ShadowHammer: ASUS Live Update mit Backdoor infiziert

[English]Benutzer, die das ASUS Live Update Utility auf ihre Computern installiert haben, wurden vermutlich zwischen Juni und November 2018 mit einer Backdoor infiziert. ASUS war 2017 laut Gartner der 5. größte Computerhersteller, entsprechend groß ist die Zahl der Betroffenen (es wird 1 Million geschätzt). Die Backdoor wurde von den gängigen Virenschutzlösungen lange Zeit nicht erkennt. Glück im Unglück für viele Betroffen: Die Angreifer hatten aber spezifische Ziele im Auge, die über diese Backdoor ausspioniert wurden. Ergänzung: ASUS hat das Live Update Utility aktualisiert und ein Prüftool für betroffene Systeme bereitgestellt. Zudem war ASUS seit 2 Monaten gewarnt und über unglaubliche Schlampereien informiert.

Angriff auf ASUS-Utility

Von Kaspersky Lab wurde im Januar 2019 eine neue Advanced Persistent Threat (APT)-Kampagne entdeckt – und heute öffentlich gemacht. Diese betraf wohl  Benutzer, die das ASUS Live Update Utility zwischen Juni und November 2018 auf ihren Computern heruntergeladen haben.

Asus Live Updater was used in a big supply chain attack we dubbed Operation #ShadowHammer. We estimate this may have affected over 1 million computer users between June and Nov 2018. https://t.co/jTij3NwpSs

— Costin Raiu (@craiu) 25. März 2019

Das GReAT-Team (Global Research and Analysis) von Kaspersky Lab hat dieser bösartigen Kampagne die Namen ShadowHammer gegeben. Kim Zetter von Motherboard berichtete, dass die hinterlegte Version des ASUS Live Updates von mehr als 57.000 Kaspersky-Anwendern heruntergeladen und installiert wurde. Das Forschungsteam schätzt aber, das eine viel größere Anzahl Benutzer, man geht von einer Gesamtzahl von über einer Million infizierten Computern aus, betroffen ist.

ASUS-Utility in einer Supply Chain Attack infiziert

ASUS Live Update ist ein Dienstprogramm, das auf den meisten ASUS-Computern vorinstalliert ist und zur automatischen Aktualisierung bestimmter Komponenten wie BIOS, UEFI, Treiber und Anwendungen verwendet wird. Eine solche Komponente ist ein gefundenes Fressen für jeden Angreifer.

Ein erfolgreicher Angriff der Lieferkette (Supply Chain Attack) für ein solches Tool ist einer der gefährlichsten und wirksamsten Infektionsvektoren, die in den letzten Jahren zunehmend in fortgeschrittenen Operationen genutzt wurden (wie man bei ShadowPad oder CCleaner gesehen hat). Ein solcher Angriff versucht spezifische Schwächen in den miteinander verbundenen Systemen aller am Produktlebenszyklus Beteiligten auszunutzen. Während die Infrastruktur eines Anbieters wie ASUS oft als sicher bezeichnet werden kann, bestehen möglicherweise in den Einrichtungen Vorlieferanten oder in den Übergabeschnittstellen Schwachstellen.

Gelingt es, diese Komponente beim Hersteller zu infizieren (Supply Chain Attack), wird die infizierte Software auf sehr viele Geräte ausgerollt. Die Akteure hinter ShadowHammer zielten auf das ASUS Live Update Utility als erste Infektionsquelle ab. Denn dieses Tool wird von ASUS ja auf seinem Maschinen vorinstalliert.

Mit Hilfe gestohlener digitaler Zertifikate, die von ASUS zum Signieren legitimer Binärdateien verwendet werden, haben die Angreifer ältere Versionen der ASUS-Software manipuliert und ihren eigenen bösartigen Code für eine Backdoor injiziert. Trojanische Versionen des Dienstprogramms wurden dann mit legitimen Zertifikaten signiert und auf offiziellen ASUS-Update-Servern gehostet und anschließend auch verteilt.

Schutzlösungen blind, Opfer gezielt ausgesucht

Dieser Verteilungsweg über den Hersteller machte die kompromittierte Software für die überwiegende Mehrheit der Schutzlösungen weitgehend unsichtbar, wie Kaspersky schreibt. Möglicherweise ließen sich die 'Schutzlösungen' durch die digitale Signatur täuschen.

Theoretisch hätte die Infektion bedeutet, dass potenziell jeder Benutzer der betroffenen Software zum Opfer hätte werden können. Aber die Akteure hinter ShadowHammer konzentrierten sich darauf, Zugang zu mehreren hundert Benutzern zu erhalten. Über diese Benutzer wussten die Angreifer bereits Bescheid.

Wie die Forscher von Kaspersky Lab herausfanden, enthielt jeder Backdoor-Code eine Tabelle mit fest kodierten MAC-Adressen – die eindeutige Kennung der Netzwerkadapter, mit denen ein Computer mit einem Netzwerk verbunden wird. Sobald sie auf dem Gerät eines Opfers ausgeführt wurde, überprüfte die Backdoor die MAC-Adresse des Geräts anhand einer Tabelle. Stimmte die MAC-Adresse mit einem der Einträge überein, lud die Malware die nächste Stufe des bösartigen Codes herunter.

Andernfalls zeigte der infiltrierte Updater keine Netzwerkaktivität. Deshalb blieb die Infektion des Utility so lange unentdeckt blieb. Insgesamt konnten die Sicherheitsexperten von Kaspersky mehr als 600 MAC-Adressen identifizieren. Diese wurden von über 230 einzigartigen Backdoor-Modulen mit jeweils unterschiedlichen Shellcodes angesprochen.

Der modulare Ansatz und die zusätzlichen Vorsichtsmaßnahmen bei der Ausführung des Backdoor-Codes, zeigen, dass es für die Akteure hinter diesem anspruchsvollen Angriff sehr wichtig war, unentdeckt zu bleiben. Gleichzeitig verfolgten die Akteure einige sehr spezifische Ansätze, um die Ziele mit chirurgischer Präzision zu treffen. Eine eingehende technische Analyse zeigt, dass das Arsenal der Angreifer sehr weit entwickelt ist und einen sehr hohen Entwicklungsstand der Akteure widerspiegelt.

Die Suche nach ähnlicher Malware hat Software von drei anderen Anbietern in Asien ergeben, die alle mit sehr ähnlichen Methoden und Techniken infiziert wurden. Kaspersky Lab hat das Problem Asus und die anderen Anbietern gemeldet.

"Die ausgewählten Anbieter sind äußerst attraktive Ziele für APT-Gruppen, die deren große Kundenbasis nutzen wollen. Es ist noch nicht ganz klar, was das ultimative Ziel der Angreifer war, und wir untersuchen noch immer, wer hinter dem Angriff steckt. Die Techniken zur Erzielung einer unbefugten Codeausführung sowie andere entdeckte Artefakte deuten jedoch darauf hin, dass ShadowHammer wahrscheinlich mit dem BARIUM APT zusammenhängt, das zuvor unter anderem mit den Vorfällen ShadowPad und CCleaner verbunden war. Diese neue Kampagne ist ein weiteres Beispiel dafür, wie anspruchsvoll und gefährlich ein Angriff auf eine Lieferkette heute sein kann", sagte Vitaly Kamluk, Director of Global Research and Analysis Team, APAC, bei Kaspersky Lab.

Was man als Betroffener tun kann

Für Nutzer, die das ASUS Live Update-Utility auf ihren Windows-Systemen verwenden, stellt sich die Frage, was man tun kann, um nicht Opfer eines gezielten Angriffs zu werden. Kaspersky schlägt folgende Maßnahmen vor:

• Implementieren Sie nicht nur eine unverzichtbare Antiviruslösung (Endpunktschutz), sondern auch eine unternehmensweite Sicherheitslösung, die fortgeschrittene Bedrohungen auf Netzwerkebene frühzeitig erkennt. Hier wird natürlich die Kaspersky Anti Targeted Attack Platform beispielhaft genannt.
• Zur Erkennung, Untersuchung und rechtzeitige Behebung von Vorfällen empfehlen die Kaspersky-Sicherheitsforscher die Implementierung von EDR-Lösungen wie Kaspersky Endpoint Detection and Response oder die Kontaktaufnahme mit einem professionellen Incident Response Team;
• Integrieren Sie Threat Intelligence-Feeds in ihr SIEM und andere Sicherheitskontrollen, um Zugriff auf die relevantesten und aktuellsten Bedrohungsdaten zu erhalten und sich auf zukünftige Angriffe vorzubereiten.

Kaspersky hat zudem ein Offline Utility sowie einen Online Web Checker bereitgestellt. Mit den Tools können Nutzer überprüfen, ob ihre Computer durch ShadowHammer infiziert wurden. Das Offline-Tool muss lokal entpackt werden und meldet, ob man infiziert ist (mangels ASUS-Rechnern bekomme ich aber eine Meldung, dass keine Infektion vorliegt).

Beim Online Web Checker muss man die MAC-Adresse in ein Formular eingeben und erhält die Rückmeldung, ob diese von der Backdoor berücksichtigt wird (siehe Screenshot). Die Schritte zum Ermitteln der MAC-Adresse über ipconfig /all lassen sich über einen Weblink im Formular des Web-Checker abrufen.

Kaspersky Lab will die vollständigen Ergebnisse der Operation ShadowHammer auf dem Security Analyst Summit 2019 vom 9. bis 11. April in Singapur vorstellen. Addenum: Ergänzende Informationen finden sich in dem nun von Heise hier veröffentlichten Artikel. (via)

Ergänzung: ASUS Live Update Utility 3.6.8 und Prüftool

ASUS hat die Version 3.6.8 der ASUS Live Update Utility bereitgestellt, die diese Backdoor nicht mehr aufweist. Details erfährt man auf dieser ASUS-Webseite. In dieser Stellungnahme geht ASUS auf das Thema ein, erwähnt die neue die Version 3.6.8 der ASUS Live Update Utility und ein Prüftool, mit dem man das System auf eine kompromittierte Version mit der Backdoor überprüfen kann. Das Tool gibt es über diese Datei ASDT_v1.0.1.0.0.zip. (via)

Ergänzung 2: Ich habe noch was zu unglaublichen Schlampereien bezüglich der Sicherheit im Artikel Backdoor: ASUS war seit Monaten vor Risiken gewarnt geschrieben.