In der Zusammenfassung dieser Woche untersucht CTI, wie nordkoreanische Angreifer mit einer MacOS-Malware namens „Ferret“ gezielt auf Arbeitssuchende abzielen. Als Nächstes untersucht CTI einen jüngsten Anstieg der Anzahl von Angriffen, die sich gegen macOS-Nutzer richten. CTI befasst sich zudem mit einer Phishing-Kampagne, bei der SharePoint-Links verwendet werden, um die Opfer auf einen legitimen Power BI-Bericht weiterzuleiten.
Nordkoreanische Hacker nehmen Arbeitssuchende mit der Malware „Ferret“ ins Visier
Nordkoreanische Angreifer verbreiten derzeit im Rahmen eines vorgetäuschten Bewerbungsgesprächs eine MacOS-Malware namens „Ferret“.
Während Apple Signatur-Updates bereitgestellt hat, um Endnutzer vor der Malware „Ferret“ zu schützen, haben Forscher von SentinelOne (öffnet in einem neuen Tab) im Rahmen des „ “ kürzlich einige Exemplare entdeckt, die als „FlexibleFerret“ bezeichnet werden und von Apples geräteinternem Malware-Tool „XProtect“ weiterhin nicht erkannt werden.
Hintergrundinformationen zur Malware-Familie „Ferret“
In mehreren früheren Berichten verschiedener Forscher wurden Einzelheiten zu Malware-Komponenten aus der „ “-Kampagne „Contagious Interview“ veröffentlicht: (wird in einem neuen Tab geöffnet). Bei dieser Betrugsmasche treten die Opfer mit einer Person in Kontakt, die sie für einen Personalverantwortlichen halten, und werden aufgefordert, Software für ein virtuelles Gespräch oder andere für den Bewerbungsprozess erforderliche Komponenten zu installieren.
Apple hat kürzlich ein wichtiges Update für XProtect veröffentlicht, das auf bestimmte Malware-Komponenten abzielt, darunter eine Hintertür, die sich als Betriebssystemdatei tarnt, sowie zwei Persistenzmodule, die mit der Ferret-Familie in Verbindung stehen.
Was ist FlexibleFerret?
Wie oben bereits erwähnt, hat SentinelOne neue Exemplare der Malware-Familie „Ferret“ identifiziert, die das Unternehmen als „FlexibleFerret“ bezeichnet.
Die Forscher entdeckten diese zusätzlichen Proben ursprünglich, nachdem sie ihre Untersuchungen von anderen Ferret-Malware-Komponenten auf diese umgelenkt hatten. Bei dem von ihnen entdeckten Dropper handelt es sich um ein Apple-Installer-Paket, das zwei Anwendungen, eine eigenständige Binärdatei und ein Skript enthält.
Wie funktioniert FlexibleFerret?
SentinelOne hat festgestellt, dass das Installationspaket das Skript verwendet, um nach dem Erlangen der erforderlichen erweiterten Berechtigungen zusätzliche Komponenten zu installieren und auszuführen, wobei seine Aktionen in einer Protokolldatei aufgezeichnet werden.
Die im Paket enthaltene Binärdatei stellt eine Verbindung zu einer Phishing-Domain her, während das Skript eine der darin enthaltenen Anwendungen ausführt.
Diese Anwendung zeigt dem Opfer eine Fehlermeldung an, um es dazu zu verleiten, zu glauben, dass der Vorgang ordnungsgemäß abläuft. Unterdessen sorgt die Malware im Hintergrund dafür, dass sie dauerhaft aktiv bleibt.
FlexibleFerret und ChromeUpdate
Die neu entdeckten Ferret-Komponenten stehen im Zusammenhang mit den neuesten Ferret-Regeln von Apple. Die Binärdatei selbst weist eine Übereinstimmung von 86 % mit der ChromeUpdate-Binärdatei auf und enthält Zeichenfolgen, die nahezu identisch sind.
Laut SentinelOne erkennt XProtect die Binärdateien im schädlichen Installationspaket derzeit nicht als Malware.
Was ist die „Contagious Interview“-Kampagne?
FlexibleFerret ist Teil der laufenden „ “-Kampagne „Contagious Interview“ (wird in einem neuen Tab geöffnet), die bereits seit mindestens 2023 läuft.
Diese Kampagne richtet sich in erster Linie an arbeitssuchende Entwickler und weist oft vorgetäuschte Bewerber an, mit Malware infizierte Komponenten herunterzuladen, die für ein Vorstellungsgespräch benötigt werden.
In einem bemerkenswerten Fall erweiterte ein Angreifer seinen Fokus, um GitHub-Nutzer anstelle von lediglich Arbeitssuchenden ins Visier zu nehmen, wie SentinelOne feststellte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Bericht von SentinelOne liefert wichtige Einblicke in eine derzeit laufende Kampagne, bei der nordkoreanische Akteure sich als Personalvermittler ausgeben.
Die neue „Ferret“-Malware lässt darauf schließen, dass diese Akteure weiterhin Tools entwickeln, um die Kampagne zu optimieren, während die Ausrichtung auf allgemeine GitHub-Nutzer darauf hindeutet, dass die Akteure ihren Wirkungsbereich möglicherweise über Bewerber hinaus ausweiten.
macOS-Nutzer sind einer zunehmenden Bedrohung durch Infostealer ausgesetzt
In Palo Alto ist ein Anstieg von (wird in einem neuen Tab geöffnet) bei Angriffen auf macOS-Nutzer zu verzeichnen; die Telemetriedaten des Unternehmens zeigen für die letzten beiden Quartale des Jahres 2024 einen Anstieg der macOS-Infostealer um 101 %. Darüber hinaus wurden Poseidon, Atomic und Cthulhu als die drei am häufigsten vorkommenden Infostealer für macOS identifiziert.
Die drei häufigsten Infostealer, die auf macOS abzielen
- Atomic Stealer (AMOS) existiert bereits seit mindestens 2023 und wird in Untergrundforen als „Malware-as-a-Service“ (MaaS) angeboten. Seit seiner Entstehung waren mehrere Versionen im Einsatz, wobei frühere Versionen in Go entwickelt wurden und neuere in C++ geschrieben sind.
Unabhängig von der Version verbreiten viele AMOS-Betreiber das Programm über Malvertising, um Notizen und Dokumente, Browserdaten, Kryptowährungs-Wallets sowie Daten aus Instant-Messaging-Diensten zu stehlen. - Der „Poseidon Stealer“ wurde in Foren für Cyberkriminalität von einer Person mit dem Pseudonym „ Rodrigo4 “ beworben, die angeblich auch als Programmierer für AMOS tätig war. Palo Alto weist darauf hin, dass die „Poseidon MaaS“ im vergangenen Sommer an einen unbekannten Empfänger verkauft wurde, obwohl die Malware in freier Wildbahn weiterhin aktiv ist.
Dieser Infostealer wird häufig über mit Trojanern versehene Installationsprogramme verbreitet, die legitime Software und Anwendungen imitieren. Diese Installationsprogramme werden häufig über , bösartige Google-Anzeigen (öffnet in einem neuen Tab),, oder E-Mails verbreitet und enthalten eine verschlüsselte AppleScript-Datei zur Installation der Malware.
Laut Palo Alto kann Poseidon eine Vielzahl von Aufgaben ausführen, darunter das Erfassen von Systeminformationen, das Stehlen von Browserdaten und Kryptowährungs-Wallets sowie das Auslesen von Passwörtern aus Passwort-Managern.
- „Cthulhu Stealer“ wird auch als MaaS-Angebot vertrieben. Dieser Infostealer wird häufig über bösartige Anwendungsinstallationsprogramme verbreitet. Diese Installationsprogramme zeigen dem Opfer ein Dialogfeld an, in dem es aufgefordert wird, ein Passwort einzugeben, um die Systemeinstellungen zu aktualisieren.
Dieser Infostealer zielt auf ein weitaus breiteres Spektrum an Informationen ab, darunter FileZilla-Konfigurationsdateien, Notizdateien, bestimmte Dateiendungen, Browserdaten und vieles mehr.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
In den letzten Jahren ist die Zahl der auf macOS ausgerichteten Bedrohungen, darunter die Ransomware „ “ (wird in einem neuen Tab geöffnet), Sicherheitslücken und Infostealer, deutlich gestiegen.
Dieser Anstieg könnte auf die weit verbreitete Nutzung von macOS-Geräten zurückzuführen sein. Es könnte jedoch auch einfach daran liegen, dass Angreifer nach Bereichen mit weniger Konkurrenz suchen. Schließlich funktioniert die Welt der Cyberkriminalität zunehmend wie ein Unternehmen.
Die Untersuchungen von Palo Alto liefern wertvolle Erkenntnisse zu drei spezifischen Infostealern für macOS, die zu weiteren böswilligen Aktivitäten führen können.
Angreifer nutzen MS Power BI für Phishing-Kampagnen
Cofense hat unter (wird in einem neuen Tab geöffnet) eine Phishing-Kampagne beobachtet, bei der SharePoint-Links verwendet werden, um die Opfer auf einen authentischen Power BI-Bericht weiterzuleiten. Dort werden sie aufgefordert, auf einen Link zum „Öffnen des Dokuments“ zu klicken, wodurch sie auf die eigentliche Phishing-Seite gelangen.
Wie sieht die Phishing-E-Mail zu MS Power BI aus?
Die Phishing-E-Mails „ “ (wird in einem neuen Tab geöffnet) im Rahmen dieser Kampagne verwenden eine Betreffzeile, die sich auf Zahlungsbestätigungen bezieht, um ein Gefühl der Dringlichkeit zu erzeugen und einen Impuls-Klick auszulösen. Jede E-Mail enthält zudem ein vertrautes Markenbild und eine bekannte Formatierung, um die Opfer dazu zu verleiten, zu glauben, es handele sich um eine legitime SharePoint-Datei.
Was geschieht, wenn Sie auf den Power BI-Link klicken?
Wenn das Opfer auf den Link „Öffnen“ in der E-Mail klickt, wird es zu einem echten Power BI-Link weitergeleitet.
Laut Cofense erhöht die Verwendung echter Power-BI-Links die Wahrscheinlichkeit, dass diese E-Mails sichere E-Mail-Gateways umgehen und die Opfer leichter davon überzeugen können, dass ihre Handlungen legitim sind.
Cofense weist darauf hin, dass das erste Anzeichen dafür, dass etwas nicht stimmt, darin besteht, dass das Opfer aufgefordert wird, auf eine Schaltfläche mit der Aufschrift „Dokument öffnen“ zu klicken. Über diese Schaltfläche gelangen Sie zur eigentlichen Phishing-Seite.
Wie funktioniert die Phishing-Seite?
Die Phishing-Seite ist eine typische Microsoft-Anmeldeseite, auf der nach einem Benutzernamen und einem Passwort gefragt wird. Das einzige Warnzeichen auf der Seite selbst ist die URL, bei der es sich ganz offensichtlich nicht um die legitime Microsoft-URL handelt.
Cofense weist zudem darauf hin, dass diese Aufforderung zur Eingabe von Zugangsdaten für den Zugriff auf ein gemeinsam genutztes Dokument ungewöhnlich ist und auf ein mögliches Problem hindeuten könnte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Phishing-Kampagne ist ein hervorragendes Beispiel dafür, wie Angreifer häufig vertrauenswürdige Tools ausnutzen, insbesondere solche, die am Arbeitsplatz zum Einsatz kommen.
Da diese Phishing-E-Mails legitime Power BI-Links enthalten, ist die herkömmliche
Schulungen zur Cybersicherheit für Mitarbeiter
In diesem Fall würde es nicht funktionieren, mit der Maus über verdächtige Links zu fahren, um diese zu identifizieren.
Bei dieser Art von Phishing-E-Mails müssen die gezielt ausgewählten Opfer zusätzliche Warnzeichen erkennen (z. B. dass sie keine E-Mail erwartet haben), um diese als Phishing-Versuche zu identifizieren.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter (wird in einem neuen Tab geöffnet),und .
