch schützt sich der dort enthaltene Code, da Regedit.exe eine Fehlermeldung beim Zugriff auf den Schlüssel generiert und das Löschen verweigert. Auch der Inhalt des Schlüssels bleibt damit verborgen.

Verschleierungstaktiken

Dort wurde Javascript-Code abgelegt, der mit dem Microsoft-eigenen Jscript.Encode verschlüsselt wird. Der Encoder wurde aber bereits geknackt. Zunächst überprüft der Javascript-Code, ob auf dem betroffenen System die Powershell installiert ist. Falls nicht, holt er sich den Befehlsinterpreter und installiert ihn. Danach wird dort weiterer Code gestartet, der mit Base64 verschlüsselt ist und mit Parameter -EncodedCommand ausgeführt wird. Um die Sicherheitseinschränkungen beim Ausführen von Code zu umgehen, werden Benutzereingaben ausgeschaltet.

Der mit Base64 kodierte Code greift mit Virtualprotect() und CallWindowProcA() auf den Speicher zu, um dort weiteren Shellcode, in diesem Fall in Assembler geschrieben, auszuführen. Zunächst wird Speicher über Virtualalloc() alloziiert. Dann kopiert sich der Shellcode und weiteren Code dorthin und führt ihn aus.

Bei dem von Gdata analysierten Code handelte es sich um eine ausführbare Datei, die versuchte, sich mit zwei inzwischen abgeschalteten C&C-Servern zu verbinden. Möglich wäre allerdings ein beliebiger Payload, so die Sicherheitsexperten.


eye home zur Startseite
nille02 06. Aug 2014

Nur um auf einen entfernten Rechner zugreifen zu können. Lokal gehst du einfach auf...

FreiGeistler 06. Aug 2014

Vieleicht merkst du nur nichts davon. : ) Das sind ziemlich schlechte Viren, die sich...

ives.laaf 05. Aug 2014

Laut http://www.virusradar.com/en/Win32_Poweliks.A/description ist das schon seit Anfang...

Der... 05. Aug 2014

"der mit Base64 verschlüsselt ist"



Anzeige

Stellenmarkt
  1. RAUCH Landmaschinenfabrik GmbH, Sinzheim
  2. Robert Bosch GmbH, Renningen
  3. Bosch Engineering GmbH, Abstatt
  4. UNIQ GmbH, Holzwickede


Anzeige
Spiele-Angebote
  1. (-8%) 45,99€
  2. 1,99€
  3. 15,29€

Folgen Sie uns
       


  1. Kabelnetz

    Vodafone setzt bereits Docsis 3.1 beim Endkunden ein

  2. Neuer Standort

    Amazon sucht das zweite Hauptquartier

  3. Matt Booty

    Mr. Minecraft wird neuer Spiele-Chef bei Microsoft

  4. Gerichtsurteil

    Internet- und Fernsehkunden müssen bei Umzug weiterzahlen

  5. Sicherheitsupdate

    Microsoft-Compiler baut Schutz gegen Spectre

  6. Facebook Messenger

    Bug lässt iPhone-Nutzer nur wenige Wörter tippen

  7. Multi-Shot-Kamera

    Hasselblad macht 400-Megapixel-Fotos mit 2,4 GByte Größe

  8. Mitsubishi

    Rückkamera identifiziert Verkehrsteilnehmer

  9. Otherside Entertainment

    Underworld Ascendant soll mehr Licht ins Dunkle bringen

  10. Meltdown und Spectre

    "Dann sind wir performancemäßig wieder am Ende der 90er"



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Security: Das Jahr, in dem die Firmware brach
Security
Das Jahr, in dem die Firmware brach
  1. Wallet Programmierbare Kreditkarte mit ePaper, Akku und Mobilfunk
  2. Fehlalarm Falsche Raketenwarnung verunsichert Hawaii
  3. Asynchronous Ratcheting Tree Facebook demonstriert sicheren Gruppenchat für Apps

Computerforschung: Quantencomputer aus Silizium werden realistisch
Computerforschung
Quantencomputer aus Silizium werden realistisch
  1. Tangle Lake Intel zeigt 49-Qubit-Chip
  2. Die Woche im Video Alles kaputt
  3. Q# und QDK Microsoft veröffentlicht Entwicklungskit für Quantenrechner

Netzsperren: Wie Katalonien die spanische Internetzensur austrickste
Netzsperren
Wie Katalonien die spanische Internetzensur austrickste

  1. Re: Es ist ekelhaft wie sich diese Städte verkaufen

    Apfelbrot | 22:45

  2. Theoretisch Kabel, Praktisch aber VDSL

    McWiesel | 22:44

  3. Re: Problem: Laden Zuhause

    freebyte | 22:43

  4. Re: "Provider First!"

    Trockenobst | 22:40

  5. Re: "Laut Vodafone, Missbrauch möglich"

    Trockenobst | 22:35


  1. 19:09

  2. 16:57

  3. 16:48

  4. 16:13

  5. 15:36

  6. 13:15

  7. 13:00

  8. 12:45


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel