Den Auftakt in unserem dieswöchigen Überblick über Cyber Threat Intelligence (CTI) bildet ein Blick auf „DarkCloud“, eine sich rasch weiterentwickelnde Malware zum Diebstahl von Informationen, die ausgefeilte Umgehungstechniken und die Exfiltration über mehrere Kanäle einsetzt, um gezielt sensible Daten zu entwenden, darunter Anmeldedaten, Krypto-Wallets und Benutzerdateien.
Anschließend befasst sich das CTI-Team von Tanium mit dem neu gegründeten Bündnis zwischen LAPSUS$, ShinyHunters und Scattered Spider, das als „Trinity of Chaos“ bezeichnet wird.
Abschließend geben wir einen Überblick über die jüngsten Änderungen und Aktualisierungen der WARMCOOKIE-Malware.
Die Malware „DarkCloud“ zielt auf sensible Daten ab
Ein kürzlich veröffentlichter Beitrag von eSentire mit dem Titel „ “ beleuchtet neue Funktionen der Malware „DarkCloud Infostealer“, darunter die Erkennung von Sandbox-Umgebungen, die „VB6-based “-Verschlüsselung sowie die Verbreitung mittels Phishing.
Laut eSentire zielt DarkCloud „auf Browser-Passwörter, Kreditkartendaten, Cookies, Tastenanschläge, FTP-Zugangsdaten, den Inhalt der Zwischenablage, E-Mail-Clients, Dateien und Kryptowährungs-Wallets ab“. Die Analyse fordert Unternehmen dazu auf, ihre E-Mail-Sicherheit sowie ihre Endpunkt-Schutzmaßnahmen im Rahmen von „ “ zu verstärken:.
Die Phishing-Kampagne von DarkCloud
Im September identifizierte die Threat Response Unit (TRU) von eSentire eine Spear-Phishing-Kampagne, die auf einen Kunden aus der Fertigungsindustrie abzielte und darauf ausgelegt war, DarkCloud zu installieren. Diese Phishing-E-Mails unter dem Titel „ “ ( ) enthalten eine Betreffzeile mit Bankbezug, einen Text, der einer legitimen Nachricht eines Finanzinstituts ähnelt, sowie einen ZIP-Anhang, der angeblich eine Bestellnachricht vom Partner des Empfängers enthält.
Wie „DarkCloud“ vertrieben wird
DarkCloud wurde zuvor über ein inzwischen nicht mehr existierendes Hackerforum verbreitet. eSentire hat inzwischen festgestellt, dass die Malware über Telegram und eine betrügerische Website beworben wird, die von den Betreibern der Malware unterhalten wird und einen seriösen Softwareanbieter imitiert.
Diese Website enthält eine Liste der betroffenen Anwendungen, darunter Webbrowser, E-Mail-Clients und VPN-Tools. Darüber hinaus werden viele Funktionen der Malware beschrieben, darunter ein intelligenter Logger, ein Web-Panel, ein File-Grabber und vieles mehr.
DarkCloud-Analyse
In dem Bericht liefert eSentire folgende Einzelheiten zur DarkCloud-Malware:
- Der DarkCloud-Malware-Builder verlangt von seinen Nutzern bzw. Betreibern, die VB6 IDE zu installieren, um „den Malware-Stub aus lokal bereitgestelltem VB6 Quellcode zu kompilieren“. Dadurch entsteht eine Sicherheitslücke, die die Wahrscheinlichkeit erhöht, dass sich nicht autorisierte Versionen verbreiten.
- Die neueste Version, v4,2, erfasst Systeminformationen über WMI-Abfragen und verwendet ein VBScript-Objekt, um gestohlene Kreditkartennummern dem entsprechenden Kartentyp zuzuordnen. Zudem ruft es Kontakte von den Computern der Opfer für Thunderbird und andere E-Mail-Clients ab.
- Um eine Erkennung zu umgehen, gleicht die Malware laufende Prozesse mit einer Blacklist aus Teilzeichenfolgen ab und beendet sich, sobald eine Sandbox erkannt wird. Es wird außerdem beendet, wenn weniger als 50 Prozesse ausgeführt werden, und es wird nach bestimmten Dateien gesucht, die auf eine virtuelle Umgebung hinweisen. Zur Persistenz nutzt DarkCloud den Registrierungsschlüssel „RunOnce“.
- DarkCloud sammelt Dateien innerhalb einer definierten Liste von Pfaden und Dateiendungen. Zudem zielt die Malware auf Krypto-Wallets ab. eSentire hat festgestellt, dass DarkCloud Exfiltrationsmethoden wie SMTP, Telegram, FTP und Web Panel unterstützt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Verwendung von „ VB6 “ durch DarkCloud für die Verschlüsselung und Ausführung ist eine raffinierte Anspielung auf die Vergangenheit. Es nutzt veraltete Technologien, um moderne Erkennungsmechanismen zu umgehen, was deutlich macht, wie wichtig es für die Verteidiger ist, den Überblick sowohl über alte als auch über neue Bedrohungsvektoren zu behalten.
Die auf mehreren Kanälen basierende Datenexfiltrationsstrategie der Malware verdeutlicht, wie Angreifer ihre Methoden zum Datendiebstahl diversifizieren, um herkömmliche Netzwerküberwachungstools zu umgehen.
eSentire hat zwei Tools unter entwickelt, um Sicherheitsforschern zu helfen, darunter eines, das die Malware-Konfiguration von DarkCloud extrahiert, sowie ein „IDA-Skript auf Python-Basis, das verschlüsselte Zeichenfolgen entschlüsselt und in IDA Pro mit Kommentaren versieht“.
Die neue Allianz „Trinity of Chaos“ nimmt wichtige Sektoren ins Visier
Laut einem Bericht von Resecurity treibt eine neu gegründete Allianz zwischen LAPSUS$, ShinyHunters und Scattered Spider eine weltweite Welle von Cyberkriminalität voran, die sich gegen wichtige Branchen wie Fluggesellschaften, den Einzelhandel und die Telekommunikation richtet.
Diese Zusammenarbeit markiert einen Wandel hin zu einem dynamischen, von Jugendlichen geprägten Ökosystem der Cyberkriminalität, in dem Ransomware, Datendiebstahl und psychologische Manipulation miteinander verschmelzen. Es wurde festgestellt, dass die Gruppe sowohl ausgefeilte Social-Engineering- als auch Erpressungstaktiken einsetzt.
Wie LAPSUS$, Scattered Spider und ShinyHunters zusammenarbeiten
LAPSUS$, Scattered Spider und ShinyHunters sind drei berüchtigte Gruppen, die jeweils eigene Erfolge verbuchen konnten. Jede Gruppe hat sich eigenständig herausgebildet, doch die Forscher ermitteln nun Verbindungen, Überschneidungen und Formen der Zusammenarbeit zwischen ihnen.
Unter August 2025 wurde ein Telegram-Kanal entdeckt, der das Branding und die Mitglieder der drei Gruppen vereint. Dieser Kanal wurde genutzt, um mit Datenlecks zu locken und ein neues „Ransomware-as-a-Service“ (RaaS)-Angebot zu vermarkten. ShinyHunters hatte zuvor bestätigt, dass „ “ („Scattered Spider“ ) ihnen ersten Zugriff auf verschiedene Ziele gewährt habe, wobei davon ausgegangen wird, dass auch LAPSUS$ an dieser neuen Allianz beteiligt ist.
Diese drei Gruppen stehen in Verbindung mit dem englischsprachigen Ökosystem der Cyberkriminalität, das als „The Com“ bezeichnet wird. Dabei handelt es sich um ein „locker organisiertes Netzwerk, das eher wie eine Jugendbewegung der Cyberkriminalität funktioniert und ein breites, sich ständig veränderndes Spektrum an Akteuren umfasst, hauptsächlich Teenager und 20somethings.“
Überschneidungen bei Methoden und Mitgliedschaft
Die Gruppen sind bekannt für ihren fortgeschrittenen Einsatz von Social Engineering , insbesondere für Vishing, Phishing und das Vortäuschen einer Identität als IT-Support.
Zudem weisen sie Überschneidungen bei den Techniken für SIM-Swapping, MFA-Umgehung, Datendiebstahl und Zielauswahl auf. In jüngster Zeit haben die Gruppen gemeinsam Organisationen in bestimmten Branchen ins Visier genommen.
Resecurity ist der Ansicht, dass diese sich überschneidenden Taktiken, Techniken und Vorgehensweisen (TTPs) sowie die Verbindungen auf eine gewisse operative Überschneidung oder gemeinsam genutzte Ressourcen hindeuten.
Jüngste Aktivitäten
Die jüngste Aktion dieses Trios ist der Angriff auf Jaguar Land Rover. Zu den jüngsten weiteren Aktivitäten zählen Angriffe auf Fluggesellschaften, Einzelhandelsunternehmen, Telekommunikationsunternehmen und Strafverfolgungsbehörden.
ShinyHunters und ihre Komplizen sind wahrscheinlich auch für die jüngsten Angriffe auf und Salesforce verantwortlich. Bei diesen Angriffen wurden OAuth-Token von missbraucht, um Zugriff auf Salesforce-Umgebungen zu erlangen. Infolge der Angriffe veröffentlichten die Täter mehrere Datensätze, die die Ausnutzung zahlreicher globaler Fortune- 100 -Unternehmen bestätigten.
Der Bericht von Resecurity enthält unter weitere Einzelheiten zu den einzelnen Angriffen sowie unter Informationen für alle, die sich eingehender mit dem Thema befassen möchten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Das Zusammenschließen von LAPSUS$, ShinyHunters und Scattered Spider deutet auf eine gefährliche Entwicklung in der Cyberkriminalität hin, bei der sich traditionelle Gruppengrenzen auflösen und stattdessen agile, kooperierende Ökosysteme entstehen, die Angriffe branchenübergreifend rasch ausweiten können.
Die Vorliebe der Allianz für Cloud-Plattformen wie Salesforce und Snowflake unterstreicht die wachsende Bedrohung, bei der Akteure nicht mehr nur Endgeräte oder Netzwerke ins Visier nehmen, sondern das Rückgrat der Unternehmensinfrastruktur. Ihr Einsatz von gamifizierten Erpressungs- und Taktiken zur Einbindung der Öffentlichkeit spiegelt zudem eine Verlagerung hin zur psychologischen Kriegsführung wider, bei der soziale Medien und die öffentliche Stimmung genutzt werden, um Druck auf die Opfer auszuüben und die Wirkung zu verstärken.
Jüngste Aktivitäten in Foren zur Cyberkriminalität deuten darauf hin, dass das Trio den Rückzug aus dem Geschäft angekündigt hat und behauptet, seine Ziele erreicht zu haben. Ein Account im RAMP-Forum, von dem angenommen wird, dass er von ShinyHunters betrieben wird, hat jedoch kürzlich die Verantwortung für einen neuen Angriff übernommen, wodurch diese Behauptung als Fälschung erscheint.
Die Malware „WARMCOOKIE“ entwickelt sich weiter
Elastic Security Labs verfolgt die laufenden Änderungen und Aktualisierungen der WARMCOOKIE-Malware. Sie haben festgestellt, dass die Hintertür aktiv weiterentwickelt und verbreitet wird. Eine ihrer wichtigsten Erkenntnisse ist ein Standardzertifikat, das offenbar vom Backend der Malware verwendet wird und wahrscheinlich die Nachverfolgung neuer C2 -Server und der dazugehörigen Infrastruktur ermöglicht.
Die Malware „WARMCOOKIE“ tauchte erstmals Mitte des Jahres 2024 auf. Die Malware wird über Phishing-Kampagnen verbreitet, die häufig unter dem Deckmantel der Personalbeschaffung stattfinden und gefälschte Stellenangebote enthalten. Seit dem ersten Auftreten der Malware hat Elastic Security Labs Entwicklungsveränderungen festgestellt, die im Bericht dargelegt wurden.
Neue Betreuer
Die neueste Variante der WARMCOOKIE-Malware enthält vier neue Handler, die es dem Betreiber ermöglichen, ausführbare Dateien, DLLs und Skripte schnell zu starten.
Elastic stellt fest, dass die meisten der jüngsten Builds die DLL-/EXE-Ausführungsfunktion nutzen und dass PowerShell deutlich seltener beobachtet wird. Unabhängig davon verwenden sie für jeden Dateityp dieselbe Funktion und übergeben Argumente. Der Handler kann dann einen Ordner in einem temporären Verzeichnis erstellen und den Dateiinhalt in eine Datei innerhalb eines Ordners in diesem neuen Verzeichnis schreiben.
Die Streichersammlung von WARMCOOKIE
Elastic Security Labs hat zudem festgestellt, dass die aktualisierte Malware eine Zeichenfolgenbank verwendet, die sowohl bei den Ordnerpfaden als auch bei den Namen der geplanten Aufgaben die Namen legitimer Unternehmen nutzt. Diese Technik zur Umgehung von Abwehrmaßnahmen ermöglicht es der Malware, sich in Verzeichnisse zu verschieben, die seriöser erscheinen.
Im Gegensatz zu früheren Varianten, bei denen die Pfade fest codiert waren, verfügen die neueren Varianten über eine Liste von Unternehmen, die als mögliche Ordnerpfade verwendet werden können. Elastic stellte fest, dass die Zeichenfolge „von einer Website stammt, die dazu dient, seriöse IT- und Softwareunternehmen zu bewerten und zu finden“.
Weitere Änderungen an WARMCOOKIE
Bei der neuen Variante wird der Befehlszeilenparameter von /p auf /u geändert, um festzustellen, ob eine Aufgabe erstellt werden muss. Die Variante verwendet zudem zwei Mutexe anstelle von einem und zeichnet sich durch eine verbesserte Codeoptimierung aus.
Die Malware „WARMCOOKIE“ enthält nun ein Feld für die Kampagnen-ID, das von den Betreibern zur Nachverfolgung von Kampagnen genutzt werden kann.
Überblick über die Infrastruktur
Elastic extrahierte die zugehörige Infrastruktur aus den identifizierten Konfigurationen und deckte dabei ein SSL-Zertifikat auf, das besonders ins Auge fiel. Es wird angenommen, dass es sich bei diesem Zertifikat um ein Standardzertifikat handelt, das vom Backend der Malware verwendet wird.
Obwohl das Gültigkeitsdatum des Zertifikats offenbar abgelaufen ist, werden sowohl neue als auch wiederverwendete Infrastrukturen weiterhin unter Verwendung dieses Zertifikats initialisiert. Es handelt sich also zwar nicht um eine völlig neue Infrastruktur, sondern um eine „Neukonfiguration von Redirectoren, um der bestehenden Infrastruktur neues Leben einzuhauchen“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Malware-Familien entwickeln sich häufig weiter, auch wenn sie in den Medien keine nennenswerte Beachtung finden. WARMCOOKIE ist hierfür ein hervorragendes Beispiel.
Die Verwendung von Namen für geplante Aufgaben und Ordnerpfade, die nach legitimen Organisationen klingen, ist zwar nichts Neues, erhöht jedoch die Wahrscheinlichkeit, dass die Malware übersehen wird, und kann es für Sicherheitsbeauftragte erschweren, sie als schädlich zu identifizieren.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.