Cuttlefish-Malware ist alles andere als niedlich, sie ist eine sehr gefährliche Computerbedrohung
Die Cuttlefish-Malware stellt trotz ihres scheinbar harmlosen Namens eine erhebliche Bedrohung für Router in kleinen Büros und Heimbüros (SOHO) dar. Ihr Hauptziel besteht darin, den Netzwerkverkehr, der über diese Geräte läuft, heimlich zu überwachen und Authentifizierungsdaten aus HTTP-GET- und POST-Anfragen zu sammeln. Laut einem Bericht des Black Lotus Labs-Teams von Lumen Technologies funktioniert Cuttlefish als modulare Malware, deren Hauptziel darin besteht, Authentifizierungsinformationen zu stehlen, die über das lokale Netzwerk (LAN) des Routers übertragen werden. Darüber hinaus kann die Malware DNS- und HTTP-Hijacking für Verbindungen zu privaten IP-Bereichen innerhalb eines internen Netzwerks durchführen.
Es gibt Hinweise darauf, dass Cuttlefish Ähnlichkeiten mit einer anderen bekannten Malware namens HiatusRAT aufweist, obwohl bisher keine Fälle gemeinsamer Viktimologie beobachtet wurden. Cuttlefish ist seit mindestens dem 27. Juli 2023 aktiv, wobei seine jüngste Kampagne von Oktober 2023 bis April 2024 lief und hauptsächlich 600 eindeutige IP-Adressen betraf, die mit zwei türkischen Telekommunikationsanbietern in Verbindung stehen.
Der anfängliche Zugriffsvektor, den Cuttlefish verwendet, um Netzwerkgeräte zu kompromittieren, bleibt unklar. Sobald es jedoch Fuß gefasst hat, setzt es ein Bash-Skript ein, um Hostdaten zu sammeln und sie in eine vom Akteur kontrollierte Domäne zu exfiltrieren. Anschließend lädt es die auf die Architektur des Routers zugeschnittene Cuttlefish-Nutzlast herunter und führt sie aus. Cuttlefish konzentriert sich insbesondere auf passives Netzwerkpaket-Sniffing, um Authentifizierungsdaten anzugreifen, die mit öffentlichen Cloud-basierten Diensten wie Alicloud, Amazon Web Services (AWS), Digital Ocean, CloudFlare und BitBucket verbunden sind, und verwendet dabei einen erweiterten Berkeley Packet Filter (eBPF).
Die Funktionsweise der Malware wird durch einen Regelsatz gesteuert, der von einem Command-and-Control-Server (C2) abgerufen wird. Dadurch kann die Malware den Datenverkehr für private IP-Adressen kapern oder eine Sniffer-Funktion für den Datenverkehr für öffentliche IP-Adressen starten, um Anmeldeinformationen zu stehlen. Darüber hinaus kann Cuttlefish als Proxy und VPN fungieren, um erfasste Daten über den kompromittierten Router zu übertragen, sodass Bedrohungsakteure mit gestohlenen Anmeldeinformationen auf die Zielressourcen zugreifen können.
Zusammenfassend lässt sich sagen, dass Cuttlefish eine ausgefeilte Weiterentwicklung passiver Lauschangriffs-Malware für Edge-Networking-Geräte darstellt, die Routenmanipulation, Verbindungsentführung und passive Sniffing-Funktionen kombiniert. Die Fähigkeit, Authentifizierungsdaten zu stehlen, gewährt nicht nur Zugriff auf Cloud-Ressourcen, sondern verschafft sich auch Zugang zum Cloud-Ökosystem des Ziels und stellt damit eine erhebliche Bedrohung für die Cybersicherheit dar.
