CTI Roundup: Linux-Malware, UNC5518, PRC-Nexus

Diese Woche befasst sich CTI mit einer neuen Linux-Malware-Kampagne, die in der Lage ist, die Erkennung durch Antivirenprogramme zu umgehen. Anschließend erläutert CTI, wie Cyberkriminelle die „ClickFix“-Taktik und gefälschte CAPTCHA-Seiten nutzen, um die Backdoor „CORNFLAKE.V3 “ zu verbreiten. Schließlich untersucht CTI eine neue „PRC-Nexus“-Kampagne, bei der Web-Datenverkehr missbraucht wird, um über gefälschte Seiten für Browser-Updates Malware zu verbreiten.

1. Neue Linux-Malware umgeht die Erkennung durch Antivirenprogramme

Eine kürzlich von Trellix durchgeführte Untersuchung deckte eine heimliche „ “-Linux-Malware-Kampagne auf , die mithilfe bösartiger Dateinamen Code ohne herkömmliche Dateien ausführt und so die meisten Erkennungsmethoden umgeht.

Die endgültige Schadsoftware, eine dateilose Backdoor namens VShell, läuft vollständig im Arbeitsspeicher und gewährt Angreifern uneingeschränkten Fernzugriff, während sie sich als legitimer Systemprozess tarnt.

Infektionskette

Die Infektion beginnt mit einer Spam-E-Mail, die einen RAR-Anhang enthält. Das RAR-Archiv enthält eine Datei, deren Dateiname Bash-kompatiblen Code enthält, der Befehle ausführen kann, wenn er von der Shell interpretiert wird. Der Dateiname bleibt inaktiv, bis ein Skript oder ein Befehl den Dateinamen auswertet oder erweitert.

• Ursprünglicher Infektionsweg: Die ursprüngliche Spam-E-Mail enthält eine Einladung zur Teilnahme an einer Umfrage zu Schönheitsprodukten sowie eine finanzielle Belohnung für diejenigen, die diese ausfüllen.

Trellix weist darauf hin, dass der Nutzer in der E-Mail nicht dazu aufgefordert wird, das angehängte Archiv „yy.rar“ zu öffnen. Stattdessen hofft der Angreifer, dass der Empfänger den Anhang fälschlicherweise für etwas hält, das mit der Umfrage in Zusammenhang steht. Die extrahierte Datei weist einen speziell gestalteten Dateinamen auf, der böswilliges Verhalten auslöst, ohne dass der Benutzer eingreifen muss.

• Stufe 1 – als Waffe eingesetzter Dateiname in der Datei „inside.rar“: Trellix weist darauf hin, dass diese extrahierte Datei einen ungewöhnlichen Namen trägt und dass Sie „eine Datei mit diesem Namen in der Shell nicht manuell erstellen können, da die darin enthaltenen Sonderzeichen als Befehlssyntax interpretiert werden“. Trellix geht davon aus, dass der Dateiname möglicherweise mit einer Sprache wie Python erstellt wurde. Es ist auch möglich, dass die Datei mithilfe eines Tools oder Skripts abgelegt wurde, das die Validierung von Shell-Eingaben umgehen kann. Der entschlüsselte Dateiname stellt eine Verbindung zum C2 -Server her und lädt ein Skript für die zweite Stufe herunter bzw. führt dieses aus.
• Stage 2 – Downloader-Skript: Das Downloader-Skript sucht nach beschreibbaren Verzeichnissen, in denen es Dateien ablegen und ausführen kann, ermittelt die Systemarchitektur, ruft je nach Architektur die entsprechende Binär-Payload ab und führt eine unauffällige Ausführung über „nohup“ durch.
• Stage- 3 -Nutzlast – In-Memory-Loader für VShell-Malware: Nachdem das Stage- 2 -Skript die Systemarchitektur ermittelt und die entsprechende Binärdatei abgerufen hat, wird der weitere Verlauf der Infektion ausgelöst. Die Binärdatei stellt eine C2 -Verbindung her, indem sie eine HTTP-GET-Anfrage an den Server sendet, die XOR-verschlüsselte Nutzlast empfängt und diese anschließend aus dem Speicher entschlüsselt und ausführt. Trellix weist darauf hin, dass der Thread im Arbeitsspeicher umbenannt wird, um als legitimer Linux-Kernel-Thread zu erscheinen. Außerdem wird sichergestellt, dass keine anderen Instanzen ausgeführt werden, um eine erneute Infektion zu vermeiden.
• Endgültige Nutzlast – VShell-Malware: VShell-Malware wird in der Regel von chinesischen APT-Gruppen eingesetzt. Zu den wichtigsten Funktionen zählen der Zugriff über eine Reverse-Shell, die Möglichkeit zur Durchführung von Dateioperationen, die Prozessverwaltung, Portweiterleitung und vieles mehr.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Die hinter dieser Kampagne stehenden Angreifer verfügen wahrscheinlich über ein hohes Maß an Fachwissen, was sich an ihren fortschrittlichen Fähigkeiten wie der architekturspezifischen Übermittlung von Schadcode, der Ausführung im Arbeitsspeicher und ausgeklügelten Verschleierungstaktiken erkennen lässt.

Wie Trellix hervorhebt, verdeutlicht diese Kampagne eine gefährliche Entwicklung bei der Verbreitung von Linux-Malware. Dies ist besonders wichtig, da Angreifer zunehmend Linux-Systeme ins Visier nehmen.

2. UNC5518 installiert CORNFLAKE.V3 mithilfe von ClickFix und gefälschten CAPTCHA-Seiten

Laut Mandiant nutzt der Angreifer „ UNC5518 “ die ClickFix-Technik, um Websites zu kompromittieren, gefälschte CAPTCHA-Verifizierungsseiten unter bereitzustellen und Downloader-Skripte zu verbreiten, die es anderen Akteuren ermöglichen, die Backdoor „CORNFLAKE.V3 “ zu installieren. Bei den Akteuren UNC5774 und UNC4108 wurde beobachtet, dass sie diesen Zugang nutzen.

Was ist CORNFLAKE.V3?

CORNFLAKE.V3 ist eine heimliche, hartnäckige Malware, die in JavaScript oder PHP geschrieben ist, Remote-Payloads ausführt und Cloudflare-Tunnel nutzt, um einer Erkennung zu entgehen. Die Malware ruft über HTTP Nutzdaten ab, darunter Shell-Befehle, ausführbare Dateien und DLLs.

Mandiant gibt an, dass CORNFLAKE.V3 lediglich eine aktualisierte Version von CORNFLAKE.V2 ist, wobei sich die ursprüngliche CORNFLAKE-Malware am stärksten von diesen neuesten Varianten unterscheidet.

Die Malware überprüft zunächst, ob jeweils nur eine Instanz des Skripts ausgeführt wird, bevor sie mit der Erfassung von Systeminformationen beginnt. Anschließend werden die C2 Server-IP-Adressen festgelegt, und das Programm wechselt in eine Schleifenfunktion. Um eine dauerhafte Präsenz zu gewährleisten, legt die Malware einen „Run“-Schlüssel in der Registrierung mit dem Namen „ChromeUpdater“ an.

Mandiant stellte fest, dass die Malware verschiedene Arten von Payloads ausführte, die von ihrem Server C2 stammten. Eine dieser Nutzlasten war ein Batch-Skript voller Aufklärungsbefehle – insbesondere Active-Directory-Befehle. Das Programm ermittelt, ob der Host einer Domäne angehört oder nicht, und führt auf dieser Grundlage verschiedene Erkundungsschritte durch.

Darüber hinaus stellte Mandiant ein Batch-Skript fest, das versucht, Anmeldedaten mittels „Kerberoasting“ zu erbeuten – einer Angriffsmethode, die auf das Windows Active Directory abzielt, indem sie das Kerberos-Authentifizierungsprotokoll missbraucht.

PHP-Variante und ausgeführte Payloads

Mandiant hat zudem eine PHP-Variante von CORNFLAKE.V3 festgestellt, die früheren Versionen ähnelt. Diese spezielle Variante wird von einem In-Memory-Skript abgelegt, wobei wiederum die „ClickFix“-Technik zum Einsatz kommt.

Dieses Skript lädt das PHP-Paket herunter, speichert es auf der Festplatte und entpackt es. Zu den ausgeführten Payloads gehören unter anderem eine zur Erkundung von Active Directory sowie ein zusätzliches Backdoor-Implantat namens WINDYTWIST.SEA.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Die Analyse von Mandiant zeigt, dass „Access-as-a-Service“-Modelle immer ausgefeilter werden und sich immer schneller verbreiten. Die Rolle von UNC5518’s als „Initial Access Broker“ verdeutlicht, wie sich die Ökosysteme der Cyberkriminalität zunehmend modularer und effizienter gestalten, was es den Akteuren ermöglicht, zusammenzuarbeiten und ihre Operationen fast wie legitime Organisationen auszuweiten. Bei dieser Aktivität kommen zudem gängige Taktiken wie „ClickFix“ und gefälschte CAPTCHAs zum Einsatz, und es wird legitime Infrastruktur missbraucht.

Der Bericht von Mandiant enthält Suchabfragen, die Ihnen dabei helfen können, entsprechende Sicherheitsverletzungen in Ihrer Umgebung zu identifizieren.

3. Die „PRC-Nexus“-Kampagne lenkt den Web-Datenverkehr um

Im März entdeckte die Google Threat Intelligence Group (GTIG) eine mit China in Verbindung stehende Hackergruppe namens „ UNC6384 “, die eine ausgeklügelte Cyberspionagekampagne vom Typ „“ durchführte, die sich gegen Diplomaten richtete.

UNC6384 hat den Web-Datenverkehr abgefangen und über gefälschte Seiten für Browser-Updates Malware verbreitet. Im Rahmen der Operation kamen Techniken wie „Adversary-in-the-Middle“-Angriffe (AitM), signierte Malware und das Side-Loading von DLL-Dateien zum Einsatz, um einer Erkennung zu entgehen und einen dauerhaften Zugriff aufrechtzuerhalten.

Kampagnenübersicht

Google stellte fest, dass alle Schadcode-Payloads dieser Kampagne als Software- oder Plugin-Updates getarnt waren und über die „ UNC6384 “-Infrastruktur mittels AitM und Social Engineering verbreitet wurden.

Der Webbrowser des Opfers prüft, ob die Internetverbindung über ein Captive Portal erfolgt; ein AitM leitet den Browser auf eine vom Angreifer kontrollierte Website um, und die Malware wird in mehreren Schritten eingeschleust.

Verbreitung von Malware

Google identifizierte den Angreifer, der mithilfe eines Captive-Portal-Hijacks Malware verbreitete, die als Adobe-Plugin getarnt war. Wie Google erläutert, ist ein Captive Portal „eine Netzwerkkonfiguration, die Nutzer auf eine bestimmte Webseite – in der Regel eine Anmelde- oder Startseite – weiterleitet, bevor ihnen der Internetzugang gewährt wird.“

Google weist darauf hin, dass alle Webbrowser über diese Funktion verfügen. Ihre Untersuchung deckte Weiterleitungsketten von Googles „gstatic“-Domain auf, die zur Website des Angreifers führten, über die Malware verbreitet wurde.

Gefälschte Plugin-Aktualisierung

Das Opfer wird auf eine andere Seite weitergeleitet und dazu verleitet, zu glauben, es benötige ein Software-Update, woraufhin es die Malware herunterlädt, die sich als Plugin-Update tarnt. Die Webseite selbst erscheint dem Opfer als legitime Seite für Software-Updates, nutzt eine HTTP-Verbindung mit einem gültigen TLS-Zertifikat, und die Nutzlast selbst ist digital signiert. Wenn das Opfer auf die Schaltfläche klickt, um das Update zu installieren, erhält es Anweisungen, wie der Download so durchgeführt werden kann, dass die Sicherheitsvorkehrungen von Windows umgangen werden.

Malware-Analyse

• STATICPLUGIN-Downloader: Die zuvor heruntergeladene Datei „AdobePlugins.exe“ ist ein Malware-Downloader der ersten Stufe, der mit einem gültigen Zertifikat signiert ist. Google hat festgestellt, dass der Binärcode am 9. Mai 2025 signiert wurde und nicht mehr aktiv ist. Dieser STATICPLUGIN-Downloader verwendet ein benutzerdefiniertes TForm-Formular, um sich als Installationsprogramm für Microsoft Visual C++ 2013 auszugeben. Nach der Installation zusätzlicher Dateien wird CANONSTAGER über das seitliche Laden von DLLs ausgeführt.
• CANONSTAGER-Launcher: Der Zweck von CANONSTAGER besteht darin, die verschlüsselte Nutzlast auszuführen. Diese Nutzlast wird als SOGU.SEC bezeichnet und ist eine Variante von SOGU. Der Launcher nutzt benutzerdefiniertes API-Hashing und Thread Local Storage, verbirgt seinen Launcher-Code in einer benutzerdefinierten Fensterprozedur und setzt SOGU.SEC ein.
• SOGU.SEC-Backdoor: Es ist bekannt, dass die SOGU-Malware von UNC6384 genutzt wird. Es kann Systeminformationen erfassen, Dateien von seinem C2 hoch- und herunterladen sowie eine Remote-Befehlsshell ausführen.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Für effektive Spionage sind nicht immer Zero-Day-Exploits erforderlich. Wie diese Kampagne zeigt, nutzen Angreifer zudem Strategien wie Social Engineering, Traffic-Hijacking und „Living-off-the-Land“-Techniken, um Abwehrmaßnahmen zu umgehen und ihre Ziele zu erreichen.

Diese Angriffskette, die in hohem Maße auf das Verhalten des Browsers und eine Umleitung über ein Captive-Portal setzt, gibt den Zielpersonen Anlass zu zusätzlicher Sorge – insbesondere jenen, die in weniger vertrauenswürdigen Umgebungen arbeiten, wie beispielsweise in Hotels oder auf Konferenzen.

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Diskussionsforum von Tanium unter, und starten Sie eine Unterhaltung.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .