Blackhole
Basisdaten
Entwickler Paunch
Aktuelle Version 2.0 (geschätzt)
(12. September 2012)
Kategorie Exploit-Kits, Malware
Lizenz unbekannt
deutschsprachig nein

Blackhole (deutsche Übersetzung: schwarzes Loch) ist ein Exploit-Kit, das mittlerweile einen Marktanteil von knapp 30 Prozent hat. Es wird vermutlich von russischen Cyberkriminellen entwickelt, darauf lassen die Screenshots im Internet schließen.

Die Infrastruktur von Blackhole

Blackhole ist kostenpflichtig ($ 1000 pro Halbjahr), und bietet eine (relativ komfortable) Administration per Web-Interface an. Das Besondere dabei ist, dass die Entwickler von Blackhole sehr schnell auf neue Sicherheitslücken reagieren. Der im Zusammenhang mit dem Java-Crash (CVE-2012-4681) veröffentlichte Exploit wurde nach zwölf Stunden schon in Blackhole integriert.

Eine genaue Beschreibung der Serverinfrastruktur von Blackhole ist nicht möglich. Täglich kommen neue Server dazu, die teilweise nach wenigen Stunden oder Tagen wieder vom Netz gehen. Dazu kommt, dass viele dieser Knoten sich innerhalb von anonymen Netzwerken befinden (beispielsweise Tor), was die Ermittlung von verantwortlichen Personen quasi unmöglich macht. Die meisten dieser Server stehen in den USA (knapp 30 %), gefolgt von Russland (≈ 17,5 %).

LandServeranteil von Blackhole (2012)
Brasilien1,49 %
Großbritannien2,24 %
Niederlande2,55 %
Deutschland3,68 %
China5,22 %
Türkei5,74 %
Italien5,75 %
Chile10,77
Russland17,88 %
USA30,81 %
Sonstige13,88 %

Eine typische Blackhole-Infizierung

Die meisten Vorfälle einer Infizierung durch Blackhole laufen nach dem folgenden Schema ab: Zunächst wird ein Werbeserver (also ein Server im Internet, der Werbung auf anderen, unverdächtigen Webseiten einblendet) gehackt und so manipuliert, dass er im Hintergrund Skripte nachlädt, die die Besucher des Servers an eine Webseite weiterleiten, die dann den Rechner auf Schwachstellen (etwa veraltete Plugins) abklopft und diese gefundenen Lücken dann ausnutzt. Wenn der Angriff auf einen Computer erfolgreich war, wird ein sog. Payload nachgeladen, also ein Programm, das weitere Aktionen durchführt, beispielsweise das Verwischen von Spuren oder das Nachladen von neuem Schadcode, der genau auf den Rechner zugeschnitten ist.

Bedienung von Blackhole

Es ist nicht genau bekannt, wie Blackhole vom „Endanwender“ bedient wird. Die wenigen Screenshots im Internet lassen auf eine Art Webinterface oder graphisches Programm schließen. Fest scheint jedoch zu stehen, dass Blackhole relativ komfortabel zu benutzen ist, also ohne langwieriges Programmieren von Exploits oder Payloads. Details hierzu sind nicht bekannt.

Payloads

PayloadAnteil (über 2 Monate, August und September 2012)
Zbot25 %
Ransomware18 %
PWS12 %
Sinowal11 %
FakeAV11 %
Backdoor-Programme6 %
ZAccess6 %
Downloader2 %
andere Payloads9 %

Veröffentlichung von Blackhole

Die erste Version des Exploit-Kits wurde in „Malwox“, einem russischen Hacker-Forum veröffentlicht. Das genaue Datum oder die Lizenz, unter der das Programm veröffentlicht wurde, sind unbekannt. Momentan scheint die Version 2.0 (oder höher) aktuell zu sein.

Gegenmaßnahmen

Blackhole fällt dadurch auf, dass es ein überdurchschnittlich gutes Management besitzt. Der oder die Entwickler (Pseudonym: Paunch) sind offensichtlich sehr erfahren, neue Schadsoftware für Programme zu finden oder selbst zu programmieren. Die IT-Sicherheitsfirma Sophos versucht laut einem Artikel, das Exploit-Kit zu verfolgen und Benutzer zu mehr Sicherheitsmaßnahmen (Backups, Aktualisieren von kritischen Programmen etc.) aufzurufen. Der Erfolg dieser Maßnahmen ist nicht einzuschätzen, da nicht (oder kaum) bekannt ist, wie hoch die Zahl der von Blackhole infizierten Rechner sonst wäre.

Da Blackhole verstärkt auf Zero-Day-Exploits zurückgreift, hilft ein automatisches Aktualisieren wenig, es verhindert aber meistens eine Infizierung durch schon bekannte Exploits.

Blackhole manipuliert, wie auch andere Exploit-Kits, gehackte Webseiten, indem es ein Skript (meistens JavaScript) einfügt, das beim Aufrufen der Webseite automatisch im Hintergrund den Browser beziehungsweise das Betriebssystem analysiert und auf Sicherheitslücken abklopft. Wird es fündig, versucht es, die gefundenen Lücken auszunutzen. Hier würden Plug-ins oder Add-ons (zum Beispiel NoScript) helfen, um das Nachladen von Skripten zu verhindern.

Im Oktober 2013 gelang es, den Entwickler (Pseudonym: Paunch) von Blackhole in Russland mit einigen Komplizen festzunehmen.

Prominente Fälle von Blackhole-Attacken

  • Am 3. April 2013 wurde bekannt, dass ein neues und überdurchschnittlich gut programmiertes Schadprogramm namens Darkleech im Umlauf ist. Darkleech infiziert Apache-Webserver, wobei es bei IP-Adressen von Sicherheitsfirmen keine Angriffe auslöst. Es wird vermutet, dass Darkleech von den Entwicklern des Blackhole-Exploit-Kits programmiert wurde, da es Schadcode von Blackhole-Seiten nachlädt.
  • Laut einem Bericht vom 8. April 2013 auf Heise Security ist derzeit ein Botnetz namens Cutwail wieder besonders aktiv. Es verbreitet neben dem Online-Banking-Trojaner auch Malware für Android. Auch hier werden Opfer auf Blackhole-Seiten umgeleitet.

Siehe auch

Einzelnachweise

  1. ↑ Sophos: Kosten von Blackhole (Bild) (englisch). Abgerufen am 5. März 2013.
  2. ↑ M86 Security Labs: Screenshot von Blackhole. Abgerufen am 9. März 2013.
  3. ↑ Screenshot des Blackhole-Interfaces (Version 1.0.0). Abgerufen am 9. März 2013.
  4. ↑ Kosten von Blackhole (Bild) (englisch). Abgerufen am 9. März 2013.
  5. ↑ MalwareIntelligence: Malware Intelligence Blog: Black Hole Exploits Kit 1.1.0 Inside (englisch). Abgerufen am 19. März 2013.
  6. ↑ CVE-2012-4681 bei MITRE (englisch)
  7. ↑ Java-Exploit (CVE:2012-4681). In: pastie.org. Archiviert vom Original am 17. Februar 2013; abgerufen am 7. Juli 2022.
  8. ↑ Heise Security: Java-0-Day unter der Lupe. Abgerufen am 9. März 2013.
  9. ↑ Sophos: Java flaws already included in Blackhole exploit kit, Oracle was informed of vulnerabilities in April (englisch). Abgerufen am 19. März 2013.
  10. ↑ Sophos: Sophos Security Treath Report 2013 (englisch). Abgerufen am 12. März 2013.
  11. ↑ Sophos: Sophos Security Threath Report 2013 (englisch). Abgerufen am 9. März 2013.
  12. ↑ Sophos: Sophos Security Threath Report 2013 (englisch). Abgerufen am 9. März 2013.
  13. ↑ community.websense.com: Screenshot des Blackhole-Interfaces. Abgerufen am 15. März 2013.
  14. ↑ M86 Security Labs: Screenshot des Blackhole-Interfaces. Abgerufen am 19. März 2013.
  15. ↑ Screenshot des Blackhole-Interfaces (teilweise geschwärzt). Abgerufen am 19. März 2013.
  16. ↑ Sophos: Diagramm: Von Blackhole verteilte Payloads (englisch). Abgerufen am 19. März 2013.
  17. ↑ com-magazin: Blackhole 2.0 erzeugt Malware für ein paar Dollar. Abgerufen am 8. März 2013.
  18. ↑ Sophos: New version of Blackhole exploit kit (englisch). Abgerufen am 19. März 2013.
  19. 1 2 Anatomy of an Attack: Drive-by-Downloads und Blackhole. In: sophos.com. Archiviert vom Original am 27. März 2013; abgerufen am 7. Juli 2022.
  20. ↑ Heise Security: Gauner gehen in die Cloud. Abgerufen am 20. März 2013.
  21. ↑ Heise Security: Kritische Java-Lücke wird im großen Stil ausgenutzt. Abgerufen am 5. Februar 2013.
  22. ↑ Heise Security: Schadsoftware auf Webseiten der Sparkasse. Abgerufen am 20. März 2013.
  23. ↑ Heise Security: Gauner gehen in die Cloud. Abgerufen am 20. März 2013.
  24. ↑ Heise Security: Entwickler des Blackhole-Exploit-Kit verhaftet. Abgerufen am 10. Oktober 2013.
  25. ↑ Heise Security: Darkleech infiziert reihenweise Apache-Server. Abgerufen am 9. April 2013.
  26. ↑ Heise Security: Botnetz verteilt Android-Trojaner. Abgerufen am 9. April 2013.
This article is issued from Wikipedia. The text is licensed under Creative Commons - Attribution - Sharealike. Additional terms may apply for the media files.