Die endlose Neuartigkeit von Blockchain-Malware

In der Krypto-Welt wird viel über EtherHiding gesprochen – eine raffinierte neue Angriffsmethode, bei der Angreifer schädlichen Code in Smart Contracts verstecken, um Malware über die Blockchain zu verbreiten. Taylor Monahan von MetaMask erklärt, warum jede neue Welle sogenannter Blockchain-Malware Schlagzeilen macht – und warum Verteidiger lieber das Wesentliche im Blick behalten sollten, bevor sie sich von der Aufregung mitreißen lassen.

Eine Endlosschleife

Jedes Mal, wenn ein neuer Bericht über Onchain-Malware erscheint, verkünden Sicherheitsforscher erneut: „Die erste dezentralisierte, unveränderliche, unaufhaltbare Bedrohung ist da!" LinkedIn läuft heiß. Blogs werden am Fließband produziert. Angstmachende Schlagzeilen werden optimiert. KI-gestützte Endpoint Detection and Response wird angepriesen.

Ein Chor von Stimmen antwortet: „Hab ich's doch gesagt! Die Blockchain ist der perfekte Verbreitungsweg für Betrüger!" Dann, wie immer, verpufft die Kampagne. Analysten wenden sich dem nächsten glänzenden Exploit zu – und vergessen, in Vorbereitung auf den nächsten Jahresbericht, dass „die erste dezentralisierte, unveränderliche, unaufhaltbare Bedrohung" jemals aufgetaucht ist.

Die Schlagzeilen über Blockchain-Malware sind nicht völlig falsch. Es ist Malware. Sie nutzt die Blockchain. Aber das war's im Wesentlichen auch schon. Die Kampagnen sind in jeder Hinsicht unspektakulär – bis auf ihren einen cleveren Trick, weshalb sie so schnell wieder vergessen werden.

Das wäre anders, wenn sie sowohl neuartig als auch folgenreich wären – etwas Bahnbrechendes oder Verheerendes. Aber eigentlich lieben Sicherheitsforscher einfach das Neue. Es ist wie Katzenminze für uns. Alles, was auch nur leicht aus dem Rahmen fällt – wie Botnets, die weniger als 80 Bytes aus OP_RETURN abrufen, oder Malware, die Konfigurationen über einen Smart Contract aktualisiert – bringt uns in Aufruhr. Wir können nicht anders, als uns darin zu wälzen und uns eine Welt voller dezentralisierter, unaufhaltbarer Malware vorzustellen.

Um fair zu sein: Ein Teil der Bedrohungsakteure teilt diese Leidenschaft. Die cyberkriminellen Auteurs, die ihre Exploits mit einer Erzählung verknüpfen, verfassen dramatische Botschaften, um Medienaufmerksamkeit zu erregen, und signieren ihre Malware, damit jeder weiß, dass sie dahinterstecken. Ihre Aktionen sind auffällig, unterhaltsam und vorhersehbar kurzlebig. Oft sind sie so sehr damit beschäftigt, um Aufmerksamkeit zu konkurrieren, dass sie nicht bemerken, dass sie heute 13 Dollar eingenommen haben (oder dass das FBI gestern ihren Gruppenchat übernommen hat).

Ja, aus diesen Operationen lassen sich Lehren ziehen. „Wie man ein unaufhaltbarer, unveränderlicher Bedrohungsakteur wird" gehört nur nicht dazu.

Die Bedrohungsakteure, die echten Schaden anrichten, sind pragmatisch. ROI ist ihr Nordstern. Tarnung, Skalierbarkeit und Nachhaltigkeit sind ihre Mittel zum Zweck. Und sie passen ihre Techniken ständig an, wenn sie auf Hindernisse stoßen.

• Niemand liest E-Mails mehr → Wechsel zu Telegram

• GitHub entfernt Repositories → Wechsel zu privaten Repos

• Private Repos sind ungewöhnlich und erregen Verdacht → Wechsel zu Bitbucket oder GitLab

• MetaMask markiert die schädlichen Frontends, sobald sie auftauchen → Nutzung von Google Docs oder GitHub-Repos statt Landing Pages

Wenn ich also einen weiteren Bedrohungsakteur sehe, der die Blockchain nutzt, frage ich mich immer: Welches Problem löst die Blockchain für ihn? Wie verändert sie die Erfolgsquote – also wie werden bisher erfolglose Kampagnen zu erfolgreichen?

Malware trifft auf Blockchain

Malware ist schädliche Software. Es ist Code. Er fällt nicht vom Himmel und entsteht nicht wie von Zauberhand. Der Code selbst muss auf das Gerät des Opfers gelangen und dann ausgeführt werden, um seine Operationen durchzuführen.

Bei normaler Software besucht man eine Website oder einen App Store und lädt die Anwendung herunter, die dann auf dem Gerät installiert wird und läuft. Dieser Installationsprozess entpackt die eigentliche Software und führt dann den darin enthaltenen Code aus. Dabei werden beispielsweise Dateien an die richtigen Stellen verschoben, Konfigurationen für persönliche Einstellungen eingerichtet, ein Server auf verfügbare Updates überprüft oder die Software so eingestellt, dass sie beim Start des Computers automatisch ausgeführt wird.

Malware tut all das auch. Sie muss dabei nur heimlich vorgehen. Schädliche Software kann keine schädlichen Dinge tun, wenn der Endnutzer oder jemand anderes erkennt, dass sie schädlich ist.

Und Menschen versuchen immer, Endnutzer vor Malware zu schützen. Google Chrome zeigt bei schädlichen URLs und Downloads einen roten Warnbildschirm an. Das Betriebssystem verhindert die Installation von schädlichem Code, insbesondere ohne das Wissen des Nutzers. Social-Media-Plattformen, Webhoster, Domain-Registrare und Code-Repositories ergreifen alle Maßnahmen, um zu erkennen und zu verhindern, dass Malware-Betreiber sie für ihre schädlichen Zwecke nutzen.

Infolgedessen hat sich die Art und Weise, wie Malware an Endnutzer ausgeliefert wird, im Laufe der Zeit erheblich weiterentwickelt. Malware-Ersteller und -Betreiber gehen große Umwege, um die schädlichen Payloads in mehrere Stufen aufzuteilen, URLs zu verschleiern und Fallback-Mechanismen einzubauen, falls etwas abgeschaltet wird.

Moment – wo bleibt die Blockchain?

Verschiedene Bedrohungsakteure haben die Blockchain im Laufe der Jahre auf unterschiedliche Weise genutzt.

Die Rolle, die die Blockchain dabei spielt, ist im Allgemeinen dieselbe, auch wenn sich der genaue Mechanismus und die technischen Details unterscheiden:

• Schädlicher Code muss mit verschiedenen Ressourcen kommunizieren, um die Kontrolle über das Gerät eines Opfers zu erlangen oder aufrechtzuerhalten.

• Diese Ressourcen ändern sich häufig (z. B. wenn ein Server abgeschaltet wird).

• Wenn ein Stück schädlichen Codes sich nicht ändern kann (z. B. wenn Malware bereits auf dem Gerät eines Opfers ist oder Code auf Tausenden kompromittierten WordPress-Websites eingesetzt wird), stirbt er, wenn eine Ressource, auf die er angewiesen ist, offline genommen wird.

Also wird eine Blockchain eingebaut – und plötzlich kann nichts mehr abgeschaltet werden, alles ist magisch, unsichtbar und anonym, und die dezentralisierte, unveränderliche, unaufhaltbare Bedrohung ist da!

Nicht so schnell

Das Einschleusen von Malware auf das Gerät eines Opfers erfordert mehrere Stufen, mehrere Ressourcen und eine gewisse Kommunikation zwischen diesen Ressourcen. Einige dieser Stufen dienen ausschließlich der Umgehung von Erkennung, andere der dauerhaften Kontrolle.

Das ist wichtig zu verstehen, denn die Malware läuft niemals „auf der Blockchain." Die Blockchain ersetzt nicht einmal die gesamte Infektionskette.

Hier ist zum Beispiel ein (vereinfachtes) Vorher-Nachher von Gluptebs Infektionskette, circa 2019:

Und hier ist das Vorher-Nachher der anfänglichen Entwicklung von UNC5142s Etherhiding:

So betrachtet wird deutlicher, dass die Blockchain-Elemente einer ansonsten konventionellen Infektionskette aufgepfropft werden. Es ist die Weiterentwicklung einer bestehenden Operation. Manchmal ist es sogar eine direkte Reaktion auf Störungen.

Dieser Unterschied ist für Verteidiger wichtig, die Neuartigkeit von tatsächlichem Risiko trennen müssen. Die primären Maßnahmen, die diese Kampagnen stoppen, bleiben letztlich dieselben. Bedrohungsakteure werden Störungen wie das Abschalten von C2s immer umgehen, wenn sie wissen, dass die Kampagne ansonsten noch erfolgreich ist. Menschen und Organisationen müssen daran arbeiten, Erstkompromittierungen zu reduzieren, Bedrohungen anhand von Verhalten statt statischer Indikatoren zu erkennen und sicherzustellen, dass Maßnahmen zur Eindämmung von Endpunkten nach einer Kompromittierung vorhanden sind. Die Existenz der Blockchain ändert daran nichts.

Die Vorteile der Blockchain

Vor diesem Hintergrund wollen wir die Blockchain-Vorteile nochmals betrachten, die Forscher im Laufe der Jahre in unserer Tabelle hervorgehoben haben.

Resilienz

• „Fest codierte URLs sind leicht zu blockieren und machen damit die Malware-Installation funktionsunfähig." Quelle: Cerber Ransomware

• „Stellt sicher, dass infizierte Maschinen infiziert bleiben, auch wenn die ursprünglichen C2s offline genommen werden." Quelle: Glupteba

• „Erhöht die Widerstandsfähigkeit gegenüber Erkennungs- und Abschaltmaßnahmen. Beschlagnahme- und Abschaltoperationen werden durch die Unveränderlichkeit der Blockchain erschwert." Quelle: UNC5142's EtherHiding

• „Es gibt keinen zentralen Server, der abgeschaltet werden kann." Quelle: UNC5342's EtherHiding

• „Herkömmliche C2-Server können von Strafverfolgungsbehörden beschlagnahmt oder von Hosting-Anbietern abgeschaltet werden, aber auf der Blockchain gespeicherte Daten werden auf Tausenden dezentraler Knoten repliziert." Quelle: Cross-Chain TxDataHiding

• „Einmal eingesetzt, kann ein Smart Contract von niemandem außer dem Vertragsinhaber leicht entfernt oder verändert werden." Quelle: UNC5342's EtherHiding

Realitätscheck: Die Blockchain wird am häufigsten als Zeiger verwendet und befindet sich zwischen zwei Teilen herkömmlicher Infrastruktur.

Malware-Autoren haben jahrelang eine Vielzahl von „Zeiger"-Mechanismen eingesetzt, die sich im Verborgenen halten – auf Bulletproof-Hosts oder auf legitimen Content-Plattformen. Auch diese können sehr schwer oder sogar unmöglich zu erkennen und/oder abzuschalten sein.

Die Aufrufe zum Abrufen der Daten aus der Blockchain erfolgen weiterhin über herkömmliche API-Endpunkte, die von herkömmlichen Infrastrukturdienstleistern gehostet werden, und verwenden manchmal sogar herkömmliche API-Schlüssel. Auch wenn man das gesamte System nicht abschalten kann (da es sich letztlich um ein in gutem Glauben betriebenes Unternehmen handelt, das hauptsächlich legitime Nutzer bedient), können Sicherheitsforscher Unternehmen über diese Art von Aktivitäten aufklären und mit ihnen zusammenarbeiten, um Maßnahmen zu ergreifen.

Das unterscheidet sich nicht von anderen Situationen, in denen ein Angreifer legitime Infrastruktur zur Auslieferung seiner Payloads nutzt. Es ist immer frustrierend, wenn man weiß, dass eine bestimmte Stelle handeln könnte, es aber nicht tut. Die Blockchain-Branche hat ihr eigenes Netzwerk von Sicherheitsforschern, das nicht vollständig in traditionelle Sicherheitsforschungsnetzwerke integriert ist. Das bedeutet aber nicht, dass es nicht existiert. Wenn Sie jemals Kontakte oder Informationen dieser Art teilen müssen, gibt es Menschen in der Blockchain-Welt, denen das sehr am Herzen liegt, die jeden kennen und immer bereit sind zu helfen. Dazu gehören wir alle bei MetaMask Security sowie Organisationen wie SEAL. Nehmen Sie Kontakt auf.

Tarnung

• „Das Speichern von schädlichem Code in einem Smart Contract macht es schwieriger zu erkennen als mit herkömmlichen Web-Sicherheitstools, die Website-Inhalte direkt scannen könnten." Quelle: UNC5142's EtherHiding

• „Die BNB Smart Chain ist eine legitime Plattform. Ihre Nutzung kann dazu beitragen, dass schädlicher Datenverkehr im normalen Betrieb untergeht, um der Erkennung zu entgehen." Quelle: UNC5142's EtherHiding)

• „Angreifer können den schädlichen Payload über schreibgeschützte Aufrufe abrufen, die keinen sichtbaren Transaktionsverlauf hinterlassen." Quelle: UNC5342's EtherHiding

• „Verbindungen zu Blockchain-APIs – api.trongrid.io, aptoslabs.com, binance.org usw. – erscheinen als generisches HTTPS zu legitimen Diensten ohne offensichtliche schädliche Indikatoren." Quelle: Cross-Chain TxDataHiding

• „Herkömmliche C2-Infrastruktur hinterlässt umfangreiche Spuren (Serverlogs, TLS-Zertifikate, Hosting-Einträge und IP-Geolokalisierung), aber ein Blockchain-C2 erzeugt nur pseudonyme Adressen und Transaktions-Hashes ohne Server oder Logs." Quelle: Cross-Chain TxDataHiding

• „Netzwerkbasierte Schutzmechanismen sind für Web3-Datenverkehr schwieriger umzusetzen als für herkömmlichen Web-Datenverkehr, da herkömmliche URLs nicht verwendet werden." Quelle: UNC5142's EtherHiding

Realitätscheck: Die Interaktion mit „der Blockchain" ist wie die Interaktion mit jedem anderen Cloud-Dienstanbieter

Die Blockchain ist nur eine riesige öffentliche Datenbank aller historischen Transaktionen, ergänzt durch komplexe kryptografische Verifikation, die alle ~10 Sekunden stattfinden muss. Sie läuft fast immer auf herkömmlicher, dedizierter Infrastruktur mit allen möglichen Load-Balancing-, API- und anderen Orchestrierungsmechanismen. Was jeder Dienstanbieter protokolliert und speichert, hängt vollständig von seiner Nutzung, seinen Nutzern, seiner Geschichte, seiner Datenschutzrichtlinie, seinem Standort, seiner Beziehung zu den Nutzern und den angebotenen Diensten ab.

Als Beispiel: Wenn ein Blockchain-Dienst eine monatliche Zahlung erfordert, wird er in der Regel per Kreditkarte abgerechnet, wie ein Web2-Unternehmen. Wenn er Krypto-Zahlungen akzeptiert, sind seine Onchain-Adressen weithin bekannt, und man kann sehen, wie der Bedrohungsakteur zahlt. Anders als bei herkömmlichen Zahlungen kann jeder zusehen, wie DPRK Namecheap für Domains und Debank für API-Credits bezahlt. Das ist hochwertige, verwertbare Geheimdienstinformation, die bisher nicht verfügbar war.

Der durchschnittliche Computer eines Endnutzers pingt nicht zufällig kryptobezogene Dienste an. Wenn Ihre Sandbox, die einen mysteriösen Payload ausführt, das plötzlich tut, sollten Sie das definitiv genauer untersuchen. Selbst unter normalen Bedingungen sind Blockchain-Aufrufe bei weitem nicht so legitim wie beispielsweise Aufrufe an Microsoft, GitHub, AWS, Google oder Cloudflare. Und all diese liefern regelmäßig schädliche Payloads aus.

Natürlich können Krypto-Unternehmen nicht den gesamten Krypto-Datenverkehr als Präventionsmaßnahme blockieren. „Zum Glück haben Krypto-Unternehmen kein Monitoring, also ist alles in Ordnung!" – das war natürlich ein Scherz. Jedes seriöse Krypto-Unternehmen verfügt über ernsthaftes Security Information & Event Management (SIEM) und Endpoint Detection & Response (EDR), die darauf ausgelegt sind, echte Lazarus-Payloads erfolgreich zu erkennen und einzudämmen. Contagious Interview- oder MaaS-Payloads – auch solche, die die Blockchain nutzen – werden auf genau dieselbe Weise erkannt wie vor ihrer Nutzung der Blockchain.

Agilität

• „Obwohl Smart Contracts selbst unveränderlich sind, setzen sie einen First-Level-Smart-Contract ein, der einen Zeiger auf einen Second-Level-Smart-Contract enthält. Der First-Level-Contract fungiert als stabiler Einstiegspunkt, dessen Adresse sich auf der kompromittierten Website nie ändert, und weist das injizierte JavaScript an, Code von einem Second-Level-Contract abzurufen, was den Angreifern die Möglichkeit gibt, dieses Ziel zu ändern, ohne die kompromittierte Website zu verändern." (UNC5142's EtherHiding)

• „Der Angreifer kann den schädlichen Payload jederzeit aktualisieren, um seine Angriffsmethoden zu ändern, Domains zu aktualisieren oder verschiedene Arten von Malware einzusetzen." (UNC5342's EtherHiding)

• „Der Angreifer kann Payloads jederzeit durch das Posten neuer Blockchain-Transaktionen ändern, während die fest codierten Adressen der Malware sich nie ändern, was bedeutet, dass infizierte Maschinen aktualisierte Payloads automatisch abrufen, ohne Code-Änderungen vorzunehmen." (Cross-Chain TxDataHiding)

Realitätscheck: So funktioniert auch das Internet

Bedrohungsakteure verstecken einen Payload in einem Bild, aktualisieren das Bild, und schon ist die Malware wie von Zauberhand anders. URLs sind Zeiger auf IP-Adressen, die wiederum Zeiger auf Inhalte sind, die auf Servern gehostet werden. Wenn man den eigentlichen Inhalt nicht abschalten kann, schaltet man die Wege ab, die für den Zugriff auf den Inhalt genutzt werden. Wenn man die Wege nicht abschalten kann, lässt man diejenigen, die das Routing übernehmen, sie blockieren.

Der wesentliche Unterschied zwischen beliebigen Daten, die auf einer Website gespeichert sind, und einer Blockchain besteht darin, dass das Schreiben beliebiger Daten auf die Blockchain Geld kostet und dabei ein öffentliches Ereignis entsteht. Transaktionsgebühren können je nach Netzwerkbedingungen zwischen 1 und über 100 Dollar liegen. Einige Chains sind günstiger als andere, was dies weniger problematisch macht. Aber es hat dennoch Kosten, und diese Zahlungen hinterlassen eine Spur.

Die Blockchain ist schließlich öffentlich. Dienstanbieter und Börsen verfügen über Datenbanken mit korrelierten Endnutzeraktivitäten, IP-Adressen, Gerätefingerabdrücken und manchmal vollständigen KYC-Daten. Selbst grundlegende Transaktionen erfordern eine gewisse Interaktion mit herkömmlichen Internetelementen, die offensichtlich über herkömmliche Internetdaten verfügen. Wie viele Daten das sind, hängt vollständig davon ab, wie der Bedrohungsakteur mit der Blockchain interagiert. Aber die Blockchain ist nicht anonym.

Das Endspiel

Theoretisch ist ein zensurresistentes, irreversibles, dezentralisiertes Speichersystem der Traum eines jeden Bedrohungsakteurs. In der Realität scheinen diese „blockchain-gestützten" Malware-Varianten nie so zu verfangen wie andere Methoden.

CLICKFIX beispielsweise wurde schnell von einer großen Anzahl verschiedener Bedrohungsgruppen übernommen. Die Idee, Endnutzer dazu zu bringen, direkt in ihre Befehlszeile zu kopieren und einzufügen, um Frontline-Schutzmaßnahmen zu umgehen, war tatsächlich ein Wendepunkt. Währenddessen ist Malware auf der Blockchain sieben Jahre später immer noch neu genug, um die Sicherheitswelt jedes Mal in Aufruhr zu versetzen, wenn jemand eine neue Implementierung findet.

Das liegt zum Teil daran, dass Blockchains die gesamte Infektionskette nicht ersetzen können (und auch nicht ersetzen). Es gibt Social-Media-Konten, Webhoster, Domain-Registrare und einen oder mehrere C2-Server, die zur Auslieferung verschiedener Malware-Stufen, zum Verweisen auf die nächste oder als Fallback genutzt werden, falls eine ausfällt. Die Blockchain fügt einen weiteren Workflow und einen weiteren Schritt zusätzlich zu all den bestehenden Abläufen hinzu.

Es liegt auch daran, dass die Blockchain mit eigenen Kosten und Risiken verbunden ist.

Warum riskiert man es, seine OpSec dauerhaft in einem öffentlichen Ledger zu hinterlassen, das jeder einsehen kann, wenn es Bulletproof-Hosts, kompromittierte WordPress-Seiten und kostenlose Content-Plattformen gibt, die alle als Wegwerfinfrastruktur dienen wollen? Warum riskiert man, dass das bisher unentdeckte Vorgehen sofort von allen öffentlichen WLANs, Hotels, Kreuzfahrtschiffen, Schulen und/oder Arbeitsplätzen erkannt wird, die standardmäßig alles auch nur entfernt „Blockchain-artige" blockieren?

Ein Teil der Antwort ist schlicht: weil sie es können. Es macht Spaß, ist clever, neuartig und einzigartig. Vielleicht macht es sie erfolgreicher – oder lässt sie zumindest wie futuristische Betrüger wirken. Bedrohungsakteure sind auch Menschen. Sie haben Ziele und Motivationen. Sie handeln nicht immer rational.

Ich glaube jedoch, dass sich die eigentliche Antwort in den öffentlichen Berichten über diese Mechanismen offenbart. Es scheint, als würde es tatsächlich der Erkennung entgehen. Irgendwie gelingt es ihnen, durch die bloße Nutzung einer Blockchain ihre C2s länger verborgen zu halten. Irgendwie geraten Sandboxes in Verwirrung, wenn sie die Malware nicht finden können, weil sie in einem Blockchain-API-Aufruf steckt.

Ironischerweise liegt dieser Vorteil nicht daran, dass es nicht erkannt werden kann. (Das kann es.) Es liegt nicht daran, dass es tatsächlich anonymer, getarnter oder privater ist als alles andere, was sie tun. (Das ist es wirklich, wirklich nicht.) Der Vorteil ergibt sich fast ausschließlich daraus, dass Sicherheitsforscher es so wahrnehmen.

Daher sollten wir damit rechnen, dass Bedrohungsakteure weiterhin in dieser Weise experimentieren. Sicherheitsforscher sollten diese Kampagnen ebenfalls weiterhin verfolgen und darüber berichten. Aber vorerst bleibt „Blockchain-Malware" eine relativ amüsante Fußnote in einer viel größeren, viel düstereren Geschichte.

Der Großteil unserer Zeit und Energie muss darauf verwendet werden, bei den Dingen zu handeln, die einen echten Einfluss auf Menschen und Institutionen haben – den Dingen, die Verluste verhindern und Menschen schützen, auch wenn sie darauf bestehen, zufällige Befehle in eine schwarze Box einzufügen, nur weil ein Fremder im Internet es ihnen gesagt hat.

Falls die Blockchain-Aspekte dieser Kampagnen für Sicherheitsunternehmen tatsächlich ein Hindernis darstellen, um diese Kampagnen besser zu erkennen, zu deanonymisieren und zu stören, hilft die Web3-Sicherheitswelt mehr als gerne. Bitte nehmen Sie Kontakt mit uns auf unter MetaMask Security.