{"id":24769,"date":"2020-07-27T15:40:15","date_gmt":"2020-07-27T13:40:15","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=24769"},"modified":"2020-07-28T00:16:06","modified_gmt":"2020-07-27T22:16:06","slug":"mata-framework","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/mata-framework\/24769\/","title":{"rendered":"MATA: Ein Multi-Plattform-Malware-Framework"},"content":{"rendered":"

Das Instrumentarium der Cyberkriminalit\u00e4t entwickelt sich st\u00e4ndig weiter. Das j\u00fcngste Beispiel: das b\u00f6sartige MATA-Framework, das unsere Experten vor kurzem aufgedeckt haben. Cyberkriminelle nutzten es, um Unternehmensinfrastrukturen auf der ganzen Welt anzugreifen. Es greift verschiedene Betriebssysteme an und es verf\u00fcgt \u00fcber eine breite Palette b\u00f6sartiger Tools.<\/p>\n

Theoretisch k\u00f6nnen \u00dcbelt\u00e4ter MATA f\u00fcr eine Vielzahl von kriminellen Zwecken nutzen. In den von uns analysierten F\u00e4llen versuchten die Cyberkriminellen jedoch, Daten aus Kundendatenbanken in der Infrastruktur der Opfer zu lokalisieren und zu stehlen. In mindestens einem Fall benutzten sie MATA auch zur Verbreitung von Ransomware (unsere Experten leiten eine separate Untersuchung dieses Vorfalls).<\/p>\n

Der Interessenbereich der Angreifer war breitgef\u00e4chert. Unter den identifizierten Opfern von MATA waren Software-Entwickler, Internet-Provider, Online-Shops und andere. Auch die Angriffsgeografie war recht umfangreich. So entdeckten wir Spuren der Aktivit\u00e4ten der Gruppe in Polen, Deutschland, der T\u00fcrkei, Korea, Japan und Indien.<\/p>\n

Wieso wir MATA als Framework klassifizieren<\/h2>\n

MATA ist nicht einfach ein nur funktionsreiches St\u00fcck Malware. Es ist eine Art Dirigent, der bei Bedarf sch\u00e4dliche Werkzeuge herunterl\u00e4dt. Beginnen wir mit der Tatsache, dass MATA Computer mit den drei beliebtesten Betriebssystemen angreifen kann: Windows, Linux und MacOS.<\/p>\n

Windows<\/h3>\n

Zun\u00e4chst entdeckten unsere Experten MATA-Angriffe, die Windows-Computer ins Visier nahmen. Die Angriffsstruktur ist mehrstufig. Zu Beginn f\u00fchrten die MATA-Benutzer einen Loader auf dem Computer des Opfers aus, der das so genannte Orchestrator-Modul einsetzte, das wiederum Module herunterlud, die eine Vielzahl von b\u00f6sartigen Funktionen aufweisen.<\/p>\n

Je nach den Charakteristiken des spezifischen Angriffsszenarios konnten die Module von einem entfernten HTTP- oder HTTPS-Server, aus einer verschl\u00fcsselten Datei auf der Festplatte geladen oder \u00fcber die MataNet-Infrastruktur \u00fcber eine TLS 1.2-Verbindung \u00fcbertragen werden. Die verschiedenen MATA-Plugins k\u00f6nnen:<\/p>\n