Das Wichtigste
- Die Schadsoftware verteilt ihre Aktivitäten auf mehrere plattformspezifische Zweige und steuert diese in einer wiederkehrenden Hintergrundschleife.
- QQ-Daten umfassen Accountinformationen und Cookies, Steam-Daten werden aus JWT-Inhalten gewonnen, und für WeGame/TGP kommen Speicherzugriffe sowie DLL-Injektionen zum Einsatz.
- Der vollständige Angriffsumfang lässt sich häufig erst durch die Kombination mehrerer Prozess-, Netzwerk- und Speicherindizien erkennen.
Einordnung
Die Analyse zeigt, wie ein einzelner Einstiegspunkt mehrere verbreitete Spieleclients überwacht und je nach erkanntem Prozess unterschiedliche Sammlungsrouten auslöst. Externe Download- und Übertragungsserver, Speicherladung und Prozesszugriffe erschweren die Erkennung einzelner Komponenten. Ob Konten tatsächlich übernommen wurden oder Verluste entstanden sind, muss anhand von Kontollisten und Geräteforensik geprüft werden.
Artikel teilen: