XLoader ist eine Malware-as-a-Service-Familie, die als Infostealer und Keylogger klassifiziert wird, gespeicherte Zugangsdaten aus Webbrowsern und E-Mail-Clients sowie Daten aus FTP-Anwendungen stiehlt und sowohl Windows als auch macOS angreift.
Auf einen Blick
Als Dienst vermietete Malware, beschrieben als Infostealer und Keylogger
Zielt auf Windows und macOS, der Vorgänger FormBook nur auf Windows
Die Zustellung als Phishing-Anhang ist dokumentiert
Was ist XLoader?
XLoader ist aus der Schadsoftware FormBook hervorgegangen, unter deren Namen die Familie teilweise noch geführt wird, und wird als Malware-as-a-Service betrieben. Die Mac-Version wurde in Crimeware-Foren zur Miete angeboten. Quellen beschreiben die Familie als Infostealer und Keylogger beziehungsweise als Infostealer und Botnet; sie existiert in der einen oder anderen Form seit 2015. Anders als der reine Windows-Vorgänger zielt XLoader auf Windows und macOS. Laut MITRE ATT&CK ist XLoader für den Diebstahl von Daten aus Webbrowsern, E-Mail-Clients und FTP-Anwendungen bekannt.
Für macOS beschreibt eine Analyse die Verbreitung per E-Mail-Spam als wahrscheinlich; ein Anhang soll dabei als Köder in einer Phishing-Nachricht dienen. Als Verbreitungsweg ist Phishing dokumentiert: XLoader wurde als Anhang von Phishing-Mails zugestellt, darunter PDFs mit eingebetteten Links, Word- und Excel-Dateien sowie Archive mit EXE-Payloads. Gelangt XLoader auf einen Rechner eines Versicherers, kann die Schadsoftware Zugangsdaten aus Browsern stehlen; dokumentiert ist dies unter anderem für Chrome und Firefox auf macOS. Davon zu unterscheiden ist die gleichnamige schädliche Android-App XLoader for Android, die MITRE ATT&CK unter einem eigenen Eintrag führt.
Wie funktioniert XLoader?
Zum Stehlen kann XLoader Zugangsdaten aus mehreren Webbrowsern und aus E-Mail-Clients abgreifen, Daten aus FTP-Programmen stehlen und zusätzlich Tastatureingaben mitschneiden. Die beschriebenen macOS-Varianten zielen auf Chrome und Firefox: Für Chrome versucht eine Variante, über einen Zugriff auf den Schlüsselbund an die Anmeldeinformationen des Browsers zu gelangen, für Firefox liest eine Variante eine Datei im Firefox-Profilverzeichnis des Benutzers aus. Eine analysierte Variante schreibt und lädt einen Benutzer-LaunchAgent, der auf eine Kopie in einem versteckten App-Bundle zeigt; Label und Namen sind randomisiert und ändern sich von Ausführung zu Ausführung.
Als Infostealer zielt XLoader darauf ab, sensible Informationen still und schnell zu finden und an einen von den Angreifern kontrollierten Server zu übertragen. Die Kommunikation mit dem Command-and-Control-Server verschleiert XLoader durch eine Vielzahl von Scheinverbindungen, die den echten Server verbergen. Unter Windows hat XLoader bei lokaler Ausführung Office-Schwachstellen ausgenutzt, etwa CVE-2017-11882 und CVE-2018-0798.
Woran erkenne ich XLoader?
| Signal | Woran erkennbar |
|---|---|
| Neue plist-Datei im Verzeichnis LaunchAgents des Benutzers | Bei analysierten macOS-Varianten legt die Schadsoftware unter Library/LaunchAgents des Benutzers eine plist-Datei mit zufälligem Namen ab. |
| Zufällige Namen von LaunchAgent, versteckter App und ausführbarer Datei | Label des LaunchAgents sowie Namen der versteckten App und der ausführbaren Datei ändern sich bei einer analysierten macOS-Variante von Ausführung zu Ausführung. |
| Abfrage des Chrome-Schlüsselbunds über die Kommandozeile | Eine analysierte macOS-Variante ruft den Befehl security find-generic-password mit dem Eintrag Chrome auf, um über den Schlüsselbund an die Anmeldeinformationen von Chrome zu gelangen. |
Beispiele aus der Praxis
- Eine macOS-Version von XLoader war in einem Apple-Disk-Image mit dem Namen OfficeNote.dmg gebündelt.
- Die Miete für die Mac-Version lag in Anzeigen bei 199 US-Dollar pro Monat oder 299 US-Dollar für drei Monate.
- In einer analysierten macOS-Variante scheint eine .jar-Datei als Anhang einer Phishing-Nachricht verteilt zu werden; sie benötigt die Java-Laufzeitumgebung und läuft deshalb auf einer macOS-Installation nicht ohne Weiteres.
- Auf dem Mac eines Versicherers kann XLoader nach der dokumentierten macOS-Variante Zugangsdaten aus Chrome und Firefox stehlen.
