In dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit „Astaroth“, einem hochentwickelten Banking-Trojaner, der auf Nutzer in Südamerika abzielt. Unser Team berichtet zudem über den aktuellen Stand zu „ TA585“, einem hochentwickelten Angreifer, der seine gesamte Angriffskette selbst steuert und häufig die Malware „ MonsterV2 “ einsetzt. Abschließend untersuchen wir, wie Angreifer das vertrauenswürdige Markenimage von Microsoft bei ausgeklügelten Betrugsmaschen im Bereich des technischen Supports ausnutzen.
Der Astaroth-Trojaner nutzt GitHub zum Hosten von Malware-Konfigurationen
McAfee veröffentlicht unter Einzelheiten zu „Astaroth“, einem ausgeklügelten Banking-Trojaner, der Anmeldedaten durch Keylogging stiehlt, wenn Nutzer auf Banking- oder Kryptowährungs-Websites zugreifen.
Was diese Variante besonders widerstandsfähig macht, ist ihre „ “-Nutzung von GitHub-Repositorys , um Malware-Konfigurationen zu hosten und die Abschaltung herkömmlicher Command-and-Control-Server (C2) zu umgehen.
Die Phishing-E-Mail von Astaroth
Dieser Angriff beginnt mit einer Phishing-E-Mail mit dem Betreff „ “ ( ), die einen Link enthält, über den beim Anklicken eine ZIP-Datei heruntergeladen wird. Laut McAfee beziehen sich die Köder in diesen E-Mails häufig auf DocuSign-Links und Lebensläufe.
Die heruntergeladene ZIP-Datei enthält eine LNK-Datei, die wiederum einen verschleierten JavaScript-Befehl enthält. McAfee berichtet, dass jeder Link geografisch beschränkt ist.
Das heruntergeladene JavaScript lädt mehrere Dateien von einem zufällig ausgewählten Server herunter. Zu den heruntergeladenen Dateien gehören ein kompiliertes AutoIt-Skript, ein AutoIt-Interpreter, eine verschlüsselte Nutzlast sowie eine verschlüsselte Malware-Konfiguration. JavaScript führt das AutoIt-Skript aus, um den Shellcode in den Arbeitsspeicher zu laden.
Nutzlastanalyse
Astaroth ist die Nutzlast dieser Kampagne. Die Malware wurde in Delphi programmiert und fährt das System herunter, wenn sie den Eindruck gewinnt, analysiert zu werden. Das Programm überprüft, ob bestimmte Tools auf dem System vorhanden sind, stellt sicher, dass die Systemlokalisierung auf die USA ausgerichtet ist, und überprüft kontinuierlich, ob Browser geöffnet sind. Die Malware fängt Tastaturereignisse ab und erfasst Tastenanschläge, sobald sie feststellt, dass eine Website im Zusammenhang mit Online-Banking oder Kryptowährungen geöffnet wird.
C2 Kommunikation und Infrastruktur
Die gestohlenen Anmeldedaten werden über ein benutzerdefiniertes binäres Protokoll an den Server C2 des Angreifers gesendet.
McAfee weist darauf hin, dass die Konfiguration alle zwei Stunden aktualisiert wird. Diese Aktualisierung erfolgt, indem „eine Bilddatei von den URLs für die Konfigurationsaktualisierung abgerufen und die darin enthaltene versteckte Konfiguration extrahiert wird“. Die Konfigurationsdatei ist aufgrund des Formats, in dem sie gespeichert ist, ausgeblendet. McAfee hat mehrere GitHub-Repositorys identifiziert, die Bilddateien mit demselben Muster enthielten; diese wurden inzwischen alle entfernt.
Um eine dauerhafte Präsenz zu gewährleisten, legt Astaroth eine LNK-Datei ab, die beim Systemstart ausgeführt wird und das AutoIt-Skript startet, um die Malware beim Systemstart zu aktivieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Angreifer nutzen zunehmend vertrauenswürdige Plattformen aus, um einer Entdeckung zu entgehen. Dieser bestimmte Akteur unternimmt zusätzliche Schritte, um seine Malware in den normalen Datenverkehr einzubinden, indem er Daten in Bilder einbettet, was es den Sicherheitsverantwortlichen erschwert, Anomalien zu erkennen.
Dies ist derzeit sehr maßgeschneidert und zielgerichtet und schließt Systeme mit US-bezogenen Ländereinstellungen ausdrücklich aus, obwohl die dabei verwendeten Techniken weltweit anwendbar sind.
TA585 verbreitet MonsterV2 Malware-Programme in Phishing-Kampagnen
Proofpoint hat kürzlich die Forschungs -Report über „TA585“ veröffentlicht, einen raffinierten Angreifer, der seine gesamte Angriffskette selbst steuert und häufig die leistungsstarke Malware „ MonsterV2 “ einsetzt, um Zugangsdaten zu stehlen, Überwachungsmaßnahmen durchzuführen und zusätzliche Schadcodes zu verbreiten.
Laut Proofpoint nutzt TA585 irreführende Köder, fortgeschrittene Social-Engineering-Methoden sowie Infrastrukturen wie ClickFix und CoreSecThree, um einer Entdeckung zu entgehen und die Wirkung zu maximieren.
Details zur Kampagne
TA585 verbreitet Malware in der Regel über manipulierte Websites, auf denen dem Opfer häufig ein gefälschtes CAPTCHA angezeigt wird. Führt das Opfer das kopierte Skript aus, wird die Schadsoftware daraufhin heruntergeladen.
Proofpoint stellte zudem fest, dass die Malware-Payloads des Akteurs über E-Mails statt über gefälschte CAPTCHA-Seiten verbreitet wurden. Bei diesen E-Mails handelte es sich in erster Linie um Benachrichtigungen von GitHub, in denen der Angreifer GitHub-Nutzer in gefälschten Sicherheitsmitteilungen markierte. Auch andere Forscher haben beobachtet, dass der Akteur Malware über Malvertising verbreitet.
Weitere CAPTCHA-Bedrohungen in den
NachrichtenIn den vergangenen Monaten haben sich CAPTCHA-bezogene Bedrohungen weiterentwickelt: Sie sind immer raffinierter geworden und werden zunehmend in Phishing-Angriffe, die Verbreitung von Malware sowie Kampagnen zum Diebstahl von Zugangsdaten integriert.
Hier sind vier bemerkenswerte Berichte aus unseren jüngsten Untersuchungen:
1. Das Comeback von ClickFix: Erhalten Sie eine detaillierte Analyse zum Wiederauftreten von ClickFix in Kampagnen mit hochentwickelten Bedrohungen, bei denen CAPTCHA zur Verschleierung und Aufrechterhaltung der Präsenz ausgenutzt wird.
2. Die „ClickFix“-Kampagne missbraucht CAPTCHAs: Erfahren Sie, wie Angreifer in sich weiterentwickelnden Kampagnen Techniken zur Umgehung von CAPTCHAs einsetzen.
3. Gefälschte CAPTCHA-Seiten in UNC5518 Kampagnen: Erfahren Sie, wie UNC5518 CORNFLAKE.V3 in Verbindung mit ClickFix zur Verschleierung einsetzt.
4. CAPTCHA in durch KI verschleierten Phishing-en: Erfahren Sie, wie CAPTCHA dazu genutzt wird, Phishing-Angriffe und die Verbreitung von Malware zu verschleiern.
Über MonsterV2 Malware-Programme
MonsterV2 fungiert sowohl als Datendieb als auch als Loader und installiert häufig zusätzliche Schadsoftware wie beispielsweise StealC. Auch andere Akteure setzen die Malware „ MonsterV2 “ ein. Proofpoint stieß erstmals auf „ MonsterV2 “ im Rahmen der „Februar 2025 “, als das Unternehmen diese in einer Kampagne entdeckte, bei der Köder im Zusammenhang mit der IRS zum Einsatz kamen.
Laut Proofpoint verfügt die Malware über verschiedene Funktionen, darunter die Fähigkeit, Anmeldedaten, Tokens, Browserdaten, Dateien usw. zu erfassen und abzusaugen. Es kann zudem die Webcam des Opfers aufzeichnen, den Desktop einsehen, verfügt über Clipper-Funktionen, kann weitere Payloads herunterladen und ausführen sowie vieles mehr. Proofpoint stellte zudem fest, dass die Malware eine Infektion von GUS-Staaten vermeidet. Die Malware wird aktiv gepflegt und aktualisiert.
Bei der Initialisierung versucht die Malware, ihre Berechtigungen zu erweitern und anschließend einen Mutex auf dem System zu erstellen. Anschließend entschlüsselt und entpackt es seine Konfigurationsdatei und stellt eine Verbindung zu einer Domain her, um die IP-Adresse und den Standort des infizierten Systems zu ermitteln, bevor es eine Verbindung zu seinem C2 -Server herstellt.
MonsterV2 und der SonicCrypt-Crypter
Proofpoint hat festgestellt, dass die Malware „ MonsterV2 “ in der Regel mit dem SonicCrypt-Crypter verpackt wird. Von SonicCrypt verpackte Malware enthält absichtlich eine große Menge an unbrauchbarem Code, um die Analyse zu erschweren. Bevor SonicCrypt seine Nutzlast lädt, führt es einige Anti-Analyse-Prüfungen durch, schreibt diese anschließend in eine Datei auf der Festplatte und führt die Nutzlast aus.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
TA585 meidet die GUS-Staaten und nutzt Geofencing bei der Verbreitung von Malware, was auf regionale Allianzen oder den Versuch hindeuten könnte, den lokalen Strafverfolgungsbehörden auszuweichen.
Die vollständige Kontrolle des Akteurs über seine Angriffsinfrastruktur – von der Auslieferung bis zur Nutzlast – verdeutlicht eine interessante Entwicklung, bei der der Akteur bestrebt ist, seine Abhängigkeit von Drittanbieterdiensten zu verringern. Dies unterscheidet sich vom aktuellen Trend, bei dem Akteure Dienste von Drittanbietern nutzen, um sich unauffällig zu verhalten.
Angreifer nutzen das Microsoft-Logo für Betrugsmaschen im Bereich des technischen Supports aus
Laut Cofense nutzen Angreifer das vertrauenswürdige Markenimage von Microsoft aus, um ausgeklügelte Betrugsmaschen im Bereich des technischen Supports durchzuführen.
Der Angriff beginnt mit einer E-Mail, die mit Zahlungsaufforderungen lockt. Die Opfer werden über ein gefälschtes CAPTCHA auf eine Seite weitergeleitet, die den Browser blockiert und mit betrügerischen Microsoft-Sicherheitswarnungen überflutet ist, wodurch die Nutzer dazu gedrängt werden, eine gefälschte Support-Nummer anzurufen. Sobald die Verbindung hergestellt ist, versuchen die Angreifer, Zugangsdaten zu erlangen oder Fernzugriffstools zu installieren.
Dieser Betrugsversuch ähnelt anderen, die derzeit im Umlauf sind. Dieser Betrugsversuch kombiniert jedoch Social Engineering mit gefälschten Systemwarnungen und UI-Overlays, was ihn noch umfassender und gefährlicher macht.
Übersicht über den Angriff
Die E-Mail im Rahmen dieser Kampagne nutzt typische Betrugsmaschen im Zusammenhang mit finanziellen Gewinnen und Bankgeschäften, um Opfer anzulocken. Die E-Mail gibt vor, es handele sich um eine Rückerstattung oder Zahlung einer Autovermietung, und fordert den Empfänger auf, seine E-Mail-Adresse zu bestätigen, um den Betrag zu erhalten.
Wenn das Opfer auf die Schaltfläche klickt, um seine E-Mail-Adresse zu bestätigen, wird es auf eine gefälschte CAPTCHA-Seite weitergeleitet, um eine Verifizierung durchzuführen. Nachdem bestätigt wurde, dass es sich um einen Menschen handelt, wird das Opfer erneut auf die eigentliche Zielseite weitergeleitet. Auf dieser Landingpage geht die Kampagne über herkömmliche Betrugsmethoden hinaus.
Sobald sich das Opfer auf der Zielseite befindet, werden ihm mehrere Pop-up-Fenster angezeigt, die vorgeben, Sicherheitswarnungen von Microsoft zu sein. Der Browser wird so manipuliert, dass er scheinbar gesperrt ist, und der Benutzer kann seine Maus weder lokalisieren noch steuern. Diese Sperre ist eine Täuschung und lässt sich ganz einfach umgehen, indem Sie die ESC-Taste gedrückt halten.
Der Angriff nutzt die Vertrautheit mit der Marke, dem Logo, der Terminologie und dem Stil der Benachrichtigungen von Microsoft aus, um das Opfer dazu zu verleiten, die gefälschte Telefonnummer des Microsoft-Supports anzurufen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne simuliert einen Ransomware-Angriff, indem sie den Browser „sperrt“ und die Opfer dazu zwingt, in Panik zu geraten und übereilte Entscheidungen zu treffen. Zudem nutzt die Seite das Microsoft-Branding, um das über Jahre hinweg aufgebaute Vertrauen der Nutzer auszunutzen, sowie ein gefälschtes CAPTCHA, um den Nutzer noch stärker davon zu überzeugen, dass es sich um eine legitime Aktivität handelt.
Daher hat diese Kampagne das Potenzial, erfolgreicher zu sein als herkömmliche Betrugsmaschen im Bereich des technischen Supports.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
