In dieser Woche untersucht CTI, wie ein Angreifer ein Open-Source-Toolkit namens „Gophish“ nutzt, um Phishing-Kampagnen durchzuführen. Als Nächstes untersucht CTI, wie Angreifer schädliche Inhalte in Dateien virtueller Festplatten einbetten, um sichere E-Mail-Gateways (SEGs) und Antivirenprogramme zu umgehen. Abschließend liefert CTI aktuelle Informationen zur berüchtigten Bumblebee-Malware, die offenbar wieder auf dem Vormarsch ist.
Ein Angreifer nutzt das Gophish-Toolkit für Phishing-Kampagnen
Eine aktuelle Kampagne nutzt modulare Infektionsketten, die entweder auf „Maldoc“ (bösartige Dokumente) oder auf HTML basieren – in beiden Fällen ist eine Interaktion des Opfers erforderlich, um den weiteren Verlauf der Infektionskette in Gang zu setzen. Forscher haben im Rahmen des Angriffs zudem einen bislang nicht dokumentierten PowerShell-RAT (Remote-Access-Trojaner) entdeckt.
Verwendung des Gophish-Toolkits
Cisco Talos analysierte (wird in einem neuen Tab geöffnet) bösartige Links in diesen Phishing-E-Mails und identifizierte die vom Angreifer kontrollierten Hosting-Domains, über die ein bösartiges Microsoft Word-Dokument und eine HTML-Datei verbreitet wurden.
Die Domain wird auf eine IP-Adresse aufgelöst, die als AWS- EC2 -Instanz bestätigt wurde. Derselbe Server lässt sich zudem auf eine andere Domain zurückverfolgen, die schädliche HTML-Dateien mit eingebettetem JavaScript bereitstellt. Es wurde festgestellt, dass der Angreifer das Gophish-Toolkit auf diesem Server bereitgestellt hat, das auf Port 3333 lief.
Eine aus mehreren Modulen bestehende Kampagne
Die Kampagne verfügt über zwei anfängliche Angriffsvektoren:
- Der erste Angriffsvektor ist ein schädliches Word-Dokument.
- Der zweite Angriffsvektor besteht in der Verwendung von HTML-Dateien mit eingebettetem schädlichem JavaScript.
Eine auf Maldoc basierende Infektion zur Verbreitung von PowerRAT
In dieser Infektionskette muss das Opfer das schädliche Word-Dokument öffnen und die Schaltfläche „Inhalt anzeigen“ im Dokumentenbanner aktivieren. Durch diese Aktion wird die Ausführung des schädlichen VB-Makroprogramms (Visual Basic) ermöglicht.
Der Schauspieler fügte strategisch einen mit „ base64 “ kodierten Datenblock in das Dokument ein, passte dessen Textfarbe jedoch an den Hintergrund des Dokuments an. Das Makro speichert eine schädliche .hta-Datei (HTML-Anwendungsdatei) und einen PowerShell-Loader auf dem Computer des Opfers ab.
Cisco Talos hat zudem eine neue PowerShell-RAT als eine der in dieser Infektionskette ausgeführten Payloads entdeckt. Das Tool wird im Arbeitsspeicher des Computers ausgeführt und kann zusätzliche PowerShell-Skripte und -Befehle ausführen. Es führt Erkundungsmaßnahmen durch, sammelt Informationen, schreibt Daten in den Speicher und leitet diese weiter.
HTML-basierte Infektion zur Verbreitung von DCRAT
In diesem Beispiel verwendet der Angreifer HTML-Dateien, in die bösartiges JavaScript eingebettet ist.
Wenn das Opfer auf einen Link in der Phishing-E-Mail klickt, wird auf dem Computer eine HTML-Datei geöffnet, die schädlichen Code enthält. Gleichzeitig wird JavaScript ausgeführt, was zum Herunterladen eines ZIP-Archivs führt.
Das Opfer muss das Archiv manuell entpacken und die darin enthaltene ausführbare Datei ausführen, die sich als die legitime VK-Messenger-Anwendung tarnt. Diese Maßnahme wird letztendlich zu einer DCRAT-Infektion führen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Beide Infektionsketten des Akteurs erfordern ein gewisses Maß an Interaktion seitens des Nutzers, damit der weitere Verlauf des Angriffs erfolgreich eingeleitet werden kann.
Eine wachsende Zahl von Angriffen stützt sich auf die Interaktion der Benutzer, wie beispielsweise die „ “-ClickFix-Angriffe , bei denen die Benutzer einen schädlichen Befehl einfügen und ausführen müssen.
Es ist etwas überraschend, dass so viele Kampagnen auf die Interaktion der Nutzer angewiesen sind, da dies die Möglichkeit bietet, dass der Angriff fehlschlägt. Dies ist ein wichtiges Beispiel dafür, dass die Sensibilisierung und Schulung der Benutzer von „ “ von entscheidender Bedeutung sein kann.
Angreifer umgehen SEGs und Antiviren-Scanner
Cofense hat festgestellt (wird in einem neuen Tab geöffnet) , dass Angreifer schädliche Inhalte in Dateien virtueller Festplatten einbetten, um einer Erkennung durch SEGs und Antivirenlösungen zu entgehen.
Trends im Wahlkampf
Cofense stellte fest, dass Dateien virtueller Festplatten im Laufe des Jahres 2024 in mehreren Kampagnen als Verbreitungsmechanismus genutzt wurden. Die Köder variieren je nach Aktion, doch offenbar werden durchweg folgende Modelle eingesetzt: Remcos RAT und/oder XWorm RAT.
- Mai 2024 Kampagne: „ “ Bei dieser Kampagne wurden Phishing-E-Mails versendet, die einen Link enthielten, der vorgab, ein relevantes Steuerdokument zu sein, stattdessen jedoch eine Datei mit einer virtuellen Festplatte herunterlud. Nach dem Herunterladen der Datei würde das Opfer die Haupt-Payload ausführen, die den Remcos-RAT installieren würde.
- Kampagne „June/Juli 2024 “: Im Rahmen dieser Kampagne gaben sich Phishing-E-Mails vor, von Canada Post und verschiedenen anderen Postdiensten zu stammen. Die E-Mails enthielten angehängte ZIP-Archive, die unter dem Deckmantel eines Versandetiketts versendet wurden, jedoch eine Datei mit einer virtuellen Festplatte enthielten. Das Öffnen der Datei der virtuellen Festplatte würde das Opfer dazu verleiten, eine schädliche LNK-Datei zu öffnen, die letztendlich einen DotNETLoader und eine XWorm-RAT installieren würde, die wiederum die Remcos-RAT installieren würden.
- August 2024 Kampagne: „ “ Im August richteten die Täter ihre Angriffe gezielt auf Opfer aus, denen ZIP-Dateien beigefügt wurden, die angeblich mehrere Lebensläufe zur Durchsicht enthielten, in Wirklichkeit jedoch dieselbe Datei einer virtuellen Festplatte sowie eine Visual-Basic-Script-Datei enthielten, die den Remcos-RAT im Arbeitsspeicher ausführten. Diese Kampagne umfasste „autorun.inf“-Dateien, bei denen es sich um Konfigurationsdateien handelt, die von älteren Windows-Versionen verwendet werden, um „Aktionen zu definieren, die automatisch ausgeführt werden können, wenn das Laufwerk eingebunden wird“. In diesen älteren Windows-Versionen (vor Windows Vista) können die Dateien missbraucht werden, um Schadsoftware automatisch auszuführen.
Umgehung von SEGs
Dateien auf virtuellen Festplatten können über Links zu seriösen Filesharing-Diensten bereitgestellt werden, um SEGs zu umgehen. Allerdings scheinen sie auch in der Lage zu sein, SEGs auf eigene Faust zu umgehen.
Viele SEGs sind nicht in der Lage, Dateien auf virtuellen Festplatten zu scannen. Einige der Programme, die Dateien auf virtuellen Festplatten scannen können, stützen sich dabei auf Antivirenlösungen, denen es unter Umständen ebenfalls schwerfällt, in Festplatten-Images enthaltene schädliche Inhalte zu erkennen.
Bei der oben erwähnten Kampagne mit Lebenslauf-Thematik gelang es den Angreifern, die SEGs von Cisco, Proofpoint und FireEye zu umgehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist keine große Überraschung, dass Angreifer nach neuen Wegen suchen, um schädliche Inhalte zu verbreiten – insbesondere solche, die in der Lage sind, viele E-Mail-Sicherheitslösungen zu umgehen.
Dies ist vergleichbar mit der Situation, als Angreifer begannen, QR-Codes in Phishing-E-Mails einzusetzen – eine als „Quishing“ bezeichnete Technik, die nach wie vor weit verbreitet ist. Derzeit scheinen diese Dateien virtueller Festplatten in der Lage zu sein, bestimmte Sicherheitslösungen zu umgehen, was dazu führen dürfte, dass andere Angreifer daran interessiert sein werden, diese Dateien für ihre Angriffe zu nutzen.
Aus diesem Grund werden Anbieter wahrscheinlich damit beginnen, nach Möglichkeiten zu suchen, diese schädlichen Dateien wirksam zu erkennen – so wie wir es bereits beim QR-Code-Phishing beobachten können.
Die „Bumblebee“-Malware taucht nach einer Unterbrechung wieder auf
Forscher haben bei jüngsten Angriffen (wird in einem neuen Tab geöffnet) den berüchtigten Bumblebee-Malware-Loader entdeckt, was auf ein mögliches Wiederaufleben hindeutet.
Diese Beobachtungen erfolgen nur wenige Monate, nachdem internationale Strafverfolgungsbehörden weltweit mehrere Server beschlagnahmt hatten, was sich auf zahlreiche Malware-Loader-Operationen auswirkte, darunter auch „Bumblebee“.
Erstzugang
Forscher gehen davon aus, dass diese jüngsten Angriffe mit einer Phishing-E-Mail beginnen, die die Opfer dazu verleitet, eine schädliche ZIP-Datei herunterzuladen. Die ZIP-Datei enthält eine LNK-Datei, die den Angriff auslöst und dazu führt, dass die „Bumblebee“-Nutzlast im Arbeitsspeicher ausgeführt wird.
LNK und PowerShell
Ähnlich wie bei früheren „ “-Kampagnen von Bumblebee kommen auch bei dieser neuesten Kampagne LNK-Dateien und PowerShell zum Einsatz. Im Rahmen dieser Kampagne wurde die Datei als Downloader verwendet, der die nächste Stufe herunterlud und ausführte.
Nach dem Öffnen der LNK-Datei wird ein PowerShell-Befehl ausgeführt, um eine MSI-Datei herunterzuladen. Die Datei wird in „ “ %AppData%\y.msi umbenannt und mit msiexec ausgeführt.
Neuer MSI-Ansatz
Die Malware-Familie „Bumblebee“ scheint nun Malware über MSI-Dateien zu verbreiten. Auch andere Malware-Familien vom Typ „ “, wie DarkGate und Latrodectus, haben MSI-Dateien zur Ausführung von Payloads genutzt.
Netskope hat unter (wird in einem neuen Tab geöffnet) einige Beispiele untersucht, die als Installationsprogramme von NVIDIA oder Midjourney getarnt waren. Bei allen wurde beobachtet, dass sie die Nutzlast in den Arbeitsspeicher luden und dort ausführten, ohne sie auf die Festplatte zu speichern.
Bumblebee scheint eine verdeckte Vorgehensweise zu verfolgen, um die Erstellung weiterer Prozesse zu vermeiden. Netskope hat festgestellt, dass die Malware die „SelfReg“-Tabelle nutzt, um die Ausführung einer Exportfunktion zu erzwingen. Dies dient als Schlüssel zur Ermittlung der auszuführenden Datei in der Tabelle, bei der es sich in dem von Netskope beobachteten Fall um die DLL mit der endgültigen Nutzlast handelte. Die DLL befindet sich in einer CAB-Datei. Sobald die MSI-Installation beginnt, wird die DLL in den msiexec-Prozess geladen, und die Bumblebee-Nutzlast wird entpackt und ausgeführt.
Nutzlast des Bumblebee
Die Forscher identifizierten in der entpackten Nutzlast einige der bekannteren Merkmale der Malware-Familie „Bumblebee“. Sie stellten fest, dass der Ansatz zur Konfigurationsermittlung mit früheren Versionen von Bumblebee identisch ist.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die von Netskope aufgedeckten neuen Kampagnen, bei denen die „Bumblebee“-Malware zum Einsatz kommt, deuten auf ein mögliches Wiederaufleben dieser berüchtigten Malware-Familie hin.
Zwar sind die Maßnahmen der Strafverfolgungsbehörden zur Unterbindung dieser Aktivitäten zweifellos ein Schritt in die richtige Richtung, doch stellen sie keine dauerhafte Lösung dar. „Bumblebee“ war zu seiner Blütezeit recht erfolgreich, weshalb diese mögliche Wiederbelebung im Auge behalten werden sollte.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
