Pyeongchang: Olympic Destroyer ist eine lernende Malware

Die bei den Olympischen Winterspielen in Pyeongchang eingesetzte Malware kann lernen - und gibt ihr Wissen an andere Installationen weiter. Die Schadsoftware ist darauf ausgerichtet, Windows-Systeme unbenutzbar zu machen.

Artikel veröffentlicht am ,
Das Olympische Feuer
Das Olympische Feuer (Bild: Clive Mason/Getty Images)

Eine Malware, die bei den Olympischen Spielen offenbar den Ausfall technischer Systeme bei der Eröffnungsfeier verursacht hat, soll auf den befallenen Rechnern nach Zugangsdaten suchen und bestehende Installationen mit den Informationen aktualisieren. Über den Verbreitungsweg ist nach Angaben von Ciscos Talos-Team bislang nichts bekannt.

Stellenmarkt
  1. Lead Developer Delphi (m/w/d)
    Haufe Group, Bielefeld
  2. Mitarbeiter Online-Marketing (m/w/d)
    Blickle Räder+Rollen GmbH u. Co. KG, Rosenfeld
Detailsuche

Die Malware wird offenbar über mehrere Stufen auf dem System installiert, wobei für die erste Infektionsdatei ein zufälliger Dateiname verwendet wird. Nach Angaben von Talos sind die Hashes mehrerer untersuchter Dateien aber identisch.

Die Malware versucht, sich im Netzwerk auszubreiten. Dazu wird zunächst die ARP-Tabelle von Windows durchsucht, außerdem wird versucht, über die Windows-Management-Instrumentation alle Rechner in der befallenen Domäne aufzulisten.

Malware kopiert Passwörter

Die Malware nutzt zwei Mechanismen, um Passwörter auszulesen. Einerseits werden im Browser gespeicherte Passwörter heruntergeladen. Unterstützt werden dabei der Internet Explorer, Firefox und Chrome. Außerdem werden auch Systemlogins ausgelesen, dazu wird LSASS mit einem Mechanismus abgefragt, der nach Angaben von Talos Mimikatz ähnelt. Die Liste der kopierten Zugangsdaten wird dann an den Command-and-Control-Server weitergegeben, der bestehende Installationen der Malware mit der aktuellen Liste versorgt.

Golem Akademie
  1. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
  3. IT-Fachseminare der Golem Akademie
    Live-Workshops zu Schlüsselqualifikationen
Weitere IT-Trainings

Im nächsten Schritt versucht die Malware, die aktuelle Installation unbenutzbar zu machen. Dafür werden über die Windows-Kommandozeile cmd.exe zunächst mehrere Dateien verändert, um die Nutzung der Wiederherstellungskonsole von Windows zu erschweren. Außerdem wird der Wert für alle auf dem System laufenden Prozesse in der ChangeServiceConfigW-API auf 4 gesetzt - damit werden die Prozesse beim Start nicht mehr geladen. Anschließend wird das System heruntergefahren.

Zwischenzeitlich hat die Malware dazu geführt, dass die Webseite der Olympischen Spiele nicht mehr funktionierte, auch das WLAN im Olympiastadion funktionierte bei der Eröffnungsfeier nicht zuverlässig. Der Ausfall der Webseite führte dazu, dass einige Besucher keine Tickets mehr ausdrucken konnten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Star Wars
Youtuber bekommt für Deep Fakes Job bei Lucasfilm

Mit Deepfakes schafft Shamook überzeugendere Varianten von Star-Wars-Figuren, als es Disney je gelungen ist. Jetzt arbeitet er bei ILM.

Star Wars: Youtuber bekommt für Deep Fakes Job bei Lucasfilm
Artikel
  1. Flight Simulator im Benchmark-Test: Sim Update 5 lässt Performance abheben
    Flight Simulator im Benchmark-Test
    Sim Update 5 lässt Performance abheben

    Die Optimierungen bei Bildrate und Speicherbedarf sind derart immens, dass wir kaum glauben können, noch den Flight Simulator zu spielen.
    Ein Test von Marc Sauter

  2. Sony: Zehn Millionen Exemplare der Playstation 5 verkauft
    Sony
    Zehn Millionen Exemplare der Playstation 5 verkauft

    Trotz Lieferengpässen ist die Playstation 5 vermutlich die am schnellsten verkaufte Konsole. Auch zum Absatz der Xbox Series X/S gibt es neue Zahlen.

  3. Sexismus: Entwickler wollen Inhalte von World of Warcraft ändern
    Sexismus
    Entwickler wollen Inhalte von World of Warcraft ändern

    Es rumort weiter bei Activision Blizzard: Entwickler wollen streiken und WoW überarbeiten. Konzernchef Bobby Kotick meldet sich erstmals.

Proctrap 15. Feb 2018

es macht auch nicht viel unterschied, ob ich erst Nutzer x und dann root mache oder...

Truster 15. Feb 2018

Windows 7 kannte noch kein UEFI Boot, in deiner besagten Partition ist nur der Windows...

Truster 15. Feb 2018

Na Sicher!

kotap 15. Feb 2018

Dev Clusterfuck -> Anwaltssoftware für Email -> Problem für Kunden da -> Check APT...



Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Samsung-Monitore Amazon Exclusive günstiger (u. a. G7 32" QLED Curved WQHD 240Hz 559€) • AKRacing Core EX-Wide SE Gaming-Stuhl 229€ • Thrustmaster TCA Officer Pack Airbus Edition 119,99€ • Flight Simulator Xbox Series X 69,99€ [Werbung]
    •  /