Wenn der QakBot zweimal klingelt

Nicht immer ist es schön, alte Bekannte wiederzusehen. Vor allem dann nicht, wenn sie um halb sechs Uhr morgens an der Tür klingeln, Ihr gesamtes Haus durchwühlen und dann auch noch eine ganze Bande an Bekannten hereinlassen, die Sie ausrauben. So oder so ähnlich verhält es sich mit der Malware QakBot – auch QBot oder Pinkslipbot genannt –, die zum ersten Mal im Jahr 2007 entdeckt wurde und seit einigen Monaten wieder vermehrt auftaucht.

QakBot begann als Banking-Trojaner samt Keylogger und tritt nun vor allem als sogenannter Infostealer in Erscheinung, der über Spam-E-Mails verbreitet und mit weiterer Malware gebündelt wird, beziehungsweise diese herunterlädt. Hauptziel war seit Januar 2020 vor allem das Gesundheitswesen in den USA, aber auch andere Branchen in weiteren Ländern waren und sind betroffen. 

Die zwei Gesichter des QakBot 

QakBot ist bisher auf zwei verschiedene Arten in Erscheinung getreten.

Einerseits wird QakBot mit verseuchten Microsoft-Office-Anhängen gebündelt, über die Angriffe auf die betroffenen Unternehmen ausgeführt werden. QakBot nistet sich dabei zunächst in Temp-Ordnern sowie Netzwerkordnern ein, repliziert sich und legt Autostart-Einträge an.

Durch Letzteres wird unter anderem ein Task angelegt, der den Schadcode täglich um 5:33 Uhr morgens ausführt und danach wieder löscht. Dieser Schadcode liest dabei die IP-Adresse, den Hostnamen, den Benutzernamen, die Betriebssystem-Version sowie Bankdaten aus. Unter Einsatz von WebInject, einem Tool, das eigentlich für automatisierte Tests von Web-Anwendungen entwickelt wurde, greift QakBot dann in die Kommunikation zwischen dem infizierten Computer und Banking-Webseiten ein und greift die Nutzerdaten ab.

Andererseits arbeitet QakBot in Kombination mit der Ransomware ProLock, wobei QakBot in diesem Fall als Türöffner dient. QakBot verbindet sich mit einem gekaperten Postfach und verwertet die dort enthaltenen E-Mails und Kontakte, indem es individuelle Antworten an die Absender verschickt. Ähnlich wie bei Emotet klinkt sich QakBot dabei in bestehende Kommunikationsverläufe ein, was das Erkennen der Angriffe besonders schwer macht.

QakBot-verseuchte E-Mails enthalten Links, die auf kompromittierte Websites zeigen, von denen dann verseuchte Dateien heruntergeladen werden sollen. Durch das Ausführen dieser Dateien wird dann mittels PowerShell die Ransomware heruntergeladen. Genauer gesagt wird die Ransomware aus einer vermeintlichen BMP-, PNG- oder JPG-Datei extrahiert und wiederum per PowerShell in den Speicher geladen.