Wie man die QuimaRAT-Malware vom Betriebssystem entfernt

Was für eine Malware ist QuimaRAT?

QuimaRAT ist ein Java-basierter Remote-Access-Trojaner (RAT), der Cyberkriminellen als Abonnementdienst verkauft wird. Dieses Modell, bekannt als Malware-as-a-Service (MaaS), ermöglicht es jedem, der die Gebühr zahlt, den RAT gegen Ziele seiner Wahl einzusetzen.

Laut einer Untersuchung, die vom SpiderLabs-Team von LevelBlue veröffentlicht wurde, hat QuimaRAT Windows, macOS und Linux im Visier. Er gibt den Betreibern die vollständige Fernkontrolle über infizierte Geräte und kann Passwörter stehlen, Tastatureingaben aufzeichnen sowie auf die Webcam und das Mikrofon des Opfers zugreifen.

Die Malware wird in Dark-Web-Foren als „QuimaRAT v2.0" vermarktet. Unter Windows läuft sie vollständig verborgen - ohne sichtbare Fenster, ohne Symbol in der Taskleiste und ohne dass das Opfer eine Spur ihrer Aktivität bemerken könnte.

QuimaRAT Übersicht

QuimaRAT basiert auf einer modularen Architektur, die es Betreibern ermöglicht, seine Fähigkeiten über verschlüsselte Plugins zu erweitern. Es verbindet sich über TCP, WebSocket, TLS oder HTTPS mit dem Command-and-Control-Server des Angreifers, wobei eine Watchdog-Komponente die Verbindung aufrechterhält.

Die vollständige Suite umfasst vier Komponenten: Quima Control (den RAT selbst), Quima Builder, Quima Loader und Quima Dropper. Der Loader lädt Payloads über den Browser-Cache und fügt sich unter Dateien ein, denen das Betriebssystem bereits vertraut, um die Erkennung durch Sicherheitssoftware zu vermeiden.

Der RAT ist in Java geschrieben und wurde mit Apache Maven erstellt, wobei die Betreibereinstellungen in einer verschlüsselten Konfigurationsdatei gespeichert sind. Beim Start überprüft er, ob eine Sandbox- oder virtuelle Maschinenumgebung vorliegt, und kann sein Verhalten entsprechend anpassen, was die automatisierte Analyse erschwert.

Die Fähigkeiten von QuimaRAT

QuimaRAT wird mit über 70 Modulen für Windows und 44 für macOS und Linux ausgeliefert. Zu den grundlegenden Fernsteuerungsfunktionen gehören Remotedesktopzugriff, HVNC (ein verborgener Bildschirmsteuerungskanal), Erfassung von Webcam und Mikrofon, Echtzeit-Keylogging und das Anfertigen von Screenshots.

Ein integriertes Modul zum Diebstahl von Anmeldedaten ruft Passwörter und Tokens aus mehr als 14 Kategorien ab. Dazu gehören gespeicherte Anmeldedaten von Chrome, Firefox und ähnlichen Browsern sowie von Discord, Steam und verschiedenen Kryptowährungs-Wallets und Wallet-Browsererweiterungen.

Betreiber können außerdem Dateien auf dem infizierten System durchsuchen und verwalten, Befehle über eine Remote-Shell ausführen, Prozesse anzeigen oder beenden und Datenverkehr über Reverse-Proxy- und Portweiterleitungsfunktionen leiten.

Die Malware unterstützt zusätzlich DLL-Injektion und kann bei Bedarf zusätzliche Payloads herunterladen und ausführen. Sie enthält einen integrierten Krypto-Clipper, der die Zwischenablage überwacht und kopierte Kryptowährungs-Wallet-Adressen unbemerkt durch die des Angreifers ersetzt.

Persistenz und Umgehung von Verteidigungsmaßnahmen

QuimaRAT etabliert Persistenz auf jeder unterstützten Plattform unterschiedlich. Unter Windows schreibt es in die Run-Schlüssel der Windows-Registrierung, erstellt geplante Aufgaben und fügt Einträge zu Autostart-Ordnern hinzu. Unter Linux verwendet es Crontab-Reboot-Aufgaben und Desktop-Autostart-Einträge. Unter macOS installiert es LaunchAgent-plist-Dateien.

Um die Erkennung und Entfernung zu erschweren, kann die Malware Windows Defender und die Firewall deaktivieren sowie die Benutzerkontensteuerung umgehen. Sie wendet ProGuard-Verschleierung und AES-256-String-Verschlüsselung an, um Reverse Engineering zu verlangsamen. Betreiber können auch eine Pastebin-basierte Option zum Rotieren von C2-Serveradressen aktivieren.

Der Quima Builder verpackt das Implantat in zwölf Ausgabeformaten, darunter JAR, EXE, APP, SH, BAT, VBS und native Binärdateien. Derselbe Kern-RAT kann daher ohne Codeänderungen auf allen drei unterstützten Plattformen eingesetzt werden.

QuimaRAT Preisgestaltung

QuimaRAT wird nach einem gestaffelten Abonnementmodell verkauft. Die Preise betragen 150 USD pro Monat, 300 USD für drei Monate, 500 USD für sechs Monate, 700 USD für zwölf Monate oder 1.200 USD für eine lebenslange Lizenz. Es wird in Cyberkriminellen-Foren im Darknet neben ähnlichen MaaS-Tools beworben.

Fazit

QuimaRAT bietet Cyberkriminellen ein umfangreiches Toolkit für Fernsteuerung, Diebstahl von Anmeldedaten, Kaperung der Zwischenablage und die Verbreitung weiterer Malware. Sein heimliches Design und seine Anti-Erkennungsfunktionen bedeuten, dass die meisten Opfer keinen Hinweis darauf haben, dass die Malware läuft. Wenn QuimaRAT auf Ihrem System vorhanden ist, sollte es sofort entfernt werden.

Weitere Beispiele für RATs sind msaRAT, Dolphin X und Starland.

Wie ist QuimaRAT in meinen Computer eingedrungen?

Die LevelBlue-SpiderLabs-Forscher Chen Aviani und Nikita Kazymirskyi dokumentierten, dass QuimaRAT in Darknet-Foren als Abonnementdienst verkauft wird. Betreiber erwerben Zugang und verwenden den Quima Builder, um ihre eigenen Payloads zu erstellen, und verbreiten diese dann über die von ihnen gewählten Methoden.

Zum Zeitpunkt der Erstellung wurden keine spezifischen aktiven Kampagnen öffentlich identifiziert, sodass die Verbreitungsmethode in einem bestimmten Vorfall vom jeweiligen Betreiber abhängt. Zu den gängigen Optionen gehören Phishing-E-Mails mit bösartigen Anhängen, gefälschte Software-Download-Seiten und Bündel raubkopierter oder gecrackter Software.

Malware dieser Art verbreitet sich auch über Malvertising, inoffizielle Download-Seiten und Social Engineering. Da der Builder zwölf Ausgabeformate unterstützt (darunter EXE, JAR, VBS und SH), können QuimaRAT-Payloads so verpackt werden, dass sie fast jedem beliebigen Dateityp ähneln.

Wie vermeidet man die Installation von Malware?

Laden Sie Software nur von offiziellen Entwickler-Websites und verifizierten App-Stores herunter. Ignorieren Sie unaufgeforderte E-Mails mit Anhängen oder Links von unbekannten Absendern. Verwenden Sie niemals raubkopierte Software, Schlüsselgeneratoren oder Software-Cracks, da diese regelmäßig als Vehikel für versteckte Malware dienen.

Halten Sie Ihr Betriebssystem und alle installierten Anwendungen aktuell und verwenden Sie seriöse Antiviren- oder Anti-Malware-Software. Seien Sie vorsichtig bei Browser-Benachrichtigungen von unbekannten Websites. Wenn Sie glauben, dass Ihr Computer bereits infiziert ist, empfehlen wir, einen Scan mit Combo Cleaner Antivirus für Windows durchzuführen, um eingedrungene Malware automatisch zu beseitigen.

QuimaRAT-Werbeanzeige in Hacker-Foren (Quelle: levelblue.com):

Umgehende automatische Entfernung von Malware:

Die manuelle Entfernung einer Bedrohung kann ein langer und komplizierter Prozess sein, der fortgeschrittene Computerkenntnisse voraussetzt. Combo Cleaner ist ein professionelles, automatisches Malware-Entfernungstool, das zur Entfernung von Malware empfohlen wird. Laden Sie es durch Anklicken der untenstehenden Schaltfläche herunter:

Indem Sie Software, die auf dieser Internetseite aufgeführt ist, herunterladen, stimmen Sie unseren Datenschutzbestimmungen und Nutzungsbedingungen zu. Der kostenlose Scanner überprüft, ob Ihr Computer infiziert ist. Um das Produkt mit vollem Funktionsumfang nutzen zu können, müssen Sie eine Lizenz für Combo Cleaner erwerben. Auf 7 Tage beschränkte kostenlose Testversion verfügbar. Eigentümer und Betreiber von Combo Cleaner ist RCS LT, die Muttergesellschaft von PCRisk.

Schnellmenü:

• Was ist QuimaRAT?
• SCHRITT 1. Manuelle Entfernung der QuimaRAT-Malware.
• SCHRITT 2. Überprüfen Sie, ob Ihr Computer sauber ist.

Wie entfernt man Malware manuell?

Die manuelle Entfernung von Malware ist eine komplizierte Aufgabe - in der Regel ist es am besten, Antiviren- oder Anti-Malware-Programme dies automatisch erledigen zu lassen. Zum Entfernen dieser Malware empfehlen wir die Verwendung von Combo Cleaner Antivirus für Windows.

Wenn Sie Malware manuell entfernen möchten, besteht der erste Schritt darin, den Namen der Malware zu identifizieren, die Sie zu entfernen versuchen. Hier ist ein Beispiel für ein verdächtiges Programm, das auf dem Computer eines Benutzers ausgeführt wird:

Wenn Sie die Liste der auf Ihrem Computer laufenden Programme überprüft haben, beispielsweise mit dem Task-Manager, und ein Programm identifiziert haben, das verdächtig aussieht, sollten Sie mit diesen Schritten fortfahren:

Laden Sie ein Programm namens Autoruns herunter. Dieses Programm zeigt Autostart-Anwendungen, Registrierungs- und Dateisystemstandorte an:

Starten Sie Ihren Computer im abgesicherten Modus neu:

Windows XP- und Windows 7-Benutzer: Starten Sie Ihren Computer im abgesicherten Modus. Klicken Sie auf Start, klicken Sie auf Herunterfahren, klicken Sie auf Neustart, klicken Sie auf OK. Drücken Sie während des Startvorgangs Ihres Computers mehrmals die Taste F8 auf Ihrer Tastatur, bis das Menü mit den erweiterten Windows-Optionen angezeigt wird, und wählen Sie dann Abgesicherter Modus mit Netzwerktreibern aus der Liste.

Video, das zeigt, wie man Windows 7 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Windows 8-Benutzer: Starten Sie Windows 8 im abgesicherten Modus mit Netzwerktreibern - Gehen Sie zum Windows 8-Startbildschirm, geben Sie Erweitert ein, wählen Sie in den Suchergebnissen Einstellungen. Klicken Sie auf Erweiterte Startoptionen, wählen Sie im geöffneten Fenster „Allgemeine PC-Einstellungen" die Option Erweiterter Start.

Klicken Sie auf die Schaltfläche „Jetzt neu starten". Ihr Computer wird nun in das „Menü mit erweiterten Startoptionen" neu gestartet. Klicken Sie auf die Schaltfläche „Problembehandlung" und dann auf die Schaltfläche „Erweiterte Optionen". Klicken Sie im Bildschirm mit den erweiterten Optionen auf „Starteinstellungen".

Klicken Sie auf die Schaltfläche „Neu starten". Ihr PC wird in den Bildschirm Starteinstellungen neu gestartet. Drücken Sie F5, um im abgesicherten Modus mit Netzwerktreibern zu starten.

Video, das zeigt, wie man Windows 8 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Windows 10-Benutzer: Klicken Sie auf das Windows-Logo und wählen Sie das Power-Symbol. Klicken Sie im geöffneten Menü auf „Neu starten", während Sie die „Umschalttaste" auf Ihrer Tastatur gedrückt halten. Klicken Sie im Fenster „Option auswählen" auf „Problembehandlung", wählen Sie anschließend „Erweiterte Optionen".

Wählen Sie im Menü der erweiterten Optionen „Starteinstellungen" und klicken Sie auf die Schaltfläche „Neu starten". Im folgenden Fenster sollten Sie die Taste „F5" auf Ihrer Tastatur drücken. Dadurch wird Ihr Betriebssystem im abgesicherten Modus mit Netzwerktreibern neu gestartet.

Video, das zeigt, wie man Windows 10 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Extrahieren Sie das heruntergeladene Archiv und führen Sie die Datei Autoruns.exe aus.

Klicken Sie in der Autoruns-Anwendung oben auf „Optionen" und deaktivieren Sie die Optionen „Leere Speicherorte ausblenden" und „Windows-Einträge ausblenden". Klicken Sie nach diesem Vorgang auf das Symbol „Aktualisieren".

Überprüfen Sie die von der Autoruns-Anwendung bereitgestellte Liste und suchen Sie die Malware-Datei, die Sie beseitigen möchten.

Sie sollten den vollständigen Pfad und Namen notieren. Beachten Sie, dass einige Malware Prozessnamen unter legitimen Windows-Prozessnamen verbirgt. In dieser Phase ist es sehr wichtig, das Entfernen von Systemdateien zu vermeiden. Nachdem Sie das verdächtige Programm gefunden haben, das Sie entfernen möchten, klicken Sie mit der rechten Maustaste auf dessen Namen und wählen Sie „Löschen".

Nach dem Entfernen der Malware über die Autoruns-Anwendung (dies stellt sicher, dass die Malware beim nächsten Systemstart nicht automatisch ausgeführt wird) sollten Sie auf Ihrem Computer nach dem Malware-Namen suchen. Stellen Sie sicher, dass Sie versteckte Dateien und Ordner aktivieren, bevor Sie fortfahren. Wenn Sie den Dateinamen der Malware finden, stellen Sie sicher, dass Sie sie entfernen.

Starten Sie Ihren Computer im normalen Modus neu. Das Befolgen dieser Schritte sollte jede Malware von Ihrem Computer entfernen. Beachten Sie, dass die manuelle Entfernung von Bedrohungen fortgeschrittene Computerkenntnisse erfordert. Wenn Sie diese Kenntnisse nicht besitzen, überlassen Sie die Entfernung von Malware Antiviren- und Anti-Malware-Programmen.

Diese Schritte funktionieren möglicherweise nicht bei fortgeschrittenen Malware-Infektionen. Wie immer ist es am besten, eine Infektion zu verhindern, anstatt später zu versuchen, Malware zu entfernen. Um Ihren Computer sicher zu halten, installieren Sie die neuesten Betriebssystem-Updates und verwenden Sie Antivirensoftware. Um sicherzustellen, dass Ihr Computer frei von Malware-Infektionen ist, empfehlen wir, ihn mit Combo Cleaner Antivirus für Windows zu scannen.

Häufig gestellte Fragen (FAQ)

Mein Computer ist mit der QuimaRAT-Malware infiziert, sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Das Formatieren entfernt QuimaRAT, löscht aber auch jede Datei auf dem Laufwerk. Ein seriöses Sicherheitstool wie Combo Cleaner sollte zuerst ausprobiert werden, da es die Malware beseitigen kann, ohne Ihre Daten zu zerstören.

Was sind die größten Probleme, die die QuimaRAT-Malware verursachen kann?

QuimaRAT kann Angreifern die vollständige Fernsteuerung eines infizierten Geräts ermöglichen, Passwörter und Sitzungstokens stehlen, Kryptowährungstransaktionen durch Ersetzen der Zwischenablage kapern und zusätzliche Malware verbreiten. Zu den Folgen gehören Identitätsdiebstahl, Finanzbetrug und Verlust des Zugriffs auf Konten.

Was ist der Zweck der QuimaRAT-Malware?

QuimaRAT ist darauf ausgelegt, seinen Betreibern die Fernsteuerung über infizierte Computer zu geben. Es stiehlt außerdem Anmeldedaten und Tokens, leitet Kryptowährungs-Zwischenablageeinträge an die Wallet des Angreifers um und kann als Plattform zur Verbreitung weiterer Malware auf dem System des Opfers dienen.

Wie ist die QuimaRAT-Malware in meinen Computer eingedrungen?

QuimaRAT wird über Darknet-Foren als Abonnementdienst verkauft, sodass die Verbreitungsmethode von dem Betreiber abhängt, der es erwirbt. Zu den gängigen Vektoren gehören Phishing-E-Mails, gefälschte Software-Download-Seiten und gecrackte oder raubkopierte Softwarepakete, die versteckte Payloads enthalten.

Wird Combo Cleaner mich vor Malware schützen?

Ja. Combo Cleaner kann die meisten bekannten Malware-Programme erkennen und entfernen, einschließlich Bedrohungen wie QuimaRAT. Da sich RATs an mehreren Systemstandorten einnisten können, ist die Durchführung eines vollständigen Systemscans der beste Weg, um sicherzustellen, dass keine Komponenten auf Ihrem Gerät verbleiben.