Zurück 
Zusammenfassung
Große Sportereignisse wie Fußballweltmeisterschaften oder Olympische Spiele sind häufig das Ziel von Cyberkriminellen, die sich die Popularität dieser Veranstaltungen zunutze machen. Während der Fußballweltmeisterschaft 2018 beispielsweise verbreitete ein infiziertes Dokument, das als „Spielvorhersage“ getarnt war, Schadsoftware, die ihren Opfern vertrauliche Daten, darunter Tastatureingaben und Screenshots, stahl.
Kurz vor der Eröffnungszeremonie der Olympischen Spiele 2020 in Tokio ist eine neue Malware-Bedrohung aufgetaucht , die ein infiziertes System durch Löschen seiner Dateien beschädigen kann. Die Malware tarnt sich als PDF-Dokument, das Informationen zu Cyberangriffen im Zusammenhang mit den Olympischen Spielen in Tokio enthält. Die Wiper-Komponente löscht Dokumente, die mit Ichitaro, einem in Japan beliebten Textverarbeitungsprogramm, erstellt wurden. Dieser Wischer ist viel einfacher als der „ Olympic Destroyer“, der bei den Olympischen Winterspielen 2018 zum Einsatz kam.
Gefahr
Die Akte wurde unter dem Namen „【至急】東京オリンピック開催に伴うサイバー攻撃等発生に関する被害報告にいて“ verbreitet übersetzt in „[Dringend] über Schadensmeldungen bezüglich des Auftretens von Cyberangriffen usw. im Zusammenhang mit den Olympischen Spielen in Tokio.“ “.
Die Datei ist mit UPX gepackt und wurde offenbar am „19.07.2021“ um „22:52:05“ kompiliert, und obwohl diese Information nicht 100% zuverlässig sein kann, liegt dieses Datum nur einen Tag vor ihrem ersten öffentlichen Erscheinen.
Der Entwickler hat viele Anti-Analyse- und Anti-Debugging-Techniken integriert. Der erste ist ein einfacher Trick, der mithilfe der APIs GetTickCount64 und Sleep erkennt, ob die Datei in einer Sandbox ausgeführt wird.
Zunächst holt sich die Schadsoftware mit GetTicketCount64 den aktuellen Zeitstempel und schläft anschließend für 16 Sekunden. Anschließend ruft es GetTicketCount64 erneut auf und prüft, wie viel Zeit der Code in der Sleep Funktion tatsächlich benötigt hat. Wenn die Zeit unter 16 Sekunden liegt, wird die Malware beendet, da die Sleep wahrscheinlich von einer Sandbox-Umgebung umgangen wurde.
Wenn die Sandbox-Umgebung zu diesem Zeitpunkt nicht erkannt wurde, prüft die Malware, ob Analysetools vorhanden sind, indem sie alle im Betriebssystem laufenden Prozesse auflistet und mit bekannten Tools wie „ wireshark.exe“ vergleicht. oder „ idaq64.exe“.
Die mit diesen Prozessen verbundenen Zeichenfolgen sind alle in der Binärdatei verschlüsselt und können mit einer einfachen bitweisen Operation problemlos entschlüsselt werden:
Mit der gleichen Logik haben wir ein Skript erstellt, um alle Zeichenfolgen automatisch zu extrahieren und zu entschlüsseln und so wichtige Verhaltensweisen der Malware aufzudecken: