In dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium, wie Angreifer zwei „Phishing-as-a-Service“-Kits in hybriden Kampagnen kombinieren, wodurch die Erkennung und Zuordnung erschwert wird. Als Nächstes untersucht das Team „RomCom“, eine mit Russland in Verbindung stehende Hackergruppe, die nun US-Unternehmen ins Visier nimmt, die die Ukraine unterstützen.
Abschließend geben wir einen Überblick über die iranische Gruppe „MuddyWater“, die kürzlich eine Kampagne gestartet hat, die sich gegen Regierungsstellen und kritische Infrastruktur in Israel und Ägypten richtet.
„Hybrid 2FA “-Phishing stellt eine Bedrohung für Unternehmen dar
ANY.RUN schlägt unter Alarm wegen einer neuen Phishing-Bedrohung namens „ “ ( ), bei der die Phishing-Kits „Salty2FA “ und „Tycoon2FA “ zu einer einzigen Hybridkampagne kombiniert werden. Diese Entwicklung deutet auf einen Wandel hin hin zu modularen, widerstandsfähigen Phishing-Operationen, die sich an Infrastrukturausfälle anpassen und herkömmliche Abwehrmaßnahmen umgehen können.
ANY.RUN stellte fest, dass die Zahl der Salty2FA Sandbox-Einreichungen ab Ende des Jahres „ Oktober 2025“ zurückging. Anfang November beschleunigte sich der Rückgang erheblich, was ANY.RUN dazu veranlasste, Nachforschungen anzustellen.
Forscher stellten fest, dass die Proben aus dem November entweder nicht funktionsfähig waren oder sich anders verhielten als typische Salty2FA -Proben. Gleichzeitig stellten sie fest, dass die Sandbox-Ergebnisse Indikatoren sowohl aus „ Salty2FA “ als auch aus „Tycoon2FA “ in derselben Probe identifizierten – ein Hinweis darauf, dass Angreifer die beiden Kits zu hybriden Payloads kombinierten.
Wie funktioniert die Hybrid-Nutzlast?
Diese Übung beginnt mit einer Phishing-Seite auf Cloudflare Pages Dev, einer Plattform für das Hosting statischer Websites und die Frontend-Entwicklung. Analysten fanden im Code Hinweise darauf, dass das Skript die ursprüngliche Nutzlast von einer Backup-URL abrufen soll, falls deren Laden fehlschlägt. Bei der analysierten Stichprobe lieferte die primäre Salty2FA -Domain einen DNS-Fehler, sodass die Nutzdaten nicht abgerufen werden konnten.
Nach diesem Fehlschlag folgte das Skript seinem Ausweichpfad und forderte die nächste Stufe an. In dieser Phase werden Maßnahmen zur Verhinderung von Analysen durchgeführt, der Seiteninhalt ersetzt, Tastenkombinationen für DevTools blockiert und Zeitmessungen vorgenommen. Schließlich lädt der Code eine Sequenz, die weitgehend mit der Ausführungskette Tycoon2FA’s übereinstimmt, was darauf hindeutet, dass Tycoon2FA als Ersatz-Nutzlast dient, wenn die Infrastruktur Salty2FA nicht verfügbar ist.
Dieser Ausweichmechanismus bedeutet, dass Angreifer ihre Kampagnen auch dann fortsetzen können, wenn die Infrastruktur eines Kits ausfällt, wodurch die Wirksamkeit von Maßnahmen zur Stilllegung einzelner Knotenpunkte eingeschränkt wird.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese neue Hybridkampagne spiegelt einen zunehmenden Trend hin zu ausgereiften Phishing-Ökosystemen wider, in denen Modularität und Redundanz bereits integriert sind. Dies ähnelt der Entwicklung, die Ransomware-Gruppen hin zu RaaS-Modellen durchlaufen haben. Nun zieht auch das Phishing nach.
Angreifer legen mittlerweile größten Wert auf die Aufrechterhaltung des Betriebs und wechseln bei einem Ausfall der Infrastruktur von einem Phishing-Kit zum nächsten – ein Trend, der den Strategien zur Notfallwiederherstellung in Unternehmen ähnelt. Dadurch verlieren Maßnahmen zur Abschaltung an Wirksamkeit, sofern nicht sowohl die Kits als auch deren gemeinsame Infrastruktur betroffen sind.
Der Bericht von ANY.RUN enthält praktische Ratschläge dazu, wie SOC-Teams auf diese Aktivitäten reagieren können.
RomCom nutzt SocGholish zur Verbreitung der „Mythic Agent“-Malware
Laut Arctic Wolf nutzt die mit Russland in Verbindung stehende Hackergruppe RomCom nun das Malware-Framework „SocGholish“, um ihre Malware „Mythic Agent“ gegen US-Unternehmen einzusetzen, die die Ukraine aktiv unterstützen. Damit hat RomCom zum ersten Mal SocGholish genutzt.
Arctic Wolf kam mit mittlerer bis hoher Sicherheit zu dem Schluss, dass die russische GRU-Einheit 29155 hinter dem Angriff steckte, und unterstrich damit dessen geopolitische Bedeutung. Arctic Wolf hat den Angriff erkannt und abgewehrt und veröffentlicht nun Erkenntnisse, die die zunehmende Raffinesse und Zusammenarbeit unter russischen Cyberakteuren aufzeigen.
RomCom, SocGholish und TA569 – Ein Überblick
- Die RomCom-Gruppe „ “ ist eine russlandnahe Gruppe, die seit mindestens drei Jahren aktiv ist und sich in erster Linie gegen Organisationen richtet, die die Ukraine unterstützen – sei es durch direkte Hilfe, Partnerschaften oder damit verbundene Dienstleistungen –, unabhängig von deren Standort.
- SocGholish ist ein Malware-Framework, das erstmals im Jahr 2017 entdeckt wurde. Es wird über bösartiges JavaScript verbreitet, das in Websites eingeschleust wird, fungiert als Downloader und wird zunehmend als Erstzugangsvektor für Ransomware-Angriffe genutzt.
- TA569 ist eine finanziell motivierte Gruppe, die SocGholish im Rahmen eines „Malware-as-a-Service“-Modells betreibt und den Zugriff auf kompromittierte Systeme an Ransomware-Partner verkauft. Er gilt als der wichtigste Angreifer, der „SocGholish“ einsetzt und pflegt, und nutzt gefälschte Browser- und Software-Update-Köder sowie Malvertising, um Infektionen zu verbreiten.
Den Angriffsvektor verstehen
SocGholish schleust in der Regel bösartiges JavaScript in legitime Websites ein und nutzt gefälschte Update-Köder, um Nutzer dazu zu verleiten, Malware herunterzuladen. Gelegentlich verbreitet es sich über Phishing. Ein SocGholish-Kompromittierung kann als Einstiegspunkt für weitere Angriffe dienen, weshalb eine frühzeitige Erkennung und Eindämmung von entscheidender Bedeutung sind.
In einem beobachteten Fall testeten die Angreifer nur wenige Minuten vor der Übermittlung des Shellcode-Loaders von „RomCom“ die Verbindung zu „Mythic Command and Control“ (C2), einem in Python 3 geschriebenen, plattformübergreifenden Red-Team-Framework, das für Sicherheitstests konzipiert wurde, jedoch – wie viele ähnliche Tools – manchmal von Angreifern missbraucht wird, um kompromittierte Systeme zu steuern.
Wann wird der Lader aktiviert?
Nachdem die Verbindung zu Mythic C2 überprüft wurde, kann die nächste Phase des Angriffs beginnen: die Übertragung des Loaders von RomCom. Der Loader, <code>msedge.dll</code>, prüft, ob die Active-Directory-Domäne des Systems mit einem fest programmierten Wert übereinstimmt, bevor er den Shellcode entschlüsselt und ausführt. Bei dem betreffenden Shellcode handelt es sich um den „Mythic“-Agenten, der anschließend seine „ C2 “-Infrastruktur kontaktiert, um weitere Anweisungen zu erhalten.
Arctic Wolf hat den Loader zu diesem Zeitpunkt erkannt und unter Quarantäne gestellt, wodurch ein Weiterverlaufen des Angriffs verhindert wurde.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Arctic Wolf erwähnt, ist dies das erste Mal, dass RomCom „SocGholish“ verwendet hat, was darauf hindeutet, dass Angreifer zunehmend kriminelle und geopolitische Ziele miteinander verflechten.
Die offensichtliche Abstimmung zwischen RomCom und TA569 verdeutlicht, wie Bedrohungsgruppen Allianzen bilden und zusammenarbeiten, um ihre Wirkung zu verstärken, was die Zuordnung der Verantwortlichkeiten und die Verteidigungsstrategien für die Verteidiger weiter erschwert.
Nicht zuletzt zeigen die Erkenntnisse von Arctic Wolf, wie entscheidend mehrschichtige Abwehrmaßnahmen und Verhaltensanalysen im Kampf gegen diese sich ständig weiterentwickelnden Bedrohungen sind.
MuddyWater nimmt kritische Infrastruktur mit sich weiterentwickelnden Taktiken ins Visier
Ein aktueller Beitrag von ESET unter zeigt auf, wie MuddyWater eine neue Kampagne gestartet hat, die sich gegen Regierungsstellen und kritische Infrastruktur in Israel und Ägypten richtet und dabei verdecktere Taktiken sowie maßgeschneiderte Tools wie die Backdoor „MuddyViper“ und den Loader „Fooder“ einsetzt.
Diese Entwicklung deutet auf eine Weiterentwicklung der Gruppe hin hin zu ausgefeilteren, der Verteidigung entgehenden Operationen, was auf eine gesteigerte Leistungsfähigkeit und Durchhaltevermögen hindeutet.
Wer ist MuddyWater?
MuddyWater – auch bekannt als „Mango Sandstorm“ oder „ TA450—is “ – ist eine mit dem Iran verbündete Cyberspionagegruppe, die seit mindestens 2017 aktiv ist. Es zielt in erster Linie auf Regierungsstellen und Sektoren kritischer Infrastruktur im Nahen Osten und darüber hinaus ab.
Anfang dieses Jahres stellte ESET operative Überschneidungen zwischen MuddyWater und Lyceum fest, einer Untergruppe der mit dem Iran verbundenen Gruppe OilRig (auch bekannt als HEXANE). Wie ESET erläutert, deutet dies darauf hin, dass MuddyWater „möglicherweise als Initial-Access-Broker für andere mit dem Iran verbündete Gruppen fungiert“.
Das Toolset von MuddyWater
ESET hat Einzelheiten zu bisher nicht dokumentierten Tools veröffentlicht, die von MuddyWater verwendet werden:
- Loader: Ein 64-Bit-C/C++-Loader, der die MuddyViper-Backdoor reflektiv in den Speicher lädt und ausführt. Es wurde zudem beobachtet, dass Fooder das Open-Source-Dienstprogramm „HackBrowserData“ verbreitet. Zu den bemerkenswerten Merkmalen zählen eine benutzerdefinierte Verzögerungsfunktion sowie Versionen, die sich als das klassische Spiel „Snake“ tarnen.
- MuddyViper-Backdoor: Eine Backdoor in C/C++, die Systeminformationen erfasst, Dateien herunter- und hochlädt, Befehle ausführt und Anmeldedaten stiehlt. Es gewährleistet die Persistenz über Registrierungswerte oder geplante Aufgaben und unterstützt 20 Backdoor-Befehle. Für die Kommunikation mit C2 werden <code>HTTP-GET-Anfragen</code> über <code>Port 443</code> mit ausführlichen Statusmeldungen verwendet.
- CE-Notes – Datendiebstahlprogramm für Browser: CE-Notes wurde erstmals im Jahr 2024 entdeckt und zielt auf Chromium-basierte Browser (Chrome, Edge, Brave) ab. Es wird über PowerShell heruntergeladen und stiehlt den an die App gebundenen Verschlüsselungsschlüssel, der in Chrome-Version 127 eingeführt wurde.
- LP-Notes Credential Stealer: Ein Windows-Credential-Stealer, der ein gefälschtes Windows-Sicherheitsdialogfeld anzeigt, um Opfer zur Eingabe ihrer Anmeldedaten zu verleiten. Es überprüft die Anmeldedaten in Echtzeit und versucht, sich mit diesen anzumelden.
- Blub – Daten-Stealer für Browser: Ein C/C++-Tool, das Anmeldedaten aus Chrome, Edge, Firefox und Opera erfasst. Es verwendet eine statisch eingebundene SQLite-Bibliothek und umfasst einfache Verschleierungstechniken.
- Reverse-Tunnel: MuddyWater nutzt häufig go-socks5 Reverse-Tunnel – eine Sammlung von mit Go kompilierten Tools, die auf Bibliotheken wie go-socks5, yamux und resocks basieren –, um eine unauffällige Netzwerkkommunikation zu ermöglichen und Firewalls zu umgehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium:
Die Entwicklung von MuddyWater von auffälligen, interaktiven Sitzungen hin zu unauffälligeren, im Arbeitsspeicher verbleibenden Techniken deutet auf eine bewusste Verlagerung hin zu langfristiger Persistenz und Tarnung hin, was im Allgemeinen mit den Trends staatlich geförderter Akteure übereinstimmt.
MuddyWater schließt die Lücke zu immer ausgefeilteren „Advanced Persistent Threats“ (APTs), was bedeutet, dass sich die Verteidiger nicht mehr auf bisherige Annahmen bezüglich bestimmter Gruppen verlassen können. Diese Aktivität stützt sich zwar nach wie vor auf Spear-Phishing, um sich zunächst Zugang zu verschaffen, doch die Kombination mit maßgeschneiderten Loadern, die als Spiele getarnt sind, unterstreicht die Notwendigkeit von Schulungen zur Sensibilisierung der Nutzer sowie von Verhaltenserkennung – und nicht nur von signaturbasierten Abwehrmaßnahmen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , , das Tanium-Diskussionsforumsowie , um eine Unterhaltung zu beginnen.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
