DISGOMOJI: Neue Linux-Malware wird per Emoji gesteuert

Sicherheitsforscher von Volexity haben auf indischen Regierungsrechnern eine neue Malware mit dem Namen DISGOMOJI entdeckt. Die Malware ist eigentlich nichts Besonderes und ähnelt in ihren Funktionen anderen, bereits bekannten Schädlingen. So kann sie Daten ausspionieren und stehlen, Screenshots aufnehmen und weitere Malware nachladen. Ungewöhnlich hingegen ist die Steuerung der Malware, denn sie nutzt den Messenger-Dienst Discord sowie Emojis als Command-and-Control-Plattform. Die Sicherheitsforscher vermuten, dass Sicherheitssoftware auf diese Art ausgetrickst werden soll, die im Normalfall nach textbasierten Kommandos sucht.

Dem Bericht von Veloxity zufolge wurde die Malware entdeckt, nachdem die Sicherheitsforscher eine mit UPX gepackte ausführbare ELF-Datei in einem ZIP-Archiv entdeckten, die wahrscheinlich über Phishing-E-Mails verbreitet wurde. DISGOMOJI attackiert offenbar derzeit eine spezielle Linux-Version namens BOSS, die indischen von Regierungsstellen als Desktop genutzt wird, könnte jedoch genauso auch andere LINUX-Versionen angreifen.

Fällt das Opfer auf die Phishing-Mail herein, wird eine pdf-Datei als Köder heruntergeladen, die sich als Formular des indischen Defence Service Officer Provident Fund tarnt. Gleichzeitig werden im Hintergrund weitere Daten heruntergeladen, darunter die DISGOMOJI-Malware und ein Shell-Skript mit dem Namen „uevent_seqnum.sh“, mit dem nach USB-Laufwerken gesucht und Daten gestohlen werden. Wenn DISGOMOJI gestartet wird, exfiltriert die Malware Systeminformationen des befallenen Computers, einschließlich IP-Adresse, Benutzername, Hostname, Betriebssystem und das aktuelle Arbeitsverzeichnis, und sendet diese Informationen an die Angreifer. Zur Steuerung der Malware verwenden die Hintermänner das Open-Source-Projekt discord-c2, das Discord und Emojis nutzt, um mit infizierten Geräten zu kommunizieren und Befehle auszuführen. Die Malware stellt dabei eine Verbindung zu einem vom Angreifer kontrollierten Discord-Server her und wartet darauf, dass die Bedrohungsakteure eines von neun Emojis in den Kanal eingeben. Über das Kamera-Symbol sorgen sie beispielsweise dafür, dass die Malware einen Screenshot aufnimmt.

Als Hintermänner vermuten die Sicherheitsforscher von Veloxity eine pakistanische, auf Cyberspionage spezialisierte Hackergruppe namens UTA0137. Das würde auch die aktuelle Konzentration auf indische Regierungsrechner erklären. Doch auch andere Linux-Nutzer sollten sich nicht in Sicherheit wiegen, denn die neue Malware kann problemlos auch auf andere Linux-Versionen angepasst werden. Auch wenn Emojis als Steuerbefehle auf den ersten Blick vielleicht weniger bedrohlich erscheinen, stellt DISGOMOJI doch ein erhebliches Sicherheitsrisiko dar, da so gängige Sicherheitssoftware umgangen werden könnte, die üblicherweise eher nach textbasierten Befehlen sucht.

‍

‍

Bild (c) Domingo Alvarez E / Unsplash