Mobile-Menu

Neue Malware übernimmt Router und sammelt Anmeldedaten Cuttlefish-Malware kann Daten direkt von Routern stehlen

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

ALE Deutschland GmbH
Vogel IT-Medien GmbH
Vitel GmbH

Die neue Malware Cuttlefish nistet sich in Routern von Unternehmen kein und kann von da aus Anmeldeten für Clouddienste auslesen und Cyberkriminellen zur Verfügung stellen.

Die neue Malware Cuttlefish kapert Netzwerkverbindungen auf Routern und kann von da aus Anmeldedaten für Clouddienste stehlen.(Bild: frei lizenziert / Pixabay)
Die neue Malware Cuttlefish kapert Netzwerkverbindungen auf Routern und kann von da aus Anmeldedaten für Clouddienste stehlen.
(Bild: frei lizenziert / Pixabay)

Die Black Lotus Labs von Lumen Technologies haben eineneue Malware entdeckt die eine große Gefahr für Unternehmen darstellt. Die Malware greift vor allem Router im Bereich SoHo ein. Aktiv ist die Malware nach den Untersuchungen seit mindestens Juli 2023. Unternehmen sollten darauf achten zumindest die aktuellste Version und die Sicherheitsupdates der Firmware des Routers zu installieren.

Cuttlefish unterstützt beim Stehlen von Daten

Die neue Malware Cuttlefish kapert Netzwerkverbindungen auf Routern und kann von da aus Anmeldedaten für Clouddienste stehlen. Das ist bei kleinen Netzwerken und bei Unternehmen ein Problem, da hier Angreifer von zahlreichen Benutzern heikle Daten stehlen können, die komplette Unternehmen kompromittieren können. Diese Malware, die modular aufgebaut ist, zielt darauf ab, Authentifizierungsinformationen aus Webanfragen abzugreifen, die über den Router laufen. Eine weitere Funktion ermöglicht das Umleiten von DNS- und HTTP-Anfragen zu privaten IP-Adressen, was besonders in internen Netzwerken von Bedeutung ist.

Cuttlefish kann auch mit anderen Geräten im LAN interagieren und Daten bewegen oder Software installieren. Es wurden Code-Überschneidungen mit einer anderen Malware, HiatusRat, festgestellt, die Interessen der Volksrepublik China zu dienen scheinen, obwohl keine gemeinsamen Opfer festgestellt wurden. Die Malware nutzt eine Methode, die keine Benutzerinteraktion erfordert, um Daten zu erfassen. Alles, was über kompromittierte Netzwerkgeräte gesendet wird, ist potenziell gefährdet. Besonders heimtückisch ist die Fähigkeit, den Datenverkehr zu privaten IP-Adressen umzuleiten und abzuhören. Cuttlefish bleibt passiv, bis durch spezifische Regeln aktiviert wird. Zur Datenexfiltration erstellt der Angreifer entweder einen Proxy oder einen VPN-Tunnel über einen kompromittierten Router und nutzt gestohlene Anmeldeinformationen, um auf Ressourcen zuzugreifen.

So funktioniert Cuttlefish

Der primäre Träger der Malware, ein bash-Skript, sammelt Host-basierte Daten und führt dann Cuttlefish aus. Dieser Agent implementiert einen mehrstufigen Prozess, der mit der Installation eines Paketfilters beginnt und alle ausgehenden Verbindungen inspiziert. Die Regeln für das Eingreifen werden durch eine Konfigurationsdatei spezifiziert, die von einem Command-and-Control-Server (C2) nach einer erfolgreichen ersten Datenerfassung gesendet wird.

Zur Erfassung von Anmeldedaten wird ein erweiterter Berkeley Packet Filter verwendet, und die Malware sucht nach spezifischen "Credential Markern" in GET- und POST-Anfragen. Bei Erreichen einer bestimmten Dateigröße werden die protokollierten Daten an den C2 gesendet.

Die Hijack-Funktionalität leitet Anfragen an private IP-Adressen um, während VPN-Funktionen über Open-Source-Projekte ermöglicht werden, um den Datenverkehr durch das infizierte Gerät zu leiten, was die Nutzung gestohlener Anmeldeinformationen für den Zugriff auf Cloud-Ressourcen erleichtert.

(ID:50028621)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte