In dieser Woche liefert CTI aktuelle Informationen zum FakeBat-Loader, einschließlich der wichtigsten Verbreitungswege und der Infrastruktur der Angreifer. CTI fasst zudem die wichtigsten Erkenntnisse aus dem aktuellen Bedrohungsbericht von ESET für das erste Halbjahr 2024 zusammen.
1. Die „FakeBat Loader-as-a-Service“-Malware verbreitet sich über mehrere Ketten
Sekoia hat bislang im Jahr 2024 mehrere verschiedene FakeBat-Kampagnen beobachtet. In seinem jüngsten Bericht befasst sich das Unternehmen eingehend mit den verschiedenen Vertriebsmethoden und den Infrastrukturkomponenten, die es identifiziert hat.
Laut Sekoia war der FakeBat-Loader „ “ ( ) im ersten Quartal 2024 einer der Loader mit der größten Reichweite, der Drive-by-Downloads nutzte. Der Trägerrakete wurde in der Regel zum Start von Nutzlasten der nächsten Stufe wie Lumma, RedLine und anderen eingesetzt.
FakeBat in Foren für Cyberkriminelle
FakeBat wurde erstmals in einem Untergrundforum unter Dezember 2022 entdeckt, wo es im „Exploit“-Forum als „Loader-as-a-Service“ beworben und verkauft wurde. Es wurde als Loader-Malware im MSI-Format mit verschiedenen Funktionen zur Umgehung von Erkennungsmechanismen beworben. Der Loader stellt seinen Nutzern zudem ein Admin-Panel zur Verfügung, über das sie ihre Kampagnen erstellen und verwalten können.
Akteure, die FakeBat verbreiten
Sekoia hat mehrere FakeBat-Infektionsketten identifiziert, von denen das Unternehmen annimmt, dass sie auf verschiedene Kunden des MaaS zurückzuführen sind.
Außerdem identifizierten sie mehrere Kampagnen, die sich als beliebte Software ausgeben, darunter 1Password, Chrome, Microsoft Teams, Zoom, VMware und viele andere. Die Drahtzieher dieser Kampagnen nutzen Google Ads, um diese betrügerischen Websites ganz oben auf der Seite anzuzeigen. Wenn ein Opfer auf eine dieser betrügerischen Websites klickt, wird es auf eine Seite weitergeleitet, die der legitimen Website sehr ähnlich sieht. Über eine Schaltfläche auf der Seite wird der Nutzer weitergeleitet, woraufhin eine signierte MSIX-Datei, auch bekannt als „FakeBat“, heruntergeladen wird.
Angreifer kompromittieren zudem WordPress-Websites, um Nutzer dazu zu verleiten, zu glauben, ihr Chrome-Browser benötige ein Update. Stand: Juni 2024 hat Sekoia mehr als 250 kompromittierte Websites identifiziert, die zum Herunterladen von FakeBat führen.
In „ Mai 2024 “, das sich an die web3 er-Gemeinde richtete, wurde eine dritte Vertriebsform beobachtet. Im Rahmen dieser Aktivitätsgruppe wurde die Schadsoftware als gefälschte „ web3 “-Chat-Anwendung verbreitet. Der Angreifer nutzte Websites, verifizierte Social-Media-Konten und Werbevideos, um den Eindruck der Legitimität seiner Anwendung zu verstärken. Diese Aktivität unterschied sich ein wenig von den anderen, da zum Herunterladen ein Einladungscode erforderlich war.
Infrastruktur des Angreifers
Sekoia konnte eine beträchtliche Anzahl von Angreiferinfrastrukturen aufdecken, die mit den FakeBat-Kampagnen in Verbindung stehen. Sie gehen davon aus, dass die jüngsten „FakeBat C2 “-Server den Datenverkehr wahrscheinlich „anhand von Merkmalen wie dem User-Agent-Wert, der IP-Adresse und dem Standort filtern“, was dem Betreiber eine äußerst strategische und maßgeschneiderte Zielgruppenansprache ermöglicht. Forscher haben zudem eine Liste von FakeBat- C2 -Servern und Hosting-Domains zusammengestellt, von denen angenommen wird, dass sie den Betreibern von FakeBat gehören.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es gibt so viele MaaS-Angebote, dass es schwierig sein kann, den Überblick darüber zu behalten, welche davon die größte Bedrohung darstellen. Als einer der am weitesten verbreiteten Loader, die in 2024 die „Drive-by“-Technik nutzen, verdient FakeBat zweifellos Ihre Aufmerksamkeit.
Die Tatsache, dass diese Malware zudem nur an eine begrenzte Anzahl von Nutzern verkauft wird, macht sie umso beeindruckender, da sie weitreichende Folgen hatte. FakeBat scheint auf vielfältige Weise verbreitet zu werden, was wahrscheinlich darauf zurückzuführen ist, dass verschiedene Akteure diese Malware einsetzen. Dennoch ist davon auszugehen, dass sich die Verbreitungsmethoden weiter weiterentwickeln werden, da Angreifer ständig nach neuen Techniken suchen.
2. Wichtigste Erkenntnisse aus dem Bedrohungsbericht von ESET
ESET hat seinen Bedrohungsbericht für das erste Halbjahr 2024 veröffentlicht. Der Bericht behandelt die Bedrohungstrends vom Dezember 2023 bis zum Mai 2024 auf der Grundlage der Telemetriedaten von ESET.
Zu den beobachteten Trends zählen unter anderem eine Zunahme von „ “-Malware zum Diebstahl von Daten , die sich als generative KI-Tools ausgeben, sowie ein Rückgang der Bedrohungen für Android-Geräte.
Die Bedrohungen für Android nehmen ab
ESET verzeichnete in der ersten Jahreshälfte einen Rückgang bei der Erkennung von Android-Bedrohungen. Dieser Rückgang kommt etwas überraschend, da die Zahl der Android-Bedrohungen im Zusammenhang mit saisonalen Ereignissen häufig zunimmt.
Trotz dieses Rückgangs entwickelt sich Android-Malware weiterhin weiter. Ein Beispiel hierfür ist die Malware „GoldPickaxe“, die sowohl auf Android- als auch auf iOS-Geräte abzielt. Die Android-Version wird auf Websites verbreitet, die vorgeben, der Google Play Store zu sein. Es wird vermutet, dass hinter dieser Malware eine organisierte, chinesischsprachige Gruppe namens „GoldFactory“ steht.
ESET hat zudem eine Weiterentwicklung der finanziellen Bedrohungen für Android festgestellt. Zu den Taktiken bei den jüngsten Android-Malware-Angriffen zählen unter anderem der Missbrauch von Android-Barrierefreiheitsdiensten, der Einsatz automatisierter Systeme zur unbefugten Überweisung von Geldbeträgen sowie die Umgehung von 2FA.
Bedrohungen für Linux
In seinem Bericht analysierte ESET eine bestimmte Linux-Bedrohung, die als „Operation Windigo“ bezeichnet wird. Bei dieser Aktion kommt die Malware-Familie „Ebury“ zum Einsatz, die bereits seit rund 10 Jahren bekannt ist und nach wie vor eine Bedrohung darstellt.
Ebury ist eine OpenSSH-Hintertür und ein Stealer für Anmeldedaten und bildet den Kern einer Reihe serverseitiger Bedrohungen. Die Malware zielt häufig auf Krypto-Wallets ab und nutzt dabei ihre Präsenz in Rechenzentren auf der ganzen Welt, um Man-in-the-Middle-Angriffe durchzuführen.
Bedrohungen durch künstliche Intelligenz
Es ist keine Überraschung, dass in der ersten Jahreshälfte mehrere Angriffe verzeichnet wurden, bei denen KI in irgendeiner Weise eine Rolle spielte. ESET hat mehrere Fälle festgestellt, in denen die Namen von KI-Modellen als Köder verwendet wurden, um Malware zu verbreiten. Ein Beispiel hierfür zeigte sich, als sie eine bösartige Browsererweiterung mit Installationsfunktion entdeckten, die vorgab, eine Desktop-Anwendung für KI zu sein, stattdessen jedoch Malware herunterlud.
Bedrohungen im Internet
Die Ausnutzung von Sicherheitslücken in WordPress-Plugins stellte in den letzten sechs Monaten weiterhin eine Bedrohung dar. Insbesondere nutzen Angreifer den „Balada Injector“ sowie die „JS/Agent“-Familie.
Datendiebe und Downloader
Auch Datendiebstahlprogramme geben weiterhin Anlass zu großer Sorge, da Angreifer diese zunehmend einsetzen, um Gaming-Unternehmen und Spieler ins Visier zu nehmen. Zu den in den letzten Monaten besonders verbreiteten Infostealern zählen unter anderem RedLine und Lumma.
Die Downloader haben begonnen, ihre Verbreitungsmethoden anzupassen, was in den letzten Monaten zu einem Anstieg der Downloader-Zahlen um 10 % geführt hat. Auch die Zahl der Bedrohungen, die auf Makros basieren, stieg in diesem Zeitraum an, obwohl Makros von Microsoft standardmäßig blockiert werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist wichtig zu beachten, dass diese Trends auf den Telemetriedaten eines bestimmten Unternehmens basieren und nicht repräsentativ für die gesamte Branche sind. Viele der von ESET aufgezeigten Trends stimmen jedoch mit anderen Branchenstudien überein, und der Bericht des Unternehmens ist eine interessante Lektüre.
Interessant ist zudem die Aufschlüsselung der verschiedenen Methoden, mit denen Downloader verbreitet werden, da die Angreifer zunehmend neue Wege finden, um einer Entdeckung zu entgehen. So lässt sich beispielsweise bereits ein Rückgang bei der Verwendung von HTML beobachten. Einige der Fälle, über die häufig berichtet wird – insbesondere LNK und VBS –, machten keinen so großen prozentualen Anteil aus, wie wir angenommen hatten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
