In dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit einer neuen Entwicklung in den Malware-Familien „BeaverTail“ und „OtterCookie“. Anschließend befasst sich das Team mit drei neuen Malware-Familien, die mit der vom russischen Staat unterstützten Gruppe COLDRIVER in Verbindung stehen. Zum Abschluss geben wir Ihnen einen Überblick über „Vidar Stealer 2,0“.
Der bekannte „Chollima“ kombiniert „BeaverTail“ und „OtterCookie“ zu einer neuen JavaScript-Malware
Cisco Talos hat „ “ aufgedeckt, eine Weiterentwicklung der Malware-Familien „BeaverTail“ und „OtterCookie“, die beide mit „Famous Chollima“ in Verbindung stehen – einer APT-Gruppe (Advanced Persistent Threat), die der nordkoreanischen Regierung nahesteht und dafür bekannt ist, häufig Arbeitssuchende ins Visier zu nehmen.
Im Rahmen dieser jüngsten Kampagne wird ein neues JavaScript-Modul eingesetzt, das die Funktionen und die Tarnfähigkeit der Malware verbessern soll.
OtterCookie-Modul für Keylogging und Screenshots
Die Forscher von Cisco Talos entdeckten im Rahmen der „Famous Chollima“-Kampagne ein Modul zum Aufzeichnen von Tastatureingaben und zum Erstellen von Screenshots, über das bislang noch nicht berichtet worden war. Außerdem haben sie auf VirusTotal unter April 2025 OtterCookie-Beispiele mit diesem Modul identifiziert.
Dieses Modul kann Tastenanschläge aufzeichnen, Screenshots des Desktops erstellen und die Daten an den OtterCookie-Command-and-Control-Server (C2) senden. Die Malware speichert Tastenanschläge und Screenshots zunächst in einem temporären Unterordner, bevor sie diese versendet.
OtterCookie – Erweiterung für Visual Studio Code
Cisco Talos entdeckte zudem eine Visual Studio (VS) Code-Erweiterung, die versuchte, OtterCookie auszuführen. Die Erweiterung dient als Instrument zur Einarbeitung neuer Mitarbeiter. Die Forscher können die Zuordnung zu diesem Akteur nicht bestätigen, gehen jedoch davon aus, dass dies auf Experimente mit neuen Übermittlungsmethoden hindeuten könnte.
Weitere OtterCookie-Module
Cisco Talos hat im Rahmen der Untersuchungen mehrere weitere OtterCookie-Module aufgedeckt. Dazu gehören:
- Remote-Shell-Modul
- Modul zum Hochladen von Dateien
- Modul zum Diebstahl von Kryptowährungs-Erweiterungen
Der Bericht enthält unter weitere Einzelheiten zu den einzelnen Modulen.
Die Entwicklung von OtterCookie
Die Malware „OtterCookie“ tauchte erstmals Ende 2024 auf. In der Version „ April 2025“ stellte Cisco Talos fest, dass neue Module hinzugefügt wurden, durch die die Malware nicht mehr einfach aufgebaut, sondern modular wurde.
In dem Beitrag „ August 2025“ hat Cisco Talos die neueste Version, die als v5 bezeichnet wird, beobachtet. Mit dieser Version wurde ein Keylogging-Modul eingeführt, und nach der Entschleierung zeigte sich, dass der Quellcode Elemente sowohl von OtterCookie als auch von BeaverTail vereint.
BeaverTail-Funktionalität
Der BeaverTail-Code kann Browserprofile und -erweiterungen auflisten, eine Python-Distribution sowie eine Client-Nutzlast von seinem C2 -Server herunterladen und die Konsolenprotokollierung deaktivieren, bevor Module geladen werden.
BeaverTail ist mindestens seit dem Mai 2023 aktiv. Es begann als kleiner Downloader in JavaScript-Anwendungen und tauchte in bösartigen npm-Paketen im Rahmen von „ “-Angriffen auf die Software-Lieferkette auf.
Die Malware kann zudem die „InvisibleFerret“-Python-Stealer-Payload-Module herunterladen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
APT-Gruppen wie „Famous Chollima“ wenden mittlerweile agile Entwicklungsprinzipien bei der Entwicklung von Malware an. Dies ermöglicht es ihnen, neue Funktionen zügig zu entwickeln, zu testen und bereitzustellen, ohne ihre gesamte Infrastruktur grundlegend umgestalten zu müssen, was den modernen Praktiken der Softwareentwicklung entspricht.
Die anhaltende Nutzung von Spear-Phishing und gefälschten Jobbörsen durch diesen Akteur belegt, wie Angreifer weiterhin menschliche Schwachstellen ausnutzen, weshalb das Bewusstsein der Nutzer sowie Schulungsmaßnahmen von entscheidender Bedeutung sind.
COLDRIVER setzt drei neue Malware-Familien ein
von Googles Threat Intelligence Group (GTIG) hat kürzlich drei neue Malware-Familien aufgedeckt, die mit COLDRIVER, einer vom russischen Staat unterstützten Gruppe, in Verbindung stehen. Die neue Malware wird in gezielten Phishing-Kampagnen eingesetzt und verdeutlicht, dass diese Bedrohungsgruppe ihr Entwicklungstempo und ihre operative Aktivität gesteigert hat.
Google stellte fest, dass die Umstellung dieses Akteurs mit einer neuen schädlichen DLL namens NOROBOT begann. Die Auslieferung erfolgte über einen ClickFix-Köder mit CAPTCHA-Motiv unter der Adresse , ähnlich wie bei früheren COLDRIVER-Angriffen. NOROBOT setzte ursprünglich eine Backdoor namens YESROBOT ein, doch Google hat festgestellt, dass der Angreifer von dieser Backdoor auf eine andere umgestiegen ist, die unter dem Namen MAYBEROBOT erfasst wird.
Die jüngste Infektionskette umfasst drei verschiedene Komponenten, die über einen COLDCOPY-ClickFix-Köder verbreitet werden. Mit diesem Köder wird der Nutzer dazu verleitet, eine DLL-Datei über rundll32 herunterzuladen und auszuführen, nachdem er aufgefordert wurde, zu bestätigen, dass er kein Roboter ist.
NOROBOT, YESROBOT und MAYBEROBOT
- NOROBOT (auch als BAITSWITCH bezeichnet) ist eine DLL, die seit einigen Monaten in der Entwicklung ist. Das Hauptziel besteht darin, die nächste Stufe der C2 zu erreichen. NOROBOT wird eine Python- 3,8 -Installation abrufen und extrahieren, die Google als „auffälliges Artefakt, das wahrscheinlich Verdacht erregen wird“ bezeichnet. NOROBOT wird die Persistenz zudem mithilfe einer geplanten Aufgabe sicherstellen.
- YESROBOT ist eine Python-Backdoor, die Befehle von ihrer C2 abruft. Es setzt voraus, dass alle Befehle in gültigem Python geschrieben sind, was den Funktionsumfang einschränkt und die Bedienung umständlich macht. GTIG hat lediglich zwei Vorkommen von „YESROBOT“ festgestellt und geht davon aus, dass dieser Name wahrscheinlich zugunsten von „MAYBEROBOT“ aufgegeben wurde.
- MAYBEROBOT (auch als SIMPLEFIX bezeichnet) benötigt zur Ausführung kein Python und verwendet ein benutzerdefiniertes Protokoll, das drei Befehle unterstützt: Herunterladen und Ausführen von Dateien, Ausführen von Befehlen über „
“ und „cmd.exe“sowie Ausführen von PowerShell-Blöcken. Auch wenn dies eine Verbesserung darstellt, verfügt MAYBEROBOT nach wie vor nur über „minimale integrierte Funktionen“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die rasche Umstellung von COLDRIVER auf neue Malware-Familien zeugt von einem hohen Maß an Flexibilität und Vorbereitetheit und lässt auf einen gut ausgestatteten und erfahrenen Angreifer schließen, der in der Lage ist, sich dauerhaften Zugriff zu sichern.
Die weitere Entwicklung von YESROBOT hin zu MAYBEROBOT verdeutlicht einen bewussten Kompromiss zwischen einfacher Bereitstellung und operativer Flexibilität und unterstreicht das differenzierte Verständnis der Gruppe hinsichtlich der Umgehung von Erkennungsmechanismen und des langfristigen Zugriffs.
Der Vidar Stealer 2,0 demonstriert verbesserte Funktionen
Laut Trend Micro stellt die neueste Version von „Vidar Stealer 2,0 “ eine bedeutende Weiterentwicklung der Infostealer-Malware dar. Diese Version enthält architektonische Änderungen und fortschrittliche Techniken, die darauf abzielen, die Leistung zu verbessern, die Möglichkeiten zum Datendiebstahl zu erweitern und einer Entdeckung zu entgehen.
Was ist der Vidar-Infostealer?
Der Infostealer „Vidar“ tauchte erstmals im Jahr 2018 auf, basierte ursprünglich auf dem Quellcode des Arkei-Stealers und war dafür bekannt, Browser-Anmeldedaten und Kryptowährungs-Wallets zu stehlen.
Seit seiner Gründung hat Vidar seine Kompetenzen kontinuierlich ausgebaut. Und im Rahmen von „ Oktober 2025“ kündigte der Entwickler „Vidar 2,0“ an: eine umfassende Überarbeitung, die darauf abzielt, die Leistung zu steigern und die Umgehung moderner Abwehrmaßnahmen zu verbessern.
Aktualisierungen zu Vidar 2,0
Vidar 2,0 enthält mehrere Änderungen, darunter eine vollständige Neuprogrammierung von C++ nach C. Der Entwickler von Vidar gibt zudem an, dass die Malware nun über ein Multithreading-System verfügt, um „eine äußerst effiziente Nutzung von Multi-Core-Prozessoren zu ermöglichen“ und gleichzeitig den gesamten Datenerfassungsprozess zu beschleunigen. Trend Micro stellte fest, dass das fortschrittliche Multithreading-System die Leistung automatisch an die Computerspezifikationen des jeweiligen Opfers anpassen und die Anzahl der Threads dynamisch skalieren kann.
Darüber hinaus nutzt die neue Version von Vidar 2,0 einzigartige Methoden zur Umgehung der AppBound-Sicherheit, wie beispielsweise Speicherinjektionstechniken, um die anwendungsgebundene Verschlüsselung von Chrome zu umgehen. Diese Methoden gelten auch für Chrome, Firefox, Edge und andere Chromium-basierte Browser.
Eine weitere wesentliche Neuerung ist die Einführung eines automatischen polymorphen Generators (Morpher), was bedeutet, dass jede Version der Malware einzigartig ist und unterschiedliche Binärsignaturen aufweist.
Technische Details und Ablaufplan für Vidar 2,0
Laut Trend Micro „zeigt der Ausführungsablauf von ‚Vidar 2,0‘ eine sorgfältig abgestimmte Abfolge von Vorgängen, die darauf ausgelegt ist, die Datenerfassung zu maximieren und gleichzeitig durch fortschrittliche Anti-Analyse-Techniken, Multithread-Verarbeitung und adaptive Umgehungsmechanismen der Erkennung zu entgehen.“
- Initialisierung und Umgehung: In der Initialisierungsphase von Vidar wird eine Multithread-Architektur eingerichtet und eine Verschleierung des Kontrollflusses vorgenommen. In der Ausweichphase führt es Maßnahmen zur Verhinderung von Analysen durch, wie beispielsweise die Erkennung von Debuggern, die Überprüfung der Zeitabläufe, die Validierung der Systemverfügbarkeit sowie die Erstellung von Hardware-Profilen, um die Ausführung in Sandbox-Umgebungen zu vermeiden.
- Informationsbeschaffung und Datendiebstahl: Anschließend erstellt die Malware ein Systemprofil, bevor sie Anmeldedaten und andere sensible Daten erfasst.
- Exfiltration und Bereinigung: Gegen Ende des Angriffs erstellt die Malware Screenshots, bevor sie die gesammelten Daten bündelt und über HTTP-Multipart an ihren Server „ C2“ übermittelt, wobei Telegram-Bots und Steam-Profile als zusätzliche Kanäle genutzt werden. Die Malware löscht zudem temporäre Datenrückstände.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Trend Micro erläutert, fällt die Veröffentlichung von Vidar 2,0 mit dem Rückgang von „ “ und „Lumma Stealer“ zusammen. Dies könnte auf einen strategischen Schachzug hindeuten, um Marktanteile im Ökosystem der Cyberkriminalität zu gewinnen, was die Wettbewerbsdynamik unter den Malware-Entwicklern verdeutlicht.
Die Fähigkeit der Malware, die Thread-Nutzung dynamisch an die Systemspezifikationen anzupassen, zeugt von einem Maß an Ressourcenbewusstsein, wie es häufig bei legitimer Software zu beobachten ist, wodurch die Grenzen zwischen böswilligem und harmlosem Verhalten bei der forensischen Analyse weiter verschwimmen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
