Security: Angler-Exploit-Kit untersucht

Das Angler-Exploit-Kit ist eines der beliebtesten Werkzeuge krimineller Hacker. Forscher konnten nun einen großen Datensatz untersuchen und so mehr über die Funktionsweise der Malware erfahren.

Artikel veröffentlicht am 7. Oktober 2015, 16:16 Uhr, Hauke Gierow

Mit dem Angler-Exploit-Kit sollen Kriminelle hohe Einnahmen erzielen. (Bild: Talos/Screenshot/Golem.de)

Die Macher des Angler-Exploit-Kits nehmen mit ihrer Malware mehr als 30 Millionen US-Dollar pro Jahr ein. Zu diesem Schluss kommen Sicherheitsforscher von Ciscos Sicherheitsabteilung Talos. In Kooperation mit dem Hoster Limestone haben sie große Samples der Malware untersucht und die Ergebnisse jetzt veröffentlicht. Angler gilt als effektives Werkzeug - rund 40 Prozent der Rechner, die damit in Berührung kommen, werden infiziert.

Einen Höhepunkt der Aktivität von Angler gab es laut den Forschern nach der Veröffentlichung zweier Zero-Days aus dem Bestand von Hacking Team (CVE-2015-5119, CVE-2015-5122). Den Großteil der von Angler genutzten Schwachstellen macht Adobe Flash aus - rund 74 Prozent der genutzten Exploits. Auf Platz zwei der verwendeten Schwachstellen steht eine Lücke in Microsofts Internet Explorer mit der Nummer CVE-2014-6332. Nach Angaben der Forscher waren die restlichen 2 Prozent überraschenderweise keine Java-Exploits, sondern es wurden Sicherheitslücken in Microsoft Silverlight-Plugin ausgenutzt.

Anti-Viren-Software erkennt nur 6 Prozent der gefundenen Hashes

Den Erfolg von Angler schreiben die Forscher mangelnder Erkennung durch Anti-Virus-Software zu. Im Juli hätten sie rund 3.000 einzigartige Exploit-Hashes gefunden, von denen aber nur 6 Prozent in der Virus-Total-Datenbank auffindbar waren.

Die analysierten Daten zeigen, dass das Exploit-Kit aktiv weiterentwickelt wird. Bis Anfang Juli nutzte das Tool Landing-Page-URLs, die einen Search-Parameter an eine URL anhängten, um Nutzer auf infizierte Seiten zu locken. Später stellten die Malware-Autoren auf eine URL mit viewtopic.php, viewforum.php oder search.php und einigen folgenden Parametern um, die normalem Webtraffic deutlich ähnlicher sehen und somit schwerer zu erkennen sind.

Angler wird häufig von Kriminellen genutzt, um Nutzer zu erpressen. Nach Angaben von Talos verteilen 62 Prozent der Angler-Infektionen Ransomware. Eines der bekanntesten Beispiele ist die Cryptolocker-Software. Die Cisco-Forscher schätzen, dass, wenn 3 Prozent der betroffenen Nutzer die durchschnittlich geforderte Erpressungssumme von 300 US-Dollar bezahlen, pro Jahr rund 30 Millionen US-Dollar durch den Einsatz von Angler erlöst werden.