DarkGate Malware as a Service (MaaS)

DarkGate Malware ist eine Art von bösartiger Software, die aufgrund ihrer verschiedenen Fähigkeiten Aufmerksamkeit erregt hat. Hier ist ein Überblick über ihre Eigenschaften:

1. Verbreitung und Infektionsvektoren: DarkGate Malware wird oft durch Torrent-Dateien verbreitet, die als beliebte Software oder Medien-Downloads getarnt sind. Sobald heruntergeladen und ausgeführt, infiltriert es das System.
2. Multifunktionalität: Ein Schlüsselaspekt der DarkGate Malware ist ihre Multifunktionalität. Sie kann mehrere bösartige Aktivitäten durchführen, einschließlich:

• Krypto-Mining: Nutzung der Ressourcen des infizierten Computers, um Kryptowährungen zu schürfen, oft ohne Wissen des Benutzers.
• Keylogging: Erfassen von Tastenanschlägen, um sensible Informationen wie Passwörter und Kreditkartennummern zu stehlen.
• Fernzugriff: Ermöglicht Angreifern den Fernzugriff auf das infizierte System, wodurch sie verschiedene Befehle ausführen und das System steuern können.
• Datendiebstahl: Kann Daten vom infizierten Computer stehlen und an den Angreifer zurücksenden.

1. Tarnung und Ausweichmethoden: DarkGate verwendet verschiedene Techniken, um eine Entdeckung durch Antiviren- und Sicherheitssoftware zu vermeiden. Dazu gehört das Deaktivieren von Sicherheitsmaßnahmen, das Verbergen seiner Netzwerkaktivität und das Verwenden von Rootkit-ähnlichen Methoden, um seine Präsenz im System zu verbergen.
2. Zielgruppen: Anfangs zielte es hauptsächlich auf Benutzer in europäischen Ländern ab, hat aber das Potenzial, Systeme weltweit zu infizieren.
3. Aktualisierung und Evolution: Wie viele fortgeschrittene Malware kann DarkGate Updates von seinen Command-and-Control-Servern erhalten, was es ihm ermöglicht, sich weiterzuentwickeln und Sicherheitsmaßnahmen zu umgehen.
4. Entfernung und Minderung: Die Entfernung von DarkGate kann aufgrund seiner Tarnung und Hartnäckigkeit eine Herausforderung sein. Oft sind fortgeschrittene Malware-Entfernungswerkzeuge und Fachkenntnisse erforderlich. Um das Infektionsrisiko zu verringern, sollten Benutzer das Herunterladen und Ausführen unbekannter Dateien vermeiden, insbesondere von unsicheren Quellen wie Torrent-Websites.

Entwicklung der DarkGate Malware

DarkGate Malware hat sich seit seiner ersten Entdeckung im Jahr 2018 erheblich weiterentwickelt. Diese Schadsoftware ist bekannt für ihr umfassendes Toolkit, das Angreifern eine breite Palette an Fähigkeiten bietet, um Opfersysteme vollständig zu kompromittieren. Entwickelt von einem Underground-Benutzer namens RastaFarEye, wird DarkGate als Malware-as-a-Service (MaaS) über ein Abonnementmodell angeboten, das bis zu 15.000 Dollar pro Monat kostet. Dieser hohe Preis wird durch die kontinuierliche Entwicklung und Verbesserung der Malware seit 2017 gerechtfertigt.

Zu den wichtigsten Funktionen von DarkGate gehören das Stehlen von Informationen, die Eskalation von Berechtigungen, Keylogging, ein Hidden Virtual Network Computing (HVNC)-Modul und die Fähigkeit, Dateien im Speicher herunterzuladen und auszuführen. Diese Fähigkeiten machen es zu einem mächtigen Werkzeug für Cyberkriminelle, die es nutzen, um weltweit Systeme zu kompromittieren.

Die Bereitstellungskanäle von DarkGate nutzen hauptsächlich Phishing-E-Mails mit Links, um den initialen Infektionsvektor zu verbreiten, der typischerweise ein Visual Basic Script (VBS) oder eine Microsoft Software Installer (MSI)-Datei ist. In einigen Fällen hat DarkGate kollaborative Anwendungen wie Microsoft Teams verwendet, um das erste Stadium des Angriffs zu starten. In einem bemerkenswerten Fall gab sich ein Angreifer als leitender Angestellter von Musarubra aus und schickte eine Teams-Nachricht mit einem bösartigen Link an eine Gruppe von Mitarbeitern.

Der Infektionsprozess der DarkGate-Version 4 beginnt entweder mit einem VBS-Script oder einer MSI-Datei, die zur Ausführung weiterer Stufen führt. Die VBS-Methode ruft dabei ein AutoIT-Binary und eine zweite Payload-Stufe aus der Ferne ab, während die MSI-Datei die eingebettete Payload direkt ablegt. Beide Methoden führen schließlich ein AutoIT-Script aus, das in der Installation von DarkGate mündet.

Version 5 von DarkGate führt eine neue Ausführungskette ein, die DLL-Side-Loading, verbesserte Shellcodes und Loader nutzt, während sie einige Funktionen der Version 4, wie AutoIT-Scripts und die anfänglichen VBS/MSI-Phasen, beibehält.