PayoutsKing-Ransomware QEMU umgeht Endpoint-Erkennung

Die PayoutsKing-Ransomware-QEMU-Technik deckt eine erhebliche Lücke in der Endpoint-Sicherheit auf. Angreifer verstecken sich in virtuellen Maschinen, um der Erkennung zu entgehen und unbemerkt zu agieren.

Dieser Ansatz verschiebt die Angriffsfläche. Statt auf klassische Malware zu setzen, schaffen Bedrohungsakteure isolierte Umgebungen, die von Sicherheitslösungen nur schwer überwacht werden können.

Virtuelle Maschinen für verdeckte Aktivitäten

Die PayoutsKing-Ransomware-QEMU-Kampagne nutzt QEMU, um versteckte virtuelle Maschinen auf kompromittierten Systemen bereitzustellen. Diese Umgebungen laufen getrennt vom Hostsystem, sodass Angreifer schädliche Aktivitäten ausführen können, ohne herkömmliche Endpoint-Warnungen auszulösen.

Da die Aktivitäten innerhalb der virtuellen Maschine stattfinden, werden sie von Sicherheitslösungen häufig übersehen. Das verschafft Angreifern einen Vorteil in den frühen Phasen des Angriffs.

Innerhalb dieser Umgebungen können Bedrohungsakteure Tools installieren, Befehle ausführen und die Kontrolle mit minimaler Sichtbarkeit aufrechterhalten.

Fernzugriff über verdeckte Tunnel

Angreifer etablieren dauerhaften Zugriff, indem sie Reverse-SSH-Tunnel aus der virtuellen Maschine heraus nutzen. Dadurch können sie sich mit externer Infrastruktur verbinden, ohne direkte Aktivitäten auf dem Hostsystem offenzulegen.

Diese Tunnel ermöglichen vollständige Fernsteuerung. Angreifer können sich im Netzwerk bewegen, zusätzliche Payloads bereitstellen und Systeme für weitere Kompromittierungen vorbereiten.

In einigen Fällen werden geplante Aufgaben mit erhöhten Rechten verwendet, um die virtuelle Maschine zu starten. So bleibt die Angriffsumgebung auch nach Neustarts aktiv.

Datendiebstahl in isolierten Umgebungen

Die virtuelle Maschine dient als abgeschlossene Angriffsplattform. Darin führen Angreifer Werkzeuge für Aufklärung, Zugangsdaten-Diebstahl und Datenexfiltration aus.

Beobachtete Aktivitäten umfassen:

• Extraktion von Zugangsdaten aus Verzeichnisdiensten
• Kartierung interner Netzwerke
• Sammlung und Vorbereitung sensibler Daten
• Durchführung von Dateiübertragungen

Da diese Aktionen innerhalb der VM stattfinden, hinterlassen sie weniger Spuren auf dem Hostsystem. Dies verringert die Wahrscheinlichkeit einer frühen Erkennung.

Verbindung zur Ransomware-Bereitstellung

Forscher haben diese Technik mit der PayoutsKing-Ransomware-QEMU-Kampagne in Verbindung gebracht. Angreifer nutzen die versteckte Umgebung, um Systeme vorzubereiten, bevor sie Ransomware oder Erpressungsangriffe starten.

Diese Vorbereitungsphase ermöglicht es, wertvolle Daten zu identifizieren und die Auswirkungen zu maximieren. Sobald alles bereit ist, können Angreifer Daten verschlüsseln oder mit deren Veröffentlichung drohen, um Druck auf die Opfer auszuüben.

Die Möglichkeit, Tools innerhalb der VM anzupassen, macht die Kampagne zudem flexibler. Angreifer können ihre Taktiken ändern, ohne das Hostsystem zu verändern.

Umgehungstechniken entwickeln sich weiter

Der Einsatz legitimer Virtualisierungstools markiert einen Wandel bei Umgehungstechniken. Anstatt speziell entwickelte Malware zu verwenden, greifen Angreifer auf vertrauenswürdige Software zurück, um Verdacht zu vermeiden.

Dieser Trend erschwert die Erkennung erheblich. Viele Umgebungen überwachen Aktivitäten in virtuellen Maschinen nicht ausreichend tiefgehend.

Organisationen müssen daher ihre Sichtbarkeit über Endpunkte hinaus erweitern. Die Überwachung ungewöhnlichen VM-Verhaltens, unerwarteter Prozesse und auffälliger Netzwerkverbindungen ist nun entscheidend.

Fazit

Die PayoutsKing-Ransomware-QEMU-Kampagne zeigt, wie sich Angreifer über traditionelle Methoden hinaus weiterentwickeln. Versteckte virtuelle Maschinen bieten eine effektive Möglichkeit, Sicherheitsmechanismen zu umgehen und unentdeckt zu bleiben.

Da Bedrohungen immer komplexer werden, müssen sich Organisationen anpassen. Eine umfassende Sichtbarkeit über alle Systemebenen hinweg ist entscheidend, um solche Angriffe frühzeitig zu erkennen und zu stoppen.