Diese Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium eine Malware-Kampagne, die gesprungene Software verwendet, um den Atomic macOS Stealer (AMOS) zu verteilen. Als Nächstes betrachtet das Team TAG-150, einen sich schnell entwickelnden Bedrohungsakteur, der benutzerdefinierte Malware in ausgeklügelten Phishing- und Remote-Zugriffsvorgängen einsetzt. Abschließend schließen wir mit einem Überblick über die GPUGate-Malware-Kampagne ab, die sich an IT-Unternehmen in Westeuropa richtet.
AMOS Stealer-Kampagne zielt auf macOS ab
Trend Micro hat kürzlich eine Malware-Kampagne analysiert , die gesprungene Software verwendet, um AMOS zu verteilen und sensible Benutzerdaten einschließlich Zugangsdaten, Krypto-Wallets und Systemdateien zu exfiltrieren.
Laut Trend Micro verwenden die Angreifer betrügerische macOS-Terminalbefehle und rotierende Domänen, um Sicherheitsmaßnahmen zu umgehen und die Persistenz auf infizierten Systemen aufrechtzuerhalten.
Übersicht AMOS-Kampagne
In dieser Kampagne richten sich Angreifer an macOS-Benutzer mit gefälschten oder „gekrackten“ Anwendungen. Opfer werden dazu verleitet, ein Installationsprogramm für die gewünschte Anwendung herunterzuladen, das die AMOS-Malware bereitstellt.
In einigen Fällen werden Benutzer aufgefordert, Befehle direkt in ihr Terminal zu kopieren und einzufügen, um die Malware auszulösen. Trend Micro weist darauf hin, wie diese Angreifer rotierende URLs und Domänen verwenden, sodass sich die Domain und der Downloadbefehl bei jedem Besuch ändern, um der Erkennung zu entgehen.
AMOS-Infektionskette und -abgabe
- Der Angreifer erhält Zugriff auf das System über gefälschte Anwendungsdownloads, die letztendlich das Opfer zur Landingpage für AMOS führen.
- Das Opfer sieht eine Option zum Herunterladen für macOS oder Anweisungen zum Ausführen eines Befehls. In beiden Fällen wird ein bösartiges Installationsskript ausgeführt.
- Dieses Skript lädt eine AppleScript-Datei herunter und konfiguriert einen LaunchDaemon, um das Skript kontinuierlich auszuführen, bis sich der Benutzer anmeldet.
- Wenn sich der Benutzer anmeldet, wird die ausgeblendete Binärdatei ausgeführt, um die Persistenz herzustellen. Dieses Skript sammelt Daten, einschließlich Benutzername und Passwort, Browserdaten, Keychain-Daten und vieles mehr, komprimiert sie auf eine ZIP und exfiltriert sie.
Erkenntnisse aus MDR
Das Managed Detection and Response (MDR)-Team von Trend Micro beobachtete die Abfolge von Ereignissen, beginnend mit verdächtigen Prozessaktivitäten, Berechtigungsdiebstahlaufgaben und Datenexfiltration. Dies ermöglichte eine gründlichere Untersuchung.
Die erste Warnung, die sie beobachtet haben, hat die Extraktion von Anmeldedaten aus Webbrowsern erkannt und die SQLite-Datei für Anmeldedaten von Chrome kopiert, die Anmeldeinformationen speichert. Die zweite Warnung war für ein Skript, um Daten einschließlich Browser-Anmeldeinformationen und Dateien von gängigen Browsern zu stehlen. Dies sammelte auch Systemprofilerinformationen.
Erster Zugriff
Trend Micro stellte fest, dass AMOS als Download von gesprungener Software an das Gerät geliefert wurde, da viele der betroffenen Benutzer dieselbe Website mehrmals besucht hatten, die verschiedene gefälschte Softwareanwendungen speziell für macOS gehostete.
Die betroffenen Benutzer hatten „CleanMyMac“ auf ihren Computern gesucht und heruntergeladen. Durch Klicken auf die Schaltfläche Download gelangten Benutzer zur AMOS-Zielseite. Nach dem Klicken wurden Benutzer weitergeleitet und das Weiterleitungsziel ändert sich mit jedem Besuch zusammen mit der URL, die in den Befehl eingebettet ist.
Wie Opfer AMOS installieren
Opfer haben zwei Möglichkeiten, AMOS zu installieren. Die erste Methode besteht darin, auf die Download-Schaltfläche zu klicken, die eine .dmg-Datei zusammen mit den Installationsanweisungen lädt. Die andere Methode bittet das Opfer, einen bösartigen Befehl zu kopieren, einzufügen und auszuführen.
- Für die erste Methode wird Installer_v.2,13.dmg heruntergeladen und die Versionsnummer ändert sich. Die Datei zeigt Anweisungen für das Opfer an, mit der rechten Maustaste zu klicken und sie zu öffnen. Trend Micro stellt fest, dass Gatekeeper in diesem Fall aufgrund der laufenden Version von macOS intervenierte und die Malware blockierte, bevor sie ihre Kompromittierung abschließen konnte.
- Die zweite Methode, die eine bessere Erfolgsrate hat, bittet die Opfer, einen Befehl direkt auszuführen. Wenn dies ausgeführt wird, wird AMOS auf dem Host installiert. Das Opfer wird dann mit einem Feld „Systemeinstellungen“ aufgefordert, in dem es aufgefordert wird, sein Passwort wiederholt einzugeben, bis das richtige Passwort eingegeben wird. Ein zusätzliches Skript überprüft dann, ob es in einer virtualisierten Umgebung ausgeführt wird, und beendet, wenn ja. Nach diesen Überprüfungen wird die Malware Daten exfiltrieren, Persistenz herstellen und Terminalfenster ausblenden und Systemdateien und Apps manipulieren.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Die Verwendung von gesprungener Software als Liefervektor ist eine Erinnerung daran, dass Bedrohungsakteure häufig Bequemlichkeit nutzen, was es für Unternehmen unerlässlich macht, den Zugriff auf unbefugte Software-Repositorys zu überwachen und einzuschränken.
Die breiten Datendiebstahlfunktionen der AMOS-Malware spiegeln einen wachsenden Trend bei gezielter Malware von macOS wider. Darüber hinaus zeigt die Verwendung rotierender Domains und verschleierter Skripte durch die Angreifer ein hohes Maß an operativer Agilität, was die traditionelle signaturbasierte Erkennung unzureichend macht und den Wert der verhaltensbasierten Bedrohungserkennung hervorhebt.
TAG-150 setzt neue CastleRAT-Malware ein
Ein kürzlich veröffentlichter Bericht von Recorded Future beschreibt TAG-150, ein sich schnell entwickelnder Bedrohungsakteur. Dieser Akteur hat eine mehrstufige Infrastruktur und eine Reihe von benutzerdefinierter Malware entwickelt, einschließlich des neu entdeckten CastleRAT, um anspruchsvolle Phishing- und Remote-Zugriffsoperationen durchzuführen.
Wie Record Future erklärt, nutzen ihre Kampagnen betrügerische Taktiken und ein breites Toolset, um Opfer anzusprechen und sich aktiv an öffentliche Exposition und defensive Maßnahmen anzupassen.
Wer ist TAG-150?
Recorded Future verwendet TAG-150, um sich auf den Akteur zu beziehen, der mit der „Entwicklung und Verwendung der Malware-Familien CastleLoader, CastleBot und in jüngerer Zeit CastleRAT“ verknüpft ist.
Recorded Future beobachtet seit TAG-150 März 2025. Laut ihrer Recherche beginnen viele der Infektionen mit ClickFix-Attacken oder gefälschten GitHub-Repos, die als legitime Anwendungen vorgeben. Es wird davon ausgegangen, dass die Gruppe ein MaaS-Modell (Malware-as-a-Service) betreibt, um eine Reihe von Nutzlasten der zweiten Stufe bereitzustellen.
Analyse der TAG-150-Infrastruktur
Aufgezeichnete Zukunft teilte Details der mehrstufigen Infrastruktur des Schauspielers mit:
- Tier 1: Die Tier 1-Infrastruktur enthält mehrere C2 Server für verschiedene Malware-Familien wie CastleLoader, CastleRAT und andere. Diese Server werden über Tier 2 -Server verwaltet.
- Tier 2: Tier 2 besteht aus VPS-Servern, von denen angenommen wird, dass sie „als Vermittler zwischen opferseitigen Tier-1-Servern und der Tier- 3 -Infrastruktur“ funktionieren. Der Akteur ist bekannt, dass er auf diese Server über RDP zugreift, bevor er sich mit den Tier-1-Servern verbindet. In vielen Fällen beobachtete Recorded Future den Akteur, der Tier 2 umging und sich von der Tier 3 -Infrastruktur mit Tier 1-Servern verbindet.
- Tier 3: In Tier 3 identifizierten Forscher VPS-Server, die alle dasselbe TLS-Zertifikat verwendeten, wobei einer wahrscheinlich als Hub fungierte. Sie identifizierten auch eine russische IP-Adresse für Wohngebäude, die mit Servern sowohl in Tier 1 als auch in Tier 2 kommunizierte, was ihrer Meinung nach die Arbeit eines zweiten Betreibers sein könnte.
- Tier 4: Der Hauptserver von Tier 3 kommuniziert mit einem potenziellen Backup-Server in Tier 4. Die Kommunikation erfolgte über eine „anhaltende High-Port-zu-High-Port-UTP-Sitzung über mehrere Wochen“.
Python- und C-Varianten von CastleRAT
Die CastleRAT-Malware hat sowohl eine Python-Variante als auch eine C-Variante. Beide Varianten verwenden ein benutzerdefiniertes binäres Protokoll, fragen eine Geolocation-API ab, laden ausführbare Dateien herunter und bieten Remote-Shell-Funktionen.
Laut Recorded Future wird die C-Variante der Malware mit einem Keylogger, Clipper, Funktionen für Bildschirmerfassung, Dateimanipulation, Shell-Befehlen und mehr geliefert.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Die operative Agilität von TAG-150’s zeigt sich in seiner schnellen Malware-Iteration und Infrastrukturanpassung, was darauf hindeutet, dass die Gruppe sowohl gut ausgestattet als auch technisch leistungsfähig ist.
Ihre Verwendung einer mehrstufigen Infrastruktur und benutzerdefinierter Malware wie CastleRAT spiegelt einen Wechsel von den Standardwerkzeugen zu benutzerdefinierten Lösungen wider, was darauf hindeuten könnte, dass diese Gruppe gereift ist.
GPUGate zielt auf IT-Unternehmen in Westeuropa ab
Laut Arctic Wolf verwendet die GPUGate-Malware-Kampagne Google Ads und GitHub-Commit-Links, um IT-Experten dazu zu verleiten, ein trojanisiertes GitHub Desktop-Installationsprogramm herunterzuladen, das ausschließlich auf Systemen mit echten GPUs aktiviert wird und der traditionellen Sandbox-Erkennung entgeht.
Die Analyse von Arctic Wolf zeigt auch fortschrittliche Ausweichtechniken auf. Die Angreifer verfügen über native russische Sprachkenntnisse und zielen auf Westeuropa mit einem hochselektiven und heimlichen Ansatz ab.
GPUGate-Anfangsinfektionsvektor
Der Angriff beginnt mit Malvertising und verwendet eine gesponserte Google Ad oben in den Google-Suchergebnissen, die wie eine legitime Website für den GitHub-Desktop aussieht.
Der Akteur hat einen Commit in einem legitimen GitHub-Repository erstellt und dann das README so modifiziert, dass es bösartige Download-Links enthielt. Arctic Wolf stellt fest, dass ein Akteur den bösartigen Hash in die URL der Seite einbetten könnte, sodass eine Seite angezeigt wird, die genauso aussieht wie das ursprüngliche Repository, aber wobei das README die bösartigen Links enthält.
Die Seite zeigt legitime Daten an, da der Commit real ist, was es den Opfern erschwert, ihn als bösartig zu identifizieren. Der „nur Hinweis, dass die Seite eine einzelne Commit-Ansicht ist, ist ein kleines Banner oben, das angibt, dass der Besucher einen bestimmten Commit ansieht, anstatt die Standardverzweigung des Repositorys.“ Der Angreifer geht noch einen Schritt weiter, indem er einen Anker zum Link hinzufügt, sodass das Opfer zum Ende der Commit-Seite geführt wird, auf der sich der bösartige Inhalt befindet.
Die bösartigen Download-Links entfernen das Opfer von GitHub zu einer bösartigen Gitpage[.]app.
Zweite Stufe: GitHubDesktopSetup-x64.exe
Die Malware wird als GitHubDesktopSetup-x64.exe heruntergeladen. Die Datei ist groß, um mit dem tatsächlichen GitHub Desktop-Installationsprogramm übereinzustimmen.
Der Ersteller der Malware bearbeitete auch den Header der Malware, um die Dateiextraktion zu verhindern. Die MSI-Datei enthält 171 ausführbare Dateien, von denen die meisten gutartige Dateien sind, um die Analyse zu erschweren. Arctic Wolf stellt jedoch fest, dass mindestens eine bösartig ist.
Die Malware führt Überprüfungen durch, um Geräte auszuschließen, die nicht den Hardwareanforderungen entsprechen, die sie festgelegt hat. Eine solche Überprüfung betrachtet die Länge des Gerätenamens, da VMs oft kürzere oder generische Namen haben, während legitime GPUs typischerweise längere haben.
GPUGate-Funktionen
Arctic Wolf nennt einige der bemerkenswerteren Funktionen von GPUGate:
- Für die verdeckte Ausführung startet PowerShell mit bestimmten Parametern, um Fenster vor dem Benutzer auszublenden und Ausführungsrichtlinien zu umgehen.
- Um die Persistenz herzustellen, erstellt sie eine geplante Aufgabe, die beim Neustart gestartet wird.
- Bei der Verteidigungshinterziehung schließt sie Malware-Speicherorte von Defender vom Scannen aus, sodass ihre bösartigen Komponenten nicht identifiziert werden.
- Für C2 verwendet es mehrere redundante Domänen und IP-Adressen, sodass es auch dann weiter betrieben werden kann, wenn eine heruntergefahren wird.
Die Malware sammelt und exfiltriert sensible Daten aus lokalen Dateisystemen. Arctic Wolf stellt fest, dass GPUGate möglicherweise in der Lage ist, Ransomware bereitzustellen und Sicherungsdateien in und Systemwiederherstellungsoptionen zu löschen.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
GPUGate benötigt einen echten Grafikprozessor für die Entschlüsselung und markiert eine Verschiebung hin zu umweltbewusster Malware, wodurch traditionelles Sandboxing und automatisierte Analysen viel weniger effektiv sind.
Diese Kampagne richtet sich nicht nur an Systeme mit GPUs, sondern auch an Benutzer, die wahrscheinlich über erhöhte Berechtigungen verfügen. Dies impliziert ein gewisses Maß an Profiling vor dem Angriff, das Teil einer breiteren Angriffsstrategie sein könnte.
Während ihrer Recherche beobachtete Arctic Wolf, dass einer der von Angreifern kontrollierten Standorte auch dem macOS AMOS-Stealer diente. Die potenzielle Verbindung zu AMOS erhöht diese Bedrohung.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium , um ein Gespräch zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
