Sality

Sality is the classification for a family of malicious software (malware) infecting Microsoft Windows system files. Sality was first discovered in 2003 and has advanced into a dynamic, enduring, full-featured form of malicious code. Systems infected with Sality may communicate over a peer-to-peer (P2P) network to form a botnet to relay spam, proxy communications, exfiltrate sensitive data, compromise web servers, and/or coordinate distributed computing tasks to process intensive tasks (e.g., password cracking). Since 2010, certain variants of Sality have also incorporated rootkit functions as part of an ongoing evolution of the malware family. Because of its continued development and capabilities, Sality is considered one of the most complex and formidable forms of malware to date.

The majority of Antivirus (A/V) vendors use the following naming conventions when referring to this family of malware:

• Sality
• SalLoad
• Kookoo
• SaliCode
• Kukacka

Sality is a family of polymorphic file infectors, which target Windows executable files with the extensions .EXE or .SCR.^[1] Sality utilizes polymorphic and entry-point obscuring (EPO) techniques to infect files using the following methods: not changing the entry point address of the host, and replacing the original host code at the entry point of the executable with a variable stub to redirect execution to the polymorphic viral code, which has been inserted in the last section of the host file;^[2][3] the stub decrypts and executes a secondary region, known as the loader; finally, the loader runs in a separate thread within the infected process to eventually load the Sality payload.^[2]

Sality kann Schadcode ausführen , der Dateien mit bestimmten Dateiendungen und/oder bestimmten Anfangszeichenketten löscht , sicherheitsrelevante Prozesse und Dienste beendet , das Adressbuch eines Benutzers nach E-Mail-Adressen durchsucht, um Spam-Nachrichten zu versenden ^{[ 4 ]} , und einen entfernten Host kontaktiert. Sality kann außerdem zusätzliche ausführbare Dateien herunterladen, um weitere Schadsoftware zu installieren und kostenpflichtige Anwendungen zu verbreiten. Sality kann Trojaner- Komponenten enthalten; einige Varianten können sensible persönliche oder finanzielle Daten stehlen (Datendiebstahl) ^{[ 5 ]} , Spam generieren und weiterleiten, Datenverkehr über HTTP- Proxys umleiten , Websites infizieren und verteilte Rechenaufgaben wie das Knacken von Passwörtern ausführen sowie weitere Funktionen bieten. ^{[ 2 ]}

Der Download-Mechanismus von Sality lädt zusätzliche Schadsoftware herunter und führt sie aus, wie in den über die Peer-to-Peer-Komponente empfangenen URLs aufgeführt . Die verteilte Schadsoftware kann dieselbe Codesignatur wie die Sality-Payload aufweisen, was die Zuordnung zu einer bestimmten Gruppe ermöglicht und/oder darauf hindeutet, dass diese einen Großteil des Codes gemeinsam nutzt. Die zusätzliche Schadsoftware kommuniziert typischerweise mit zentralen Command-and-Control-Servern (C&C-Servern) weltweit und meldet sich bei diesen. Laut Symantec macht die „Kombination aus Dateiinfektionsmechanismus und vollständig dezentralem Peer-to-Peer-Netzwerk […] Sality zu einer der effektivsten und widerstandsfähigsten Schadsoftwares in der heutigen Bedrohungslandschaft.“ ^{[ 2 ]}

Derzeit sind zwei Versionen des Botnetzes aktiv: Version 3 und 4. Die über diese Botnetze verbreitete Malware ist von den Angreifern digital signiert , um eine feindliche Übernahme zu verhindern. In den letzten Jahren hat Sality zudem Rootkit-Techniken eingesetzt, um sich dauerhaft auf kompromittierten Systemen einzunisten und hostbasierte Erkennungsmechanismen wie Antivirensoftware zu umgehen. ^{[ 6 ]}

Die am stärksten vom Botnetz betroffenen Länder waren Indien, Vietnam und Marokko. ^{[ 7 ]}

Sality infiziert Dateien auf dem betroffenen Computer. Die meisten Varianten verwenden eine DLL-Datei , die einmalig auf jedem Computer abgelegt wird. Die DLL-Datei wird in zwei Formen auf die Festplatte geschrieben, zum Beispiel:

• %SYSTEM%\wmdrtc32.dll
• %SYSTEM%\wmdrtc32.dl_

Die DLL-Datei enthält den Großteil des Viruscodes . Die Datei mit der Endung „.dl_“ ist die komprimierte Kopie. Neuere Varianten von Sality, wie z. B. Virus:Win32-Sality.AM, legen die DLL-Datei nicht ab, sondern laden sie vollständig in den Arbeitsspeicher , ohne sie auf die Festplatte zu schreiben. Diese Variante sowie andere legen außerdem einen Treiber mit einem zufälligen Dateinamen im Ordner %SYSTEM%\drivers ab. Auch andere Schadsoftware kann Sality auf dem Computer installieren. Beispielsweise wird eine als Virus:Win32-Sality.AU erkannte Sality-Variante von Worm:Win32-Sality.AU installiert. ^{[ 1 ]} Einige Sality-Varianten können auch ein Rootkit enthalten, indem sie ein Gerät mit dem Namen Device\amsint32 oder \DosDevices\amsint32 erstellen. ^{[ 6 ]}

Sality zielt üblicherweise auf alle Dateien im Laufwerk C: ab, die die Dateiendung .SCR oder .EXE haben, beginnend mit dem Stammverzeichnis . Die Größe der infizierten Dateien nimmt dabei unterschiedlich zu.

Das Virus zielt auch auf Anwendungen ab, die bei jedem Windows-Start ausgeführt werden, sowie auf häufig verwendete Anwendungen, auf die über die folgenden Registrierungsschlüssel verwiesen wird :

• HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache
• HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• HKLM\Software\Microsoft\Windows\CurrentVersion\Run ^{[ 1 ]}

Sality vermeidet es, bestimmte Dateien zu infizieren, um auf dem Computer verborgen zu bleiben:

• Dateien, die vom Systemdatei-Überprüfungsprogramm (SFC) geschützt sind
• Dateien im Ordner %SystemRoot%
• Mehrere Antiviren-/ Firewall- Produkte ignorieren Dateien, die bestimmte Zeichenketten enthalten.

Einige Sality-Varianten können legitime Dateien infizieren, die anschließend auf verfügbare Wechseldatenträger und Netzwerkfreigaben verschoben werden . Dazu durchsucht die Malware alle Netzwerkfreigabeordner und Ressourcen des lokalen Computers sowie alle Dateien auf Laufwerk C: (beginnend mit dem Stammverzeichnis). Die gefundenen Dateien werden infiziert, indem dem Host-Code ein neuer Codeabschnitt hinzugefügt und der Schadcode in diesen Abschnitt eingefügt wird. Existiert eine legitime Datei, kopiert die Malware diese in den Ordner „Temporäre Dateien“ und infiziert sie anschließend. Die infizierte Datei wird dann auf allen verfügbaren Wechseldatenträgern und Netzwerkfreigaben in das Stammverzeichnis verschoben.

• Zufälliger Dateiname .pif
• zufälliger Dateiname .exe
• zufälliger Dateiname .cmd

Die Sality-Variante erstellt außerdem im Stammverzeichnis aller dieser Laufwerke eine Datei namens „autorun.inf“, die auf die Viruskopie verweist. Wird auf ein Laufwerk von einem Computer mit AutoRun -Funktion zugegriffen, startet der Virus automatisch. ^{[ 1 ]} Einige Sality-Varianten legen zusätzlich eine Datei mit der Dateiendung .tmp in den gefundenen Netzwerkfreigaben und -ressourcen ab sowie eine .LNK- Datei zum Ausführen des Virus. ^{[ 8 ]}

• Sality kann Code in laufende Prozesse einschleusen, indem es einen Message Hook installiert ^{[ 9 ].}
• Sality sucht üblicherweise nach Dateien im Zusammenhang mit Antiviren-Updates und versucht, diese zu löschen sowie Sicherheitsanwendungen wie Antiviren- und Firewall-Programme zu beenden; versucht, Sicherheitsanwendungen zu beenden, die dieselben Zeichenketten wie die Dateien enthalten, deren Infektion es vermeidet; und kann auch sicherheitsrelevante Dienste beenden und den Zugriff auf sicherheitsrelevante Websites blockieren, die bestimmte Teilzeichenketten enthalten ^{[ 1 ] [ 2 ] [ 3 ] [ 8 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 17 ].}
• Sality-Varianten können die Computerregistrierung verändern, um die Windows-Sicherheit zu verringern, die Verwendung des Windows-Registrierungseditors zu deaktivieren und/oder das Anzeigen von Dateien mit versteckten Attributen zu verhindern. Einige Sality-Varianten löschen rekursiv alle Registrierungswerte und Daten unter den Registrierungsunterschlüsseln für HKCU\System\CurrentControlSet\Control\SafeBoot und HKLM\System\CurrentControlSet\Control\SafeBoot, um zu verhindern, dass der Benutzer Windows im abgesicherten Modus startet. ^{[ 1 ] [ 4 ] [ 8 ] [ 10 ] [ 11 ] [ 18 ] [ 19 ] [ 20 ]}
• Einige Sality-Varianten können sensible Informationen wie zwischengespeicherte Passwörter und protokollierte Tastatureingaben stehlen, die auf dem betroffenen Computer eingegeben wurden ^{[ 1 ] [ 13 ] [ 15 ].}
• Sality-Varianten versuchen üblicherweise, andere Dateien, darunter auch kostenpflichtige Installationsprogramme, mithilfe einer vorkonfigurierten Liste von bis zu 1000 Peers herunterzuladen und auszuführen. Ziel des P2P-Netzwerks ist der Austausch von URL-Listen für die Download-Funktionalität. Die Dateien werden in den Windows-Ordner für temporäre Dateien heruntergeladen und mit einem von mehreren fest codierten Passwörtern entschlüsselt. ^{[ 1 ] [ 2 ] [ 3 ] [ 5 ] [ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 18 ] [ 20 ] [ 21 ]}
• Der Großteil der Nutzlast von Sality wird im Kontext anderer Prozesse ausgeführt, was die Entfernung erschwert und es der Malware ermöglicht, einige Firewalls zu umgehen. Um Mehrfacheinschleusungen in denselben Prozess zu verhindern, wird für jeden Prozess, in den Code eingeschleust wird, ein systemweiter Mutex namens „sality <process name>.exeM_<process ID>_“ erstellt, der verhindert, dass mehr als eine Instanz gleichzeitig im Speicher ausgeführt wird. ^{[ 1 ]}
• Einige Varianten von Win32-Sality legen einen Treiber mit einem zufälligen Dateinamen im Ordner %SYSTEM%\drivers ab, um ähnliche Funktionen auszuführen, wie z. B. das Beenden sicherheitsrelevanter Prozesse und das Blockieren des Zugriffs auf sicherheitsrelevante Websites. Außerdem können sie jegliche SSDT- Hooks (System Service Descriptor Table) deaktivieren, um die ordnungsgemäße Funktion bestimmter Sicherheitssoftware zu verhindern ^{[ 1 ] [ 2 ] [ 3 ] [ 10 ] [ 11 ] [ 12 ] [ 18 ] [ 20 ] [ 22 ] [ 23 ].}
• Einige Sality-Varianten verbreiten sich durch die Nutzung verfügbarer Wechseldatenträger und Netzwerkfreigaben ^{[ 1 ] [ 2 ] [ 3 ] [ 8 ] [ 9 ] [ 11 ] [ 12 ] [ 20 ]}
• Einige Sality-Varianten legen .LNK-Dateien ab, die den abgelegten Virus automatisch ausführen ^{[ 8 ].}
• Einige Sality-Varianten durchsuchen möglicherweise das Outlook-Adressbuch und die zwischengespeicherten Dateien von Internet Explorer nach E-Mail-Adressen, um Spam-Nachrichten zu versenden. Anschließend werden Spam-Nachrichten auf der Grundlage von Informationen versendet, die von einem Remote-Server abgerufen werden ^{[ 4 ].}
• Sality kann einen Abschnitt in die Konfigurationsdatei %SystemRoot%\system.ini als Infektionsmarkierung einfügen, entfernte Hosts kontaktieren, um die Internetverbindung zu bestätigen, eine neue Infektion an ihren Urheber melden, Konfigurations- oder andere Daten empfangen, beliebige Dateien (einschließlich Updates oder zusätzlicher Malware) herunterladen und ausführen, Anweisungen von einem entfernten Angreifer empfangen und/oder Daten vom betroffenen Computer hochladen; einige Sality-Varianten können eine Remote-Verbindung öffnen, die es einem entfernten Angreifer ermöglicht, beliebige Dateien auf den infizierten Computer herunterzuladen und auszuführen ^{[ 4 ] [ 9 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 18 ] [ 20 ] [ 21 ] .}
• Mit neueren Versionen von Sality, wie Virus:Win32-Sality.AT und Virus:Win32-Sality.AU, infizierte Computer verbinden sich mit anderen infizierten Computern, indem sie einem Peer-to-Peer-Netzwerk (P2P) beitreten, um URLs zu empfangen, die auf zusätzliche Malware-Komponenten verweisen; das P2P-Protokoll läuft über UDP , alle im P2P-Netzwerk ausgetauschten Nachrichten sind verschlüsselt, und die lokale UDP-Portnummer, die zum Verbinden mit dem Netzwerk verwendet wird, wird als Funktion des Computernamens generiert ^{[ 1 ].}
• Sality kann ein Rootkit hinzufügen, das einen Treiber mit Funktionen wie dem Beenden von Prozessen über NtTerminateProcess sowie dem Blockieren des Zugriffs auf ausgewählte Antivirenressourcen (z. B. Websites von Antivirenherstellern) mittels IP-Filterung enthält; letzteres erfordert, dass der Treiber eine Callback-Funktion registriert, die verwendet wird, um zu bestimmen, ob Pakete verworfen oder weitergeleitet werden sollen (z. B. Pakete verwerfen, wenn die Zeichenkette den Namen eines Antivirenherstellers aus einer kompromittierten Liste enthält) ^{[ 6 ].}

Microsoft hat Dutzende von Dateien identifiziert, die alle typischerweise mit der Malware in Verbindung stehen. ^{[ 1 ] [ 4 ] [ 8 ] [ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 17 ] [ 21 ] [ 22 ] [ 23 ] [ 24 ] [ 25 ] [ 26 ] [ 27 ]} Sality verwendet Tarnungsmaßnahmen, um sich dauerhaft auf einem System einzunisten. Daher müssen Benutzer möglicherweise in einer vertrauenswürdigen Umgebung booten , um die Malware zu entfernen. Sality kann auch Konfigurationsänderungen vornehmen, beispielsweise an der Windows-Registrierung, was das Herunterladen, Installieren und/oder Aktualisieren von Virenschutzprogrammen erschwert. Da viele Varianten von Sality versuchen, sich auf verfügbare Wechseldatenträger und Netzwerkfreigaben zu verbreiten, ist es wichtig sicherzustellen, dass der Wiederherstellungsprozess die Malware gründlich von allen bekannten und möglichen Speicherorten erkennt und entfernt.

• Computervirus