Neue Malware Ransomware: Neuer TransferLoader verbreitet Morpheus

Anbieter zum Thema

Zscaler Germany GmbH

CADFEM Germany GmbH

d.velop AG

Esker Software Entwicklungs-und Vertrieb

Zscaler ThreatLabz hat einen neuen Malware-Loader identifiziert und den Namen TransferLoader vergeben. Die seit 2025 aktive Malware dient zur Verbreitung der Morpheus-Ransomware und besteht aus den Komponenten Downloader, Backdoor und einem Loader für die Backdoor.

Die Malware wurde bereits bei ersten Opfern mit der folgenden Vorgehensweise aktiv: Der Downloader lädt die Payload von einem Command-and-Control (C2)-Server herunter und führt sie auf dem betroffenen System aus. In einem nächsten Schritt wird durch den Backdoor-Loader das Backdoor-Modul ausgeführt und die vom C2-Server angegebenen Befehle umgesetzt. Der hohe Verschleierungsgrad von TransferLoader wirkt seiner Erkennung entgegen.

TransferLoader verschleiert Verbreitung von Ransomware

Der Loader ruft zunächst seinen eigenen Dateinamen ab und prüft, ob er einen hartkodierten Substring enthält, wie beispielsweise „ess“ gefolgt vom Zeichen „_“. Bestimmte Varianten erfordern zwei oder mehr Befehlsparameter, um mit der Ausführung fortzufahren. Alle gefundenen Komponenten nutzen das Feld „BeingDebugged“ im Prozessumgebungs-Block, um eine Debugging-Sitzung zu erkennen. Windows-APIs werden mit Hilfe eines Hash-Algorithmus dynamisch aufgelöst und es gibt Junk Code-Blöcke in bestimmten Funktionen des Loaders. Der eingefügte Code-Block wird nie ausgeführt, aber dieser Zusatz reicht aus, um den Dekompilierungsprozess von IDA zu unterbrechen.

Jede TransferLoader-Komponente entschlüsselt Strings zur Laufzeit mit einer bitwise XOR-Operation. Jede Zeichenkette ist mit einem eindeutigen 8-Byte-Schlüssel für die Entschlüsselung gepaart. Die verschlüsselten String-Daten werden auf den Stack geschoben und entschlüsselt, wie in der folgenden Abbildung dargestellt.

Die Code-Verschleierung geschieht bislang in zwei Varianten. Die erste Methode liest die aktuelle Adresse des Blocks und subtrahiert einen hardcoded Offset von dieser Adresse. Das Ergebnis ist die nächste Blockadresse, die übersprungen/ausgeführt werden soll. Die erste Methode wurde nur im TransferLoader selbst und nicht in seinen eingebetteten Komponenten beobachtet und der Kontrollfluss kann mit dem IDAPython-Skript, das im Zscaler GitHub-Repository verfügbar ist, wiederhergestellt werden.

Verschleierungsprozess beginnt mit Speicherung aller Register

Die zweite Methode verwendet einen fortschrittlicheren Ansatz und die Entwickler nutzen diese Methode in den eingebetteten Payloads innerhalb von TransferLoader. Der Verschleierungsprozess beginnt mit dem Speichern aller Register (einschließlich der RFLAGS- und SIMD-Register) und der anschließenden Zuweisung von Stack-Speicherplatz für weitere Operationen und der Speicherung. Anschließend werden alle lokalen Funktionsvariablen und Parameter in den SIMD-Registern gespeichert und die verschleierten Anweisungen ausgeführt. Jede verschleierte Anweisung hat ihren eigenen Handler.

Der Obfuscator erhält den konstanten Wert 0x1000, der im SDIM Register XMM4 gespeichert wird, um in einer späteren Phase der Ausführung als Funktionsparameter verwendet zu werden. Außerdem enthalten die Anweisungen zum Einfügen eines Wertes in ein SIMD-Register Junk-Anweisungen, die eine Analyse erschweren. Der Obfuscator speichert vor der Ausführung eines Handlers den Offset der nächsten auszuführenden Blockadresse, um aktiv zu werden, sobald der Handler ausgeführt wurde.

Nach der Ausführung der verschleierten Handler setzt der Obfuscator den Zustand der Register zurück. In diesem Stadium werden alle von den verschleierten Handlern gepushten Werte in den Registern abgelegt. Obwohl der Obfuscator nur eine kleine Anzahl von Befehlen behandelt (zum Beispiel wird der Befehl XOR REG, REG nicht behandelt), können die Bedrohungsakteure die Änderung oder Zuweisung von lokalen Variablen und Code-Strukturen verschleiern.

Ransomware: Zscaler erkennt TransferLoader in der Cloud Sandbox

Beim TransferLoader handelt es sich um einen neuen Malware-Loader, der verschiedene eingebettete Komponenten einsetzt, um der Erkennung und Untersuchung zu entgehen. Aufgrund der Ähnlichkeiten im Code und der gemeinsamen Verwendung von Umgehungsmethoden in den Binärdateien gehen die Sicherheitsforscher davon aus, dass die Entwickler dieselben sind, die auch hinter den eingebetteten Komponenten stehen. Der Loader wird durchgängig für die Verbreitung zusätzlicher Payloads, einschließlich Ransomware, verwendet. Die vielschichtige Cloud-Sicherheitsplattform von Zscaler erkennt die Indikatoren einer Kompromittierung mit TransferLoader auf verschiedenen Ebenen, unter anderem in der Zscaler Cloud Sandbox.

AI-Security-Report

KI-Tools: Nutzung steigt in Unternehmen um 3.000 Prozent