Diese Woche stellt CTI ein Update zum FakeBat Loader bereit, einschließlich seiner wichtigsten Verteilungsmethoden und der gegnerischen Infrastruktur. CTI schlüsselt auch die wichtigsten Ergebnisse aus dem jüngsten Bedrohungsbericht von ESET aus der ersten Hälfte von 2024 auf.
1. FakeBat Loader-as-a-Service-Malware verbreitet sich über mehrere Ketten
Sekoia hat im Jahr 2024 bisher mehrere verschiedene FakeBat-Kampagnen beobachtet. Der neueste Bericht befasst sich mit den verschiedenen Verteilungsmethoden und Infrastrukturkomponenten, die sie entdeckt haben.
Laut Sekoia war der FakeBat Loader einer der weitreichendsten Loader im ersten Quartal von 2024 , um Drive-by-Downloads zu nutzen. Der Lader wurde typischerweise verwendet, um eine nächste Nutzlast wie Lumma, RedLine und andere zu starten.
FakeBat in Cyberkriminalforen
FakeBat wurde erstmals in einem unterirdischen Forum beobachtet Dezember 2022 , als es im Exploit-Forum als Loader-as-a-Service beworben und verkauft wurde. Es wurde als Loader-Malware im MSI-Format mit verschiedenen Anti-Erkennungsfunktionen beworben. Der Lader gibt seinen Benutzern auch ein Admin-Panel, um ihre Kampagnen zu generieren und zu verwalten.
Schauspieler verteilen FakeBat
Sekoia hat mehrere FakeBat-Infektionsketten identifiziert, von denen sie glauben, dass sie mehreren verschiedenen Kunden des MaaS entsprechen.
Außerdem identifizierten sie mehrere Kampagnen, die sich als beliebte Software darstellen, darunter 1Password, Chrome, Microsoft Teams, Zoom, VMware und viele andere. Die Akteure hinter diesen Kampagnen verwenden Google Ads, um diese bösartigen Websites oben auf der Seite erscheinen zu lassen. Wenn ein Opfer auf eine dieser bösartigen Websites klickt, wird es zu einer Seite geführt, die der legitimen Website sehr ähnlich ist. Eine Schaltfläche auf der Seite leitet den Benutzer um und führt zum Herunterladen einer signierten MSIX-Datei, auch bekannt als FakeBat.
Bedrohungsakteure kompromittieren auch WordPress-Websites, um Nutzer zu täuschen, dass ihr Chrome-Browser ein Update benötigt. Mit Stand von identifizierte Juni 2024Sekoia mehr als 250 kompromittierte Websites, die zum Download von FakeBat führten.
Ein drittes Verteilungsmittel wurde beobachtet Mai 2024 , in dem die web3 -Gemeinschaft angesprochen wurde. In diesem Aktivitätscluster wurde die Malware als gefälschte web3 -Chat-Anwendung verteilt. Der Bedrohungsakteur verwendete Websites, verifizierte Social-Media-Konten und Werbevideos, um das Gefühl der Legitimität ihrer Anwendung zu erhöhen. Diese Aktivität war etwas anders als andere, da ein Einladungscode heruntergeladen werden musste.
Gegnerische Infrastruktur
Sekoia war in der Lage, eine angemessene Menge an gegnerischer Infrastruktur im Zusammenhang mit FakeBat-Kampagnen aufzudecken. Sie glauben, dass die kürzlichen FakeBat C2 -Server den Datenverkehr wahrscheinlich „auf der Grundlage von Eigenschaften wie dem Benutzer-Agent-Wert, der IP-Adresse und dem Standort filtern“, was es dem Betreiber ermöglicht, sehr strategisches und maßgeschneidertes Targeting zu haben. Forscher haben auch eine Liste von FakeBat C2 -Servern und Hosting-Domains erstellt, von denen angenommen wird, dass sie sich im Besitz von FakeBat-Betreibern befinden.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Es gibt so viele MaaS-Angebote, dass es schwierig sein kann, zu verfolgen, welche die größte Bedrohung darstellen. Als einer der am weitesten verbreiteten Lader, der den Antrieb nach Technik in 2024 verwendet, ist FakeBat sicherlich eine Aufmerksamkeit wert.
Die Tatsache, dass diese Malware auch nur an eine begrenzte Anzahl von Benutzern verkauft wird, macht sie noch beeindruckender, da sie weitreichende Folgen hatte. FakeBat scheint auf eine Vielzahl von Arten verteilt zu werden, was wahrscheinlich das Ergebnis verschiedener Akteure ist, die die Malware verwenden. Dennoch ist es wahrscheinlich, dass sich seine Verteilungsmethoden weiterentwickeln werden, da Bedrohungsakteure kontinuierlich nach neuen Techniken suchen.
2. Wichtige Ergebnisse aus dem Bedrohungsbericht von ESET
ESET hat seinen Bedrohungsbericht für die erste Hälfte von 2024 veröffentlicht. Der Bericht behandelt Bedrohungstrends von Dezember 2023 bis Mai 2024 basierend auf der Telemetrie von ESET.
Einige der beobachteten Trends umfassen eine Zunahme von Infostealing-Malware , die sich als generative KI-Tools ausgibt, und eine Abnahme von Android-Bedrohungen.
Android-Bedrohungen nehmen ab
ESET verzeichnete in der ersten Jahreshälfte einen Rückgang der Android-Bedrohungserkennung. Dieser Rückgang ist eine leichte Überraschung, da Android-Bedrohungen häufig um saisonale Ereignisse zunehmen.
Auch mit diesem Rückgang entwickelt sich Android-Malware weiter. Ein Beispiel dafür ist die GoldPickaxe-Malware, die sowohl auf Android als auch auf iOS abzielt. Die Android-Version wird auf Websites verteilt, die vorgeben, der Google Play Store zu sein. Der Akteur hinter dieser Malware wird als organisierte chinesischsprachige Gruppe, die als GoldFactory bezeichnet wird, angesehen.
ESET hat auch eine Entwicklung bei finanziellen Bedrohungen für Android beobachtet. Einige der Taktiken bei kürzlichen Android-Malware-Angriffen umfassen die missbräuchliche Nutzung von Android-Zugangsdiensten, die Nutzung automatisierter Systeme zur unbefugten Überweisung von Geldern und die Umgehung von 2FA.
Linux-Bedrohungen
In seinem Bericht analysierte ESET eine bestimmte Linux-Bedrohung, die als Operation Windigo bezeichnet wird. Diese Operation nutzt die Ebury-Malware-Familie, die seit etwa 10 Jahren existiert und weiterhin eine Bedrohung darstellt.
Ebury ist ein OpenSSH-Hintertür- und Berechtigungsstealer und dient als Kern eines Clusters von serverseitigen Bedrohungen. Die Malware geht oft nach Krypto-Wallets und nutzt ihre Existenz in Rechenzentren auf der ganzen Welt, um gegnerische Angriffe durchzuführen.
KI-Bedrohungen
Es ist keine Überraschung, dass es in der ersten Jahreshälfte mehrere aufgezeichnete Angriffe gab, die KI in irgendeiner Weise umfassten. ESET beobachtete mehrere Fälle, in denen die Namen von KI-Modellen als Lures zur Bereitstellung von Malware verwendet wurden. Ein Beispiel dafür wurde gesehen, als sie eine bösartige Installer-Browsererweiterung beobachteten, die behauptete, eine Desktop-App für KI zu sein, aber stattdessen Malware heruntergeladen hat.
Web-Bedrohungen
Die Ausnutzung von Schwachstellen des WordPress-Plugins war in den letzten sechs Monaten weiterhin eine Bedrohung. Insbesondere nutzen Bedrohungsakteure die Balada Injector- und JS/Agent-Familie.
Infostealer und Downloader
Infostealer sind auch weiterhin ein Hauptanliegen, wobei Bedrohungsakteure sie zunehmend nutzen, um Gaming-Unternehmen und Gamer anzusprechen. Beliebte Infostealer der letzten Monate sind unter anderem RedLine und Lumma.
Downloader haben damit begonnen, ihre Bereitstellungsmethoden zu ändern, wobei sie in den letzten Monaten eine 10%ige Zunahme der Downloaderzahlen verzeichnet haben. Bedrohungen, die sich auf Makros stützen, nahmen während dieser Zeit ebenfalls zu, obwohl Makros standardmäßig von Microsoft blockiert werden.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Es ist wichtig zu bedenken, dass diese Trends auf der Telemetrie einer bestimmten Einheit basieren und nicht auf die gesamte Landschaft hinweisen. Viele Trends von ESET stimmen jedoch mit anderen Branchenstudien überein und ihr Bericht ist interessant.
Interessant ist auch die Aufschlüsselung der verschiedenen Arten, wie Downloader bereitgestellt werden, da die Schauspieler neue Wege finden, um der Erkennung zu entgehen. Zum Beispiel sehen wir einen Rückgang bei der Verwendung von HTML. Einige der häufig berichteten, die LNK und VBS verknüpfen, machten nicht so viel Prozent aus, wie wir angenommen haben.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium und beginnen Sie ein Gespräch.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
