Sicherheitsexperten von Avast helfen, 850.000 Infektionen, die der schdliche Computerwurm Retadup verursacht hat, zu neutralisieren

28. August 2019 - Avast [LSE: AVST], ein weltweit fhrender Anbieter von digitalen Sicherheitsprodukten, hat das Cybercrime Fighting Centre (C3N) der franzsischen Nationalgendarmerie bei der Bekmpfung eines bsartigen Wurms untersttzt. Der Computerschdling hatte Hunderttausende von Windows-Rechnern weltweit – und vorwiegend in Lateinamerika – infiziert. Der Wurm, bekannt als Retadup, hat eine bsartige Software zum Schrfen von Kryptowhrungen und in Einzelfllen die Stop-Ransomware und die Arkei-Passwortklau-Software an die Computer seiner Opfer verteilt. Bislang haben Avast und die franzsischen Behrden zusammen 850.000 Infektionen von Retadup neutralisiert (die 15 Lnder, in denen die Bedrohung eliminiert wurde, sind am Ende der Meldung aufgelistet), und der bsartige Command and Control (C&C)-Server wurde durch einen Desinfektions-Server ersetzt, der die Malware unschdlich gemacht hat.

Whrend seiner Analyse entdeckte das Avast-Threat-Intelligence-Team, dass sich Retadup in erster Linie verbreitet, indem es bsartige LNK-Dateien auf verbundene Laufwerke ablegt, in der Hoffnung, dass die Anwender die bsartigen Dateien mit anderen Nutzern teilen werden. Die LNK-Datei wird unter dem gleichen Namen wie ein bereits vorhandener Ordner erstellt, an den ein Text wie „Copy fpl.lnk“ angehngt wird. Auf diese Weise soll der Nutzer getuscht werden – whrend dieser davon ausgeht, dass er seine eigene Dateien ffnet, infiziert er sich in Wirklichkeit mit Malware. Die LNK-Datei fhrt dann das bsartige Skript von Retadup aus.

„Die Cyberkriminellen hinter Retadup hatten die Mglichkeit, beliebige Malware auf Hunderttausenden von Computern weltweit auszufhren“, sagt Jan Vojtěšek, Junior Reverse Engineer bei Avast. „Unsere Hauptziele waren es, sie zum einen daran zu hindern, destruktive Malware in groem Stil auszufhren. Und zum anderen wollten wir unterbinden, dass die Cyberkriminellen die infizierten Computer zu weiteren Straftaten nutzen knnen.“

Bei der Analyse von Retadup identifizierte das Avast-Threat-Intelligence-Team einen Designfehler im C&C-Protokoll, der die Entfernung der Malware von den Computern der Opfer mit der bernahme des C&C-Servers ermglichte. Da sich die C&C-Infrastruktur von Retadup hauptschlich in Frankreich befand, kontaktierte das Team Ende Mrz das C3N der franzsischen Nationalgendarmerie, um ihre Ergebnisse mitzuteilen. Am 2. Juli 2019 ersetzte C3N den bsartigen C&C-Server durch einen vorbereiteten Desinfektions-Server, der verbundene Retadup-Instanzen sich selbst zerstren lie. Kaum war dieser aktiv, verbanden sich mehrere tausend Bots mit ihm, um Befehle vom Server einzuholen. Der Desinfektions-Server reagierte darauf und desinfizierte sie, indem er den Designfehler des C&C-Protokolls verwendete. Dies ermglichte es, Retadup unschdlich zu machen und alle Nutzer – nicht nur jene von Avast – davor zu schtzen, ohne dass die Computernutzer selbst aktiv werden mussten.

Einige Teile der C&C-Infrastruktur befanden sich auch in den USA. Die franzsischen Behrden alarmierten das FBI, das sie abschaltete, und am 8. Juli 2019 hatten die Malware-Autoren keine Kontrolle mehr ber die Malware-Bots. Da es in der Verantwortung des C&C-Servers lag, den Bots Auftrge zum Schrfen von Kryptowhrungen zu erteilen, erhielt keiner der Bots neue Befehle, die nach diesem Vorgang ausgefhrt werden sollten. Das bedeutete, dass die Malware-Autoren die Rechenleistung ihrer Opfer nicht mehr nutzen und keinen finanziellen Gewinn mehr mit dem Schrfen erzielten konnten.
Computer, die mit Retadup infiziert waren, schickten eine ganze Reihe von Informationen an den C&C-Server. Die franzsische Gendarmerie gab dem Avast-Team partiellen Zugang fr einen Snapshot des Servers, so dass es einige zusammenfassende Informationen ber die Opfer von Retadup erhalten konnte.

„Die interessanteste Informationen waren die genaue Anzahl der Infektionen und deren geografische Verteilung. Bis heute wurden insgesamt 850.000 individuelle Retadup-Infektionen neutralisiert, die berwiegende Mehrheit davon in Lateinamerika“, so Jan Vojtěšek weiter. „ber 85 Prozent der Opfer von Retadup hatten keine Antivirensoftware von Drittanbietern installiert. Einige hatten diese auch deaktiviert, was sie vllig anfllig fr den Wurm machte. Darber hinaus haben sie die Infektion unbemerkt weiterverbreitet. Da wir normalerweise nur unsere eigenen Nutzer schtzen knnen, war es fr uns sehr spannend, dass wir in diesem Fall auch den Rest der Welt vor Malware in einer solchen Dimension schtzen konnten.“

Der Snapshot des C&C-Servers ermglichte es Avast auch, Einblick in die Hhe der Kryptowhrungen zu bekommen, die die Cyberkriminellen hinter Retadup vom 15. Februar 2019 bis 12. Mrz 2019 in einem Kryptowallet erbeutet haben. Die Malware-Autoren haben 53,72 XMR (rund 4.500 USD am 19. August 2019) whrend des halben Monats, in dem die Wallet-Adresse aktiv war, geschrft. Das Threat Intelligence-Team ist der Ansicht, dass sie mglicherweise weitere Gewinne an andere Adressen geschickt haben, so dass die tatschlichen Gewinne wahrscheinlich hher waren.
Zustzliche Details und eine vollstndige Analyse von Retadup ist im Avast Decoded Blog nachzulesen.

Die Liste der Top 15 Lnder, in denen Retadup auf PCs neutralisiert wurde (zwischen 2. Juli 2019 und 19. August 2019):

  • Peru: 322.340
  • Venezuela: 130.469
  • Bolivien: 83.858
  • Ecuador: 64,466
  • Mexiko: 57,527
  • Kolumbien: 27.646
  • Argentinien: 23.671
  • Kuba: 14.785
  • Guatemala: 12.940
  • Israel: 11.337
  • Usbekistan: 8.944
  • Vereinigte Staaten von Amerika: 8.349
  • Brasilien: 7.324
  • Russland: 6.520
  • Madagaskar: 5.545