In der Zusammenfassung dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium die jüngste Entwicklung der Malware „GIFTEDCROOK“. Als Nächstes gibt das Team auf der Grundlage eines neuen Berichts von ESET einen Überblick über die wichtigsten Cyberbedrohungen des ersten Halbjahres 2025 . Abschließend untersuchen wir, wie der nordkoreanische Akteur „Jasper Sleet“ IT-Mitarbeiter im Homeoffice dazu nutzt, Unternehmensnetzwerke zu infiltrieren.
Die Malware „GIFTEDCROOK“ entwickelt sich vom Browser-Stealer zu einem Instrument zur Informationsbeschaffung
Laut Arctic Wolf hat die Cyberspionagegruppe UAC-0226 ihre Malware „GIFTEDCROOK“ erheblich weiterentwickelt und deren Funktionalität von einem einfachen Browser-Infostealer zu einem Tool erweitert, das eine umfassendere Informationsbeschaffung ermöglicht. Diese Entwicklung fällt mit den jüngsten geopolitischen Ereignissen zusammen, darunter die Friedensverhandlungen zwischen der Ukraine und Russland in Istanbul.
Anfang dieses Jahres berichtete das CERT-UA der „ “ unter über „GIFTEDCROOK v1“, eine Malware, die zum Diebstahl von Browserdaten entwickelt wurde und in Kampagnen eingesetzt wurde, die sich gegen die Ukraine richteten. In „ Mai 2025“ wurde kurz nach Beginn der Verhandlungen zwischen der Ukraine und Russland „GIFTEDCROOK v1,2 “ eingesetzt.
So funktioniert GIFTEDCROOK
Die Malware wird in der Regel über Spear-Phishing-Kampagnen verbreitet. Diese E-Mails stammen von einem Hosting-Anbieter und verwenden ein Sender Policy Framework (SPF), das auf „?“ eingestellt ist.„alle“ – was die Fähigkeit des Ziels einschränkt, E-Mail-Spoofing zu verhindern.
Arctic Wolf beobachtete zudem eine zweite Kampagne, bei der die Phishing-E-Mail einen PDF-Anhang mit einem Link enthielt, über den letztendlich die NetSupport-RAT-Malware „ “ installiert wurde.
GIFTEDCROOK – Versionsübersichten
- v1,0: Ein einfacher Infostealer, der zum Abgreifen von Browserdaten entwickelt wurde.
- v1,2: Es wurden die Zeichenfolgenverschlüsselung sowie die Möglichkeit eingeführt, Dateien anhand ihrer Dateiendung zu identifizieren und zu entwenden. Es zielt auf Dateien mit einer Nummer bis einschließlich 5MB ab, die innerhalb der letzten 15 Tage geändert wurden.
- v1,3: „ “ baut auf früheren Versionen der Malware „GIFTEDCROOK“ auf, indem es den Diebstahl von Browserdaten mit gezielten Angriffen auf Dateien kombiniert. Es nutzt eine „Sleep-Evasion“-Technik, um Sandboxing zu umgehen, zielt auf Dateien ab, die innerhalb der letzten 45 Tage geändert wurden, und exfiltriert Daten über Telegram. Es unterstützt Browser wie Edge, Chrome und Firefox und ist für Dateien mit einer Größe unter 7MB ausgelegt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Entwicklung von GIFTEDCROOK von einem einfachen Infostealer zu einem ausgeklügelten Instrument zur Informationsbeschaffung lässt auf ein hohes Maß an Raffinesse und Anpassungsfähigkeit seitens der Akteure der Bedrohungsgruppe UAC-0226 schließen.
Wie Arctic Wolf wiederholt betont, steht diese Kampagne im Zusammenhang mit den jüngsten geopolitischen Ereignissen. Angreifer wenden diese Strategie häufig an, um die Wirkung zu maximieren und ihre strategische Informationsbeschaffung voranzutreiben. Dennoch ist es wahrscheinlich, dass sich UAC-0226 und GIFTEDCROOK weiterentwickeln werden.
Neuer Bericht zeigt starken Anstieg komplexer Bedrohungen im Jahr H1 2025
ESET hat kürzlich den Bericht „ “ veröffentlicht, einen Bedrohungsbericht für das erste Halbjahr 2025 , der den deutlichen Anstieg komplexer Cyberbedrohungen auf Desktop- und Mobilplattformen hervorhebt. Nachfolgend finden Sie die wichtigsten Erkenntnisse, die Aufschluss über die sich wandelnde Bedrohungslage geben:
ClickFix erfreut sich wachsender Beliebtheit
Einst „praktisch nicht existent“, hat sich ClickFix rasch zum zweithäufigsten Angriffsvektor nach -Phishing entwickelt.
Es wird derzeit zur Verbreitung einer Reihe von Infostealern genutzt und sowohl von Cyberkriminellen als auch von staatlich gestützten Akteuren eingesetzt. Zwar sind Windows-Nutzer nach wie vor die Hauptzielgruppe, doch sind auch Nutzer von macOS und Linux betroffen.
Verwandte CTI-Berichterstattung auf ClickFix
Dies ist nicht das erste Mal, dass wir diese Bedrohung beobachten. Sehen Sie sich an, wie sich dies in früheren CTI-Zusammenfassungen entwickelt hat – denn um immer einen Schritt voraus zu sein, muss man auf dem Laufenden bleiben:
- Veröffentlicht unter 25. Juni 2025: Aktuelle Erkenntnisse zur Rolle von ClickFix bei Multi-Vektor-Phishing-Angriffen
- Veröffentlicht unter 30. April 2025: – Beschreibt, wie Akteure aus Nordkorea, dem Iran und Russland ClickFix genutzt haben, um mithilfe von Social Engineering Malware zu verbreiten
- Veröffentlicht unter 12. März 2025: Behandelt eine Phishing-Kampagne, bei der SharePoint und die Microsoft Graph-API genutzt werden, um einen modifizierten „Havoc Demon“-Agenten zu installieren
- Veröffentlicht unter 26. Juni 2024: – Beleuchtet den frühen Einsatz von ClickFix in groß angelegten Phishing-Kampagnen, bei denen der Vidar-Stealer verbreitet wurde, einschließlich TA571’s Aktivitäten
SnakeStealer ist der am häufigsten nachgewiesene Infostealer
Laut den Telemetriedaten von ESET ist SnakeStealer mittlerweile der am häufigsten erkannte Infostealer. Sein Aufstieg fällt mit einem Rückgang von 57 % bei bei der Erkennung von „Agent Tesla“ zusammen, das auf den vierten Platz zurückgefallen ist, nachdem es zuvor eine Spitzenposition innegehabt hatte.
Die Maßnahmen zur Bekämpfung zielen auf „Lumma Stealer“ und „Danabot“ ab
Neben der Verfolgung von Trends bei Infostealern leistete ESET auch einen Beitrag zu Maßnahmen zur Bekämpfung von „ “, „Lumma Stealer“, „ “ und „Danabot“.
Nach der Operation „Lumma Stealer“ gingen die Aktivitäten zurück, obwohl ESET Versuche beobachtet hat, die Malware wiederherzustellen. Auch die Anzahl der Danabot-Erkennungen ging zurück, was auf eine erfolgreiche Abschaltung hindeutet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
ClickFix war in den vergangenen Wochen und Monaten recht häufig in den Nachrichten, und der Bericht von ESET macht deutlich, wie beliebt es mittlerweile geworden ist. Der Anstieg um 517 % ist beachtlich, zumal er eine Verlagerung in der Strategie der Akteure signalisiert, bei der nun menschliches Verhalten anstelle von Technologie ausgenutzt wird.
Der umfassende Bericht von ESET verdeutlicht zudem, wie sich die Bedrohungslandschaft innerhalb kurzer Zeit anpassen und weiterentwickeln kann und wie sie mit Multi-Vektor-Bedrohungen den gesamten Bereich von Desktop-Computern bis hin zu Mobilgeräten abdeckt.
Jasper Sleet nutzt IT-Mitarbeiter im Homeoffice, um in Unternehmen einzudringen
Microsoft hat unter der Bezeichnung „ “ eine anhaltende Kampagne des nordkoreanischen Angreifers Jasper Sleet identifiziert, bei der sich dieser als freiberufliche IT-Fachkräfte ausgibt, um Zugang zu Unternehmensnetzwerken zu erlangen. Diese Operationen dienen den Spionagezielen der Demokratischen Volksrepublik Korea (DVRK) und stützen sich auf Social-Engineering-Methoden , um eine Beschäftigung aus der Ferne zu erlangen.
Im Rahmen dieser Kampagne streben nordkoreanische IT-Fachkräfte danach, eine Fernbeschäftigung zu finden, ihre beruflichen Aufgaben zu erfüllen und Einkünfte zu erzielen – die häufig zur Unterstützung des nordkoreanischen Regimes verwendet werden. Microsoft weist darauf hin, dass sich diese Arbeitnehmer auf Stellen in einer Vielzahl von Branchen weltweit beworben haben.
Erstellung und Wiederverwendung gefälschter Identitäten
Zu Jasper Sleets Vorgehensweisen gehört es, Identitäten zu erstellen oder zu stehlen – komplett mit Lebensläufen, E-Mail-Adressen und Social-Media-Konten. Die zugehörigen Unterlagen und Abrechnungen sind genau auf die jeweiligen Anforderungen der Stellenausschreibung zugeschnitten.
[Lesen Sie auch: Stellen Sie IT-Mitarbeiter im Homeoffice ein? Hüten Sie sich vor Deepfake-Betrug]
Diese Personas werden mitunter in mehreren Anwendungen wiederverwendet. Um ihre Glaubwürdigkeit zu stärken, werden die IT-Fachkräfte zudem digitale Spuren hinterlassen – beispielsweise GitHub-Profile –, um ihre bisherigen Arbeiten zu präsentieren.
Einsatz von KI zur Verbesserung von Täuschungsmanövern
Microsoft stellte fest, dass KI zur Verbesserung dieser Profile eingesetzt wurde, unter anderem zur Erstellung von Profilfotos, Lebensläufen und E-Mail-Adressen. Ein öffentlich zugängliches Repository enthielt Beispiele für diese KI-generierten Inhalte, von denen angenommen wurde, dass sie mit nordkoreanischen IT-Fachkräften in Verbindung stehen. Neben optischen Täuschungsmanövern setzten die Mitarbeiter KI-gestützte Tools zur Stimmverzerrung ein, um ihre Identität bei Ferninterviews und der Fernkommunikation zu verschleiern.
Die Rolle der Moderatoren
Jasper Sleet hat damit begonnen, „Betreuer“ zu rekrutieren, die IT-Fachkräfte bei der Stellensuche und der Einarbeitung unterstützen sollen. Diese Ansprechpartner unterstützen Sie bei der Eröffnung von Bankkonten, dem Kauf von SIM-Karten, der Registrierung auf Jobportalen und der Festlegung von Lieferadressen für Geräte.
Werkzeuge zur Persistenz und Tarnung
Um sich den Zugriff zu sichern und eine Entdeckung zu vermeiden, nutzt Jasper Sleet virtuelle private Netzwerke (VPNs), virtuelle private Server (VPS), Proxy-Dienste sowie Tools zur Fernüberwachung und -verwaltung (RMM), um sich in die Aktivitäten der Organisation einzufügen und eine dauerhafte Präsenz aufzubauen. Microsoft hat die Nutzung von JumpConnect, TinyPilot, RustDesk, TeamViewer, AnyViewer und AnyDesk festgestellt.
Es überrascht nicht, dass diese IT-Mitarbeiter versuchen werden, jeglichen persönlichen Kontakt zu vermeiden und sich auf Gespräche aus der Ferne zu beschränken, um nicht identifiziert zu werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Microsoft verwendet den Namen „Jasper Sleet“, um „Aktivitäten im Zusammenhang mit dem nordkoreanischen Programm für IT-Fernmitarbeiter darzustellen“. Zudem werden weitere nordkoreanische Bedrohungsgruppen beobachtet, die ähnliche Taktiken, Techniken und Vorgehensweisen (TTPs) anwenden, um sich Zugang zu verschaffen und entsprechende Operationen durchzuführen.
Nordkoreanische IT-Fachkräfte geben seit mehreren Jahren Anlass zur Sorge, und die Bedrohung zeigt keine Anzeichen einer Abschwächung. Angreifer erkennen zunehmend, dass sie weder Hackerangriffe durchführen noch Insider rekrutieren müssen – sich direkt in einem Unternehmen anstellen zu lassen, kann ebenso effektiv sein.
Microsoft weist darauf hin, dass KI diese Bedrohung verschärft, indem sie es Unternehmen erschwert, böswillige Akteure zu erkennen.
Um Sicherheitsverantwortlichen dabei zu helfen, entsprechende Aktivitäten zu erkennen und darauf zu reagieren, stellt Microsoft unter verschiedene Tools und Funktionen zur Verfügung, darunter Untersuchungs- und Überwachungsmaßnahmen, Defender-Warnmeldungen sowie Suchabfragen zur Erkennung von Bedrohungen. Darüber hinaus kann der auf maschinellem Lernen basierende Arbeitsablauf verdächtige Konten kennzeichnen, die möglicherweise mit nordkoreanischen IT-Fachkräften in Verbindung stehen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
