DEEP#DOOR: Python-Backdoor mit Credential-Harvesting
Sicherheitsforscher haben eine neue Malware-Kampagne aufgedeckt, die DEEP#DOOR nutzt — einen Python-basierten Backdoor-Framework mit gezielten Data-Exfiltration-Fähigkeiten. Das Schadprogramm richtet sich primär gegen Unternehmensumgebungen und nutzt mehrschichtige Techniken zur Verschleierung.
Infektionskette und Initial Access
Die Angriffschain startet mit einer obfuszierten Batch-Datei (install_obf.bat), die unmittelbar nach der Ausführung Windows-Sicherheitsmaßnahmen deaktiviert. Dieser erste Schritt schafft Raum für die Installation weiterer Komponenten ohne Interference durch Defender oder ähnliche Endpoint-Protection-Systeme.
Anschließend wird dynamisch der Python-Interpreter extrahiert und DEEP#DOOR geladen. Die Verwendung von Python ermöglicht plattformübergreifende Deployment-Optionen und erschwert die Erkennung durch statische Signaturen.
Kernfunktionalität: Credential-Diebstahl
Das Hauptziel von DEEP#DOOR ist das systematische Harvesting von sensiblen Daten:
- Browser-Credentials: Passwörter, Session-Tokens und Autofill-Daten aus Chrome, Edge, Firefox und Safari
- Cloud-Integration: Zugangsdaten für Services wie AWS, Azure, Google Cloud und DocuSign
- Email-Konten: IMAP/SMTP-Authentifizierungsdaten
- VPN & SSH-Keys: Lokale Private Keys und VPN-Konfigurationen
- Systemdaten: Hardware-Informationen, Netzwerk-Details und installierte Software
Tunneling-basierte Command & Control
Ein charakteristisches Merkmal ist die Nutzung von Tunneling-Services (etwa Cloudflare Tunnel oder ngrok-ähnliche Lösungen) für die C2-Kommunikation. Diese Architektur:
- Verschleiert den tatsächlichen Command-Server
- Nutzt legitime, vertrauenswürdige Infrastruktur als Proxy
- Erschwert Netzwerk-basierte Detektionsmechanismen erheblich
- Ermöglicht schnelle C2-Adresswechsel
Persistenz-Mechanismen
DEEP#DOOR implementiert mehrere Techniken für lokale Persistenz, darunter Registry-Modifications, Scheduled Tasks und Startup-Folder-Manipulation. Die Persistenz-Layer sind modular aufgebaut, was Anpassungen an unterschiedliche Windows-Versionen und Sicherheitskonfigurationen ermöglicht.
Handlungsempfehlungen
Organisationen sollten folgende Maßnahmen priorisieren:
- Netzwerk-Monitoring: Blöcken von bekannten Tunneling-Services auf dem Perimeter, wenn geschäftlich vertretbar
- EDR-Tuning: Auf verdächtige Python-Prozessausführungen und Batch-Script-Aktivitäten konfigurieren
- Credential Management: Privilegierte Accounts auf MFA evaluieren und temporäre Zugriffe bevorzugen
- Browser-Sicherheit: Automatische Password-Speicherung deaktivieren und Passwort-Manager mit lokalem Vault nutzen
Die Kombination aus Python-Flexibilität und Tunneling-Obfuskation macht DEEP#DOOR zu einem bemerkenswert anpassungsfähigen Threat, der klassische Netzwerk-Sensoren umgeht.