SNOWLIGHT-Malware: Wie eine bösartige Variante die veränderten Taktiken verdeutlicht

Eine Welle von Cyber-Aktivitäten hat eine weitere Variante der SNOWLIGHT-Malware ans Licht gebracht. Dieses Tool ist zwar nicht neu in der Cybersicherheitsszene, wird aber zunehmend komplexer und subtiler eingesetzt. Diese Malware-Variante steht im Zusammenhang mit der Bedrohungsakteursgruppe UNC5174 (vermutlich mit China verbunden) und ist Teil einer umfassenderen strategischen Neuausrichtung der Vorgehensweise von Angreifern. Sie kombinieren fortschrittliche Taktiken mit frei verfügbaren Tools, um ihre Spuren zu verwischen.

Worauf zielt es ab?

SNOWLIGHT hat sich als zentrale Komponente einer neu identifizierten Kampagne herausgestellt, die auf Linux- Systeme abzielt, deren Funktionen sich aber auch auf macOS erstrecken. Diese Kampagne beinhaltet auch den Einsatz eines weniger bekannten Remote-Access-Tools namens VShell, eines Open-Source-Trojaners. Obwohl diese Namen obskur klingen mögen, deutet ihre Verwendung auf etwas viel Beunruhigenderes hin: Angreifer finden immer raffiniertere Wege, sich zu verstecken, was es Verteidigern schwerer denn je macht, ernsthafte Bedrohungen vom allgemeinen Internetlärm zu unterscheiden.

Bemerkenswert an dieser Kampagne ist der gezielte Einsatz von Open-Source-Tools wie VShell und SUPERSHELL, einer weiteren Komponente der Angriffsinfrastruktur. Durch den Einsatz dieser Tools können Bedrohungsakteure einer Entdeckung entgehen und Kosten und Zeit für die Entwicklung proprietärer Malware reduzieren. Noch wichtiger ist, dass sie ihre Aktivitäten leicht verschleiern können, was es schwieriger macht, Angriffe bestimmten Gruppen oder Regierungen zuzuordnen.

Die Entwicklung von SNOWLIGHT

UNC5174, auch bekannt als Uteus oder Uetus, wurde erstmals mithilfe von SNOWLIGHT bei Angriffen beobachtet, die Schwachstellen in gängigen Unternehmenstools wie Connectwise ScreenConnect und F5 BIG-IP ausnutzten. Ziel dieser Angriffe war die Installation eines C-basierten Downloaders, um zusätzliche Nutzdaten abzurufen, darunter Tunneling-Tools und Reverse-Shell-Backdoors wie GOHEAVY und GOREVERSE. Beide Tools ermöglichen unbefugten Fernzugriff und -steuerung – ein typisches Merkmal moderner Cyberspionage.

Laut Forschern dient SNOWLIGHT als Dropper, eine Art Liefersystem, für VShell. Sobald es in ein System eingedrungen ist, kann SNOWLIGHT ein Bash-Skript ausführen, das getarnte Binärdateien ausgibt, darunter eine Komponente für die DNS-Protokollierung und eine weitere, die mit dem Sliver Command-and-Control-Framework verknüpft ist. Diese Elemente arbeiten zusammen, um Persistenz zu gewährleisten und eine verdeckte Verbindung zu einem Remote-Server aufrechtzuerhalten. So können Angreifer infizierte Systeme steuern, ohne viele Spuren zu hinterlassen.

Besonders auffällig an diesem Ansatz ist der Trend zu „dateiloser“ Malware. Im Anfang des Jahres beobachteten Fall wurde VShell direkt in den Speicher injiziert, anstatt auf der Festplatte gespeichert zu werden. Diese Methode umgeht herkömmliche Erkennungsmechanismen und ermöglicht es dem Angreifer, Befehle auszuführen, Dateien zu übertragen und andere Aktionen durchzuführen, ohne typische Alarme auszulösen.

Die Auswirkungen der Malware-Entwicklung

Diese Entwicklungen haben weitreichende Auswirkungen. Cybersicherheitsexperten weisen auf einen wachsenden Trend hin, bei dem auch mittelmäßig erfahrene Angreifer Angriffe durchführen können, für die früher staatliche Ressourcen erforderlich waren. Mit Tools wie VShell und SNOWLIGHT, die auf öffentlichen Codebasen basieren und modifiziert wurden, sinken die Eintrittsbarrieren. Dies erleichtert es staatlichen Gruppen, sich hinter weniger erfahrenen Angreifern zu verstecken und in der Grauzone zwischen Spionage und Kriminalität zu agieren.

Auch globale Sicherheitsbehörden beobachten die Aktivitäten von UNC5174 und ähnlichen Gruppen genau. So berichtete beispielsweise die französische Cybersicherheitsbehörde ANSSI , dass Angreifer mit ähnlichen Tools kritische Schwachstellen in Ivanti Cloud Service Appliances ausnutzten, um beliebigen Code auszuführen. Diese Vorgehensweise ähnelt den Beobachtungen bei den SNOWLIGHT-Kampagnen und erhöht die Wahrscheinlichkeit koordinierter, grenzüberschreitender Operationen.

Darüber hinaus deuten forensische Daten aus jüngsten Malware-Einreichungen in China darauf hin, dass das Malware-Ökosystem wächst. Artefakte zeigen, dass SNOWLIGHT und VShell macOS-Systeme angreifen können, wobei einige Versionen als legitime Software getarnt sind, beispielsweise eine gefälschte Cloudflare-Authentifizierungs-App – ein Hinweis auf zunehmend irreführende Verbreitungsmethoden.

Diese Enthüllungen fallen in eine Zeit zunehmender Spannungen und Vorwürfe der Cyberspionage zwischen den Weltmächten. So warfen chinesische Regierungsvertreter der US-amerikanischen National Security Agency (NSA) kürzlich vor, Cyberangriffe auf kritische Infrastrukturen und Großveranstaltungen wie die Asiatischen Winterspiele zu orchestrieren. Obwohl solche Vorwürfe Teil aktueller geopolitischer Narrative sind, unterstreichen sie doch, wie eng Cybersicherheit mit internationalen Beziehungen verwoben ist.

Fazit

Für Unternehmen ist die Schlussfolgerung klar: Wachsamkeit ist nicht länger optional. Die Kombination aus hochentwickelten Tools, Open-Source-Verfügbarkeit und subtilen Bereitstellungsmethoden führt dazu, dass Bedrohungen wie SNOWLIGHT immer schwieriger zu erkennen und langfristig gefährlicher werden. Cyber-Abwehrstrategien müssen schnell angepasst werden und sich nicht nur auf bekannte Malware-Signaturen, sondern auch auf Verhaltenserkennung, Speicherforensik und proaktive Bedrohungssuche konzentrieren.

Auch wenn SNOWLIGHT kein allgemein bekannter Name ist, erinnert uns seine Präsenz bei den jüngsten Angriffen daran, dass im digitalen Zeitalter selbst die leisesten Bedrohungen lange Schatten werfen können.