In der Zusammenfassung dieser Woche untersucht CTI einen Python-Infostealer namens „Emansrepo“, der sich per E-Mail verbreitet und über drei verschiedene Angriffsketten verfügt. Als Nächstes befasst sich CTI mit einem aktuellen Bericht von Palo Alto, der 19 Top-Level-Domains (TLDs) behandelt, die im letzten Jahr eingeführt wurden. Abschließend gibt CTI einen Überblick über KTLVdoor, eine neue plattformübergreifende Backdoor des chinesischsprachigen Angreifers „Earth Lusca“.
1. Der „Emansrepo Stealer“ verbreitet sich per E-Mail
Forscher bei Fortinet haben kürzlich einen Python-Infostealer namens „Emansrepo“ entdeckt, der auf der „ “ basiert und sich über E-Mails verbreitet, die gefälschte Bestellungen und Rechnungen enthalten.
Laut Fortinet komprimiert die Malware Daten aus Browsern und Dateien, bevor sie diese abzieht. Diese Kampagne läuft bereits seit dem November 2023.
Die Angriffsketten von Emansrepo
Forscher beobachteten zwischen Juli und August 2024 drei verschiedene Emansrepo-Angriffsketten. Aufgrund ihrer Erkenntnisse scheinen die Angriffsabläufe der Kampagne an Komplexität zu gewinnen.
- Die erste Kette enthält einen E-Mail-Anhang mit einem Dropper, der sich als Download-Seite tarnt. Laut Fortinet erstellt es ein Link-Element, das auf die Daten von „Purchase-Order.7z“ verweist, „lädt“ die Datei 7z mithilfe der Methode „click()“ herunter und leitet anschließend auf eine nicht damit in Zusammenhang stehende Website weiter. Die ZIP-Datei enthält zudem eine mit AutoIT kompilierte ausführbare Datei, die Python-Module zum Abgreifen von Informationen enthält.
- In der zweiten Kette enthält die E-Mail eine ZIP-Datei mit einer HTA-Datei. Es nutzt eine JavaScript-basierte Quelldatei, um ein PowerShell-Skript für die nächste Phase herunterzuladen.
- Die dritte Angriffskette umfasst eine Phishing-E-Mail mit einem Link zu einer verschleierten Batch-Datei. Dadurch wird das PowerShell-Skript heruntergeladen und ausgeführt.
Die Malware von Emansrepo
Der Infostealer speichert die gestohlenen Daten in temporären Ordnern, übermittelt sie an den Angreifer und löscht die Informationen anschließend.
Die Malware versucht, verschiedene Informationen wie Anmeldedaten, Kreditkartendaten, den Browserverlauf und Downloads zu erfassen. Anschließend kopiert das Programm PDF-Dateien aus den Ordnern „Desktop“, „Dokumente“, „Downloads“ und „Zuletzt verwendet“ und komprimiert Ordner für Browser-Erweiterungen, Krypto-Wallets und vieles mehr. Die Malware kopiert zudem Cookie-Dateien und komprimiert die Daten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Angreifer entwickelt nicht nur die Angriffskette kontinuierlich weiter, sondern setzt auch mehrere Ketten gleichzeitig ein – oder wechselt zumindest sehr schnell von einer zur nächsten.
Glücklicherweise scheinen alle Angriffsketten mit Phishing-E-Mails unter zu beginnen, die den gängigen Köder in Form von Bestellungen oder Rechnungen verwenden, der häufig in Schulungsmaterialien zur Sensibilisierung für Sicherheitsfragen behandelt wird.
2. Palo Alto beleuchtet in einem neuen Bericht die Top-Level-Domains
In seinem jüngsten Bericht befasst sich Palo Alto mit 19 neuen Top-Level-Domains (TLDs) , die im Laufe des letzten Jahres eingeführt wurden.
Ihre Untersuchung deckt mehrere groß angelegte Phishing-Kampagnen sowie die Verbreitung potenziell unerwünschter Programme auf. Es scheint zudem einen Zusammenhang zwischen dem Zeitpunkt der allgemeinen Verfügbarkeit der neuen TLDs und deren Beliebtheit zu geben.
Phasen der TLD-Einführung
Aus dem Bericht geht hervor, dass die Einführung von TLDs schrittweise erfolgt. Jede TLD wird in einer maßgeblichen Datenbank – der sogenannten Registry – erfasst und muss vor ihrer Freigabe genehmigt werden.
Nach der Genehmigung durchlaufen sie mehrere Phasen, darunter „Sunrise“, „Landrush“, „Early Access“ und die allgemeine Verfügbarkeit.
- Während der obligatorischen Sunrise-Phase steht die Registrierung ausschließlich Personen mit einem validierten Marken-Eintrag zur Verfügung.
- In der Landrush-Phase steht die Registrierung bestimmter oder Premium-Domainnamen der Öffentlichkeit offen. Manchmal führen sie zu einer Auktion.
- Für einige TLDs gilt eine Vorab-Registrierungsphase, in der Interessenten bereits vor dem offiziellen Start eine Domain zu einem erhöhten Preis registrieren können.
- Schließlich wird die TLD allgemein verfügbar und steht der Öffentlichkeit zur Verfügung.
- Datenquellen
Der Schwerpunkt der Untersuchung von Palo Alto liegt auf 19 TLDs, die entweder kürzlich freigegeben wurden oder sich vor ihrer allgemeinen Verfügbarkeit in einer der oben genannten Phasen befinden. Zu den TLDs gehören .bot, .box, .case, .channel, .dad, .esq, .foo, .ing, .lifestyle, .living, .meme, .mov, .music, .nexus, .phd, .prof, .vana, .watches und .zip.
Fallstudien
Palo Alto nutzte ein graphbasiertes Erkennungssystem, um Domains zu analysieren, zugehörige Daten zu extrahieren und Visualisierungen zu erstellen. Die Forscher unterzogen jedes Diagramm einem Clustering-Verfahren, um nach Gemeinsamkeiten zu suchen. Die Ergebnisse zeigen groß angelegte Phishing-Angriffe, die Verbreitung potenziell unerwünschter Programme (PUPs), Scherz- oder Meme-Kampagnen sowie Torrent-Websites.
Ein Aktivitätscluster deckte einen Köder auf, der die Opfer dazu verleitet, einen QR-Code zu scannen. Der Angriff zielt darauf ab, das Opfer dazu zu bewegen, SMS zu versenden, und versucht, es mit verschiedenen Betrugsmaschen, Spam und Kampagnen zur Datenerfassung in Kontakt zu bringen. Insgesamt wurden bei dieser Kampagne 92 Domains der TLD „.bot“ verwendet.
Weitere Fallstudien und vorgestellte Kampagnen finden Sie unter sowie im Bericht von Palo Alto mit dem Titel „“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Analyse von Palo Alto bringt einige interessante Aspekte zutage. So bestätigt sich beispielsweise, dass Akteure dazu neigen, die sich wandelnde Bedrohungslage zu beobachten und auszunutzen, indem sie aktuelle Nachrichten, neue Technologien, neu auftretende Schwachstellen und neue TLDs für sich nutzen.
Ihre Untersuchungen belegen zudem, wie schnell Angreifer Top-Level-Domains (TLDs) unmittelbar nach deren Einrichtung für böswillige Zwecke missbrauchen können. Daher ist es wichtig, bei allen Domains wachsam zu sein, insbesondere bei solchen, die verdächtig erscheinen.
3. Earth Lusca setzt eine neue plattformübergreifende Backdoor ein
Laut einem aktuellen Bericht von Trend Micro nutzt der als „Earth Lusca“ bekannte chinesischsprachige Angreifer nun eine neue plattformübergreifende Backdoor namens „KTLVdoor“ ( ) .
Die Backdoor, die sich unter als verschiedene Systemdienstprogramme tarnt, wurde im Rahmen eines groß angelegten Angriffs auf mehr als 50 .C2 Server beobachtet. Bislang haben die Ermittler lediglich ein bestätigtes Ziel der Operation identifiziert, bei dem es sich um ein in China ansässiges Handelsunternehmen handelt.
Analyse der KTLVdoor-Malware
Die neue Hintertür ist stark verschleiert und tarnt sich als verschiedene Systemdienstprogramme. Angreifer nutzen dieses Tool für verschiedene Aufgaben, darunter die Bearbeitung von Dateien, die Ausführung von Befehlen und das Scannen von Ports aus der Ferne. Forscher haben eine Windows- und eine Linux-Version der Malware entdeckt.
- zur Verschleierung der Malware: Wie bereits erwähnt, ist diese Malware stark verschleiert. Trend Micro stellt fest, dass viele eingebettete Zeichenfolgen unlesbar sind, Symbole entfernt wurden und die meisten Funktionen und Pakete in zufällig anmutende Zeichenfolgen umbenannt wurden.
- Konfigurationsen: Der erste Schritt der Malware besteht darin, die Konfigurationsparameter des Agenten zu initialisieren, die XOR-verschlüsselt sind und den Wert Base64-encoded aufweisen. Das Dateiformat ist ein benutzerdefiniertes TLV-Live-Format, dem „KTLV“ vorangestellt ist. Teil der Konfigurationsstruktur ist die „HostInfo“-Struktur, die Parameter zum infizierten Rechner enthält, darunter Angaben wie Benutzername, IP-Adresse, Hostname, Prozessname, Betriebssystem, Festplatten, Betriebszeit, Ruhezeit und vieles mehr.
- Verbindungseinstellungen: Die C2 Server sind als „connect“-Wert gespeichert, der mit AES-GCM verschlüsselt ist, sowie Base64-encoded.
- zur Kommunikation: Nach erfolgreicher Initialisierung beginnt der Agent eine Kommunikationsschleife mit einem C2 -Server. Diese Kommunikation sendet und empfängt Nachrichten, die GZIP-komprimiert und verschlüsselt sind. Die Nachrichten können im Simplex- oder Duplex-Modus übermittelt werden.
- Empfang von Aufgaben v: Der Agent implementiert Handler zur Verarbeitung der Aufgaben, die er vom C2 erhält. Diese Handler dienen unter anderem zum Herunterladen und Hochladen von Dateien sowie zum Starten interaktiver Shells und für weitere Zwecke.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Trend Micro hat mehr als 50 .C2 Server entdeckt, was eine außerordentlich hohe Zahl darstellt – insbesondere angesichts der Tatsache, dass es nur ein bestätigtes Ziel gibt. Dies könnte darauf hindeuten, dass bereits erste Tests stattfinden.
Es wird vermutet, dass das Tool mit Earth Lusca in Verbindung steht, bei dem es sich um einen chinesischsprachigen Akteur handelt. Da chinesischsprachige Akteure jedoch häufig die gleichen Werkzeuge nutzen, ist es möglich, dass sich dieses Werkzeug in Zukunft weiter verbreiten wird.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
