In dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium, wie Angreifer vergessene oder verwaist gewordene DNS-Einträge ausnutzen. Als Nächstes berichtet unser CTI-Team über eine heimliche Malware-Kampagne, bei der dateilose Ausführungstechniken zum Einsatz kommen, um die RAT „Remcos“ zu installieren. Abschließend gibt das Team einen Überblick über eine neuartige Phishing-Kampagne, bei der ein schädliches npm (Node Package Manager) als Teil des Verbreitungsmechanismus zum Einsatz kommt.
Hazy Hawk nutzt DNS-Einträge, um Domains ins Visier zu nehmen
Ein aktueller Bericht von Infoblox mit dem Titel „ “ (wird in einem neuen Tab geöffnet) verdeutlicht, wie veraltete DNS-Einträge – insbesondere solche, die auf stillgelegte Cloud-Infrastruktur verweisen – von Angreifern missbraucht und für böswillige Zwecke genutzt werden können. Ein Akteur, Hazy Hawk, ist ein DNS-versierter Angreifer, von dem bekannt ist, dass er genau dies tut.
Infoblox wurde Anfang 2025 auf diesen Akteur aufmerksam, nachdem dieser die Kontrolle über Subdomains der US-amerikanischen Zentren für Krankheitskontrolle und Prävention (CDC) erlangt hatte. Da sich diese Lücken im DNS nur schwer erkennen lassen, gehen Forscher davon aus, dass Hazy Hawk wahrscheinlich Zugang zu einem umfangreichen passiven DNS-Dienst hat.
Bislang wurde beobachtet, dass der Angreifer Dutzende von Organisationen ins Visier genommen hat.
Wie Hazy Hawk Cloud-Ressourcen ins Visier nimmt
Hazy Hawk hat sich darauf spezialisiert, verlassene Cloud-Ressourcen wie AWS- S3 -Buckets und Azure-Endpunkte zu kapern, indem es vergessene DNS-Einträge ausnutzt. Wie Infoblox feststellt, erfordert die Durchführung solcher Angriffe ein hohes und selten anzutreffendes Maß an technischer Raffinesse.
Hazy Hawk hat sich darauf spezialisiert, Lücken in DNS-Einträgen aufzudecken, Domains zu kapern und diese für das Hosten bösartiger URLs zu missbrauchen. Um einer Entdeckung zu entgehen, kapert der Angreifer die Subdomains beliebter und seriöser Domains, verschleiert URLs, verwendet Inhalte anderer Websites für seine Seite und leitet die Opfer über mindestens eine URL weiter, die einen bekannten Dienst nutzt.
Die Opfer dieses Angriffs werden häufig in ein Verkehrsverteilungssystem (TDS) geleitet, das entscheidet, wohin sie weitergeleitet werden sollen.
Infoblox stellt fest, dass die Zielseite häufig nicht mit dem ursprünglichen Lockangebot übereinstimmt. So nutzen beispielsweise viele der vom Angreifer verwendeten URLs die zuvor gekaperte Subdomain „cdc.gov“ und leiten das Opfer zunächst über eine Blogspot-Seite und anschließend über eine „.xyz“-Seite weiter.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Infoblox hervorhebt, macht „Hazy Hawk“ deutlich, dass „da DNS nicht allgemein als Angriffsvektor wahrgenommen wird, solche Angriffe über lange Zeiträume hinweg unentdeckt bleiben können“.
Dieser Akteur hat es gezielt auf hochrangige Organisationen abgesehen und muss keine Sicherheitsperimeter durchbrechen, um erfolgreich zu sein.
Diese Art von Angriff ist schwer zu erkennen, es sei denn, Sie überwachen die DNS-Sicherheit aktiv.
Neue Malware-Kampagne verbreitet die dateilose Remcos-RAT
Ein kürzlich veröffentlichter Beitrag von Qualys mit dem Titel „ “ (wird in einem neuen Tab geöffnet) beleuchtet eine heimliche Malware-Kampagne, die dateilose Ausführungstechniken nutzt, um den Remcos-RAT zu verbreiten, bei dem es sich um einen leistungsstarken Fernzugriffstrojaner (RAT) handelt.
Der Angriff nutzt PowerShell und Windows-eigene Tools wie „mshta.exe“, um herkömmliche Endpunkt-Schutzmaßnahmen zu umgehen.
Wie die Malware in das System eindringt und dort verbleibt
Laut Qualys beginnt der Angriff mit einer Datei namens „ “new-tax3,11.zip“. In den ZIP-Archiven sind schädliche LNK-Dateien eingebettet, die eine verschleierte HTML-Anwendungsdatei (HTA) ausführen, die ein VBS-Skript enthält.
Qualys hat die Datei „ “new-tax311.zip“ analysiert und festgestellt, dass die anfängliche Ausführung über MSHTA erfolgt, um eine verschleierte HTA-Datei auszuführen. Diese HTA-Datei enthält verschleierten VBScript-Code, der in der Lage ist, Windows Defender zu umgehen.
Der Code lädt zudem PowerShell-Skripte herunter, um PowerShell so zu konfigurieren, dass die Ausführungsrichtlinie umgangen wird, der versteckte Modus aktiviert wird und ein Registrierungsschlüssel zur Persistenz erstellt wird. Die HTA-Datei lädt zudem mehrere Payloads in das öffentliche Verzeichnis des Benutzers herunter, von denen eine beim Systemstart ausgeführt wird.
Wie das Skript die Remcos-RAT verbreitet
Das PowerShell-Skript „ “24.ps1“ ist verschleiert und enthält zahlreiche bedeutungslose Funktionen und Variablen. Es verwendet eine benutzerdefinierte Zeichenfolgenbearbeitung, um zwei im base64 -Format kodierte Blobs zu dekodieren. Das Skript ruft zudem Win32 APIs auf, um Speicher zuzuweisen sowie Code in den Speicher einzuschleusen und dort auszuführen.
Es wird vermutet, dass es sich bei einem der entschlüsselten Blobs um die Remcos-RAT-Binärdatei handelt. Es wird mit Visual Studio C++ 8 kompiliert und nutzt mehrere verschiedene Module, um eine dauerhafte Präsenz zu etablieren, Systemdaten zu erfassen, die Benutzerkontensteuerung (UAC) zu umgehen und eine Verbindung zu seiner C2 -Domäne herzustellen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Viele der bei diesem Angriff angewandten Taktiken, Techniken und Vorgehensweisen (TTPs) entsprechen denen von Akteuren auf der Ebene von Nationalstaaten und „Advanced Persistent Threats“ (APTs), was der Kampagne eine besondere Relevanz verleiht. Die Kampagne nutzt zahlreiche gängige Techniken, darunter dateilose Malware, LOLBins und handelsübliche RATs.
Dies ist eine weitere Kampagne, bei der die Umgehung von Abwehrmaßnahmen im Vordergrund steht – ein Vorgang, der von Angreifern zunehmend automatisiert wird.
Angreifer kombinieren AES und schädliche npm-Pakete in einer Phishing-Kampagne
Forscher bei Fortra (wird in einem neuen Tab geöffnet) haben eine neuartige Phishing-Kampagne aufgedeckt, die ein schädliches npm-Paket als Teil ihres Verbreitungsmechanismus nutzt. Das Paket, das über die npm-Registry verbreitet wurde, war darauf ausgelegt, Anmeldedaten zu sammeln, indem es legitime Module imitierte.
Wie funktioniert der Phishing-Angriff?
Fortra hat einen Phishing-Angriff vom Typ „ “ ( ) analysiert, der mit einer E-Mail beginnt, die einen schädlichen .HTM-Anhang enthält. Die E-Mail wurde erfolgreich in den Posteingang zugestellt, wahrscheinlich weil die Datei harmlos erscheint. Die Datei enthält verschlüsselten Code, der eine weitere Analyse erforderte und auf JavaScript hinwies.
Wie Fortra feststellt, war die JavaScript-Datei „Teil eines bösartigen npm-Pakets, das unter dem Deckmantel einer gewöhnlichen Open-Source-Bibliothek gehostet wurde“. Das Paket würde ein Skript der zweiten Stufe laden und ausführen, das dafür zuständig ist, mithilfe der E-Mail-Adresse des Opfers maßgeschneiderte Phishing-Links zu erstellen, die das Opfer auf eine gefälschte Microsoft 365 -Anmeldeseite weiterleiten.
Was steht in der Phishing-E-Mail?
Wie bereits erwähnt, enthält die Phishing-E-Mail einen schädlichen .HTM-Dateianhang. Bei weiteren Untersuchungen stellte Fortra fest, dass die Datei eine AES-Verschlüsselung verwendet, um eine in einer bestimmten Variablen gespeicherte Zeichenfolge zu verbergen.
AES-Verschlüsselung kommt in Phishing-Kampagnen eher selten vor, da die Angreifer häufig auf weniger ausgefeilte Verschleierungsmethoden zurückgreifen. Nach der Entschlüsselung des Inhalts stellten sie fest, dass dieser auf eine URL verwies, die auf „jsDelivr“ gehostet wurde – einem CDN zur Bereitstellung von beispielsweise npm-Paketen.
Das bösartige npm-Paket verstehen
Als Fortra der Sache nachging, war das npm-Paket bereits gesperrt worden. Dennoch gelang es dem Programm, das Paket über Node.js zu installieren, und es stellte fest, dass einer der heruntergeladenen Ordner, „MOMENTUM“, eine Datei namens „NOW.API.JS“ enthält, die die nächste Stufe des Angriffs darstellt. Diese Datei lädt zusätzliche schädliche Inhalte.
Wie Opfer auf Phishing-Seiten umgeleitet werden
Fortra hat eine Reihe bösartiger URL-Weiterleitungen identifiziert. Das zuvor erwähnte JavaScript verwies auf eine als bösartig bekannte URL. Sie stellten fest, dass die von der API zurückgegebene Weiterleitungsseite nicht erreichbar war und von Cloudflare als Phishing-Seite gekennzeichnet worden war. Fortra hat eine neuere Version des Pakets identifiziert, die aktualisierte URLs enthielt, von denen eine auf eine aktive Phishing-Seite verweist. Diese Website würde das Opfer auf eine Zielseite weiterleiten, um Zugangsdaten zu stehlen.
Die betreffende Phishing-Website war zum Zeitpunkt der Untersuchung durch Fortra nicht erreichbar. Ein früherer Bericht von „Any.Run“ wurde eingeholt, um einen Screenshot davon zu zeigen, wie die Seite aussah, als sie noch online war. Die Website ist eine typische gefälschte Anmeldeseite im Stil von „Microsoft 365 “.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Fortra erwähnt, sind die verschiedenen bei diesem Angriff eingesetzten Techniken nicht einzigartig. In Kombination stellen sie jedoch eine größere Bedrohung dar. Akteuren ist es mittlerweile gängige Praxis, verschiedene TTPs zu kombinieren, um die Wirksamkeit ihrer Kampagnen zu steigern, und dies ist auch hier nicht anders.
Die Analyse von Fortra macht zudem deutlich, dass der Diebstahl von Zugangsdaten ein vorrangiges Ziel für Angreifer ist und auch weiterhin bleiben wird. Aus diesem Grund ist es unerlässlich, diesen TTPs immer einen Schritt voraus zu sein und sich über die neuesten Lockmittel und Tricks auf dem Laufenden zu halten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
