In der Zusammenfassung dieser Woche liefert das Cyber Threat Intelligence (CTI)-Team von Tanium die neuesten Erkenntnisse zu „Luna Moth“, einer Erpressergruppe, die Datendiebstahl betreibt und aktiv auf in den USA ansässige Rechts- und Finanzinstitute abzielt. Als Nächstes untersucht unser CTI-Team eine Kampagne der Bedrohungsgruppe „Venom Spider“, die sich mit Spear-Phishing-E-Mails an Personalverantwortliche und Personalvermittler richtet. Abschließend untersucht das Team die neueste Version einer bekannten Infostealer-Malware namens StealC.
Der Mondfalter stellt eine Bedrohung für US-amerikanische Organisationen dar
Laut deuten neue Forschungsergebnisse von EclecticIQ (wird in einem neuen Tab geöffnet) darauf hin, dass Luna Moth seine „ “-Rückruf-Phishing-Kampagnen verstärkt und gezielt Organisationen in den USA ins Visier nimmt.
Die Gruppe lockt ihre Opfer nun an, indem sie gefälschte Helpdesk-Telefonnummern anruft und sie dazu verleitet, Tools zur Fernüberwachung und -verwaltung (RMM) zu installieren.
Wer ist Luna Moth?
Luna Moth (auch bekannt als „Silent Ransom Group“, „ UNC3753“ und „Storm-0252“) ist eine hochentwickelte Cyberkriminalitätsgruppe, die sich auf Datendiebstahl und Erpressung spezialisiert hat.
EclecticIQ geht davon aus, dass Luna Moth seit dem März 2025 intensiv „Callback-Phishing“ betreibt. Die Gruppe hat es gezielt auf Rechts- und Finanzunternehmen in den gesamten USA abgesehen.
Luna-Moth-Kampagnen beginnen in der Regel mit einer Phishing-E-Mail vom Typ „ “ ( ), die darauf abzielt, den Empfänger dazu zu verleiten, eine gefälschte Helpdesk-Nummer anzurufen. Sobald der Mitarbeiter mit dem Opfer verbunden ist, gibt er sich als IT-Mitarbeiter aus und fordert dieses auf, legitime RMM-Tools zu installieren.
EclecticIQ weist darauf hin, dass die Angreifer über GoDaddy Domains registriert haben, die sich als US-amerikanische Unternehmen ausgeben – eine Taktik, die den Aspekt des Social Engineering unter dem Begriff „ “ verstärkt und dabei auf eine Strategie zurückgreift, die als „Typosquatting“ bekannt ist.
Missbrauch von GoDaddy-Diensten
EclecticIQ geht davon aus, dass „Luna Month“ mindestens 37 Domains bei GoDaddy registriert hat, um diese jüngste Runde von Callback-Phishing zu unterstützen. Die Domains geben vor, IT-Helpdesks oder Support-Portale verschiedener US-amerikanischer Anwaltskanzleien und Finanzinstitute zu sein. Über das Kontaktformular auf diesen Websites wird der Besucher nach seinem Namen, seiner E-Mail-Adresse und einer kurzen Nachricht gefragt, wodurch der Angreifer grundlegende Informationen zur Erkundung erhalten kann.
Luna Moth missbraucht die Infrastruktur von GoDaddy und nutzt diese, um automatisierte Bestätigungs-E-Mails von „confirmations@godaddy[.]com“ an diejenigen zu versenden, die Angaben im Kontaktformular machen. Wenn das Opfer auf den Link in dieser Bestätigungs-E-Mail klickt, weiß der Angreifer, dass er das Opfer anschließend anrufen muss.
EclecticIQ stellte zudem fest, dass Luna Moth „Reamaze“ nutzte, eine Live-Chat-Plattform, die von GoDaddy eingesetzt wird. Die Gruppe nutzt dies, um KI-Chatbots in einige ihrer Phishing-Seiten einzubetten, die Interaktionen mit einem IT-Helpdesk vortäuschen.
[Lesen Sie auch: 12 KI-Begriffe, die Sie (und Ihr flirtender Chatbot) mittlerweile kennen sollten]
„Luna Moth“ versucht häufig, ein Gefühl der Dringlichkeit zu erzeugen, indem es behauptet, ein Problem erfordere sofortige Maßnahmen, und versucht, die Opfer dazu zu verleiten, RMM-Tools zu installieren. Luna Moth nutzt zudem RMM-Tools, darunter Syncro, SuperOps, Zoho Assist, Atera, AnyDesk und Splashtop. Nach der Installation eines dieser Tools kann der Angreifer mit der Exfiltration von Daten beginnen. Zur Datenexfiltration nutzen sie Tools wie WinSCP und Rclone.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Aus den Erkenntnissen von EclecticIQ geht eindeutig hervor, dass Luna Moth auf den Zug der gefälschten IT-Helpdesks aufspringt, um seine Angriffe zur Datenexfiltration voranzutreiben.
Diese Gruppe setzt die richtige Kombination aus Social Engineering und legitimen Tools ein, um unentdeckt zu bleiben. Unternehmen werden dazu aufgefordert, die Schulung ihrer Mitarbeiter sowie deren Sensibilisierung für „Luna Moth“ zu verstärken, um Angriffe zu verhindern.
Venom Spider richtet sich an Personalverantwortliche und Personalvermittler
Arctic Wolf hat kürzlich (wird in einem neuen Tab geöffnet) eine Kampagne der Bedrohungsgruppe „Venom Spider“ beobachtet, die sich über Spear-Phishing-E-Mails an Personalverantwortliche und Personalvermittler richtet.
Die Gruppe nutzt seriöse Messaging-Dienste und Jobbörsen, um sich auf Stellen zu bewerben, und reicht dabei Lebensläufe ein, die darauf ausgelegt sind, Schadsoftware zu verbreiten. Zudem nutzen sie eine als „Server-Polymorphismus“ bezeichnete Strategie, um die Schadcode-Ladungen zu übertragen.
Giftige Spinne: Ein kurzer Überblick
„Venom Spider“ ist eine finanziell motivierte Bedrohungsgruppe, die Organisationen über Stellenanzeigen auf Websites von Drittanbietern, wie beispielsweise LinkedIn, ins Visier nimmt.
Die Gruppe war in den letzten Jahren aktiv. In jüngster Zeit haben sie ihre Bemühungen jedoch intensiviert und richten sich direkt an Personalvermittler und Personalverantwortliche mit manipulierten Phishing-Links, die vorgeben, von Arbeitssuchenden zu stammen.
[Lesen Sie auch: Stellen Sie IT-Mitarbeiter im Homeoffice ein? Hüten Sie sich vor Deepfake-Betrug]
Laut Arctic Wolf führen die Phishing-Links in der Regel zu bösartigen Websites, auf denen die schädlichen Lebensläufe gehostet werden. Venom Spider wird versuchen, in dieser Infektionskette die Malware „More_eggs“ zu verbreiten.
Den Angriffsvektor von Venom Spider verstehen
Der Angriff beginnt mit einer Spear-Phishing-E-Mail, die an den Personalvermittler oder den Personalverantwortlichen gesendet wird. Diese E-Mail enthält einen Link zum Herunterladen des Lebenslaufs des Bewerbers. Auf der Website muss der Besucher vor dem Herunterladen des Lebenslaufs ein CAPTCHA-Kästchen ankreuzen. Der Lebenslauf wird als ZIP-Datei heruntergeladen, die eine schädliche LNK- und eine Bilddatei enthält. Die LNK-Datei ist die Nutzlast für die erste Stufe.
Arctic Wolf berichtet, dass die Infrastruktur des Akteurs Serverpolymorphismus unterstützt, was bedeutet, dass bei jedem Download eine neue LNK-Datei generiert wird, um die Code-Verschleierung und die Dateigröße zu verändern.
Die LNK-Datei führt letztendlich Code aus, um WordPad als Ablenkung für das Opfer zu starten, sodass dieses glaubt, der versprochene Lebenslauf werde geöffnet, während im Hintergrund heimlich das Windows-Dienstprogramm %windir%\system32\ie4uinit.exe gestartet wird, um Befehle aus der Datei „ieuinit.inf“ auszuführen, die eine URL enthält, die zu einer HTML-Seite mit einer stark verschleierten JavaScript-Nutzlast führt.
Wie funktioniert die Bibliothek „More_eggs_Dropper“?
Im Anschluss an die vorherige Phase erstellt der JavaScript-Code eine ausführbare Bibliothek, die von Arctic Wolf als „More_eggs_Dropper“-Bibliothek bezeichnet wird. Die Bibliothek verwendet Code, der JavaScript-Code polymorph generiert. Die Ausführung erfolgt zeitverzögert, was die Analyse durch Sandboxen erschwert. Bei der Ausführung werden zudem mehrere Dateien erstellt, darunter:
- Bei einer der Dateien handelt es sich um eine legitime Windows-Ausführungsdatei namens „msxsl.exe“, die XML-Dateien ausführt, welche JavaScript enthalten – eine Technik, die, wie Arctic Wolf feststellt, in der Vergangenheit bereits von Venom Spider eingesetzt wurde .
- Eine weitere Datei erstellt die Datei „More_eggs_dropper“ und führt die Haupt-Payload aus.
Nachdem diese Skripte ausgeführt wurden, wird der Dropper entfernt. Der Dropper erzeugt bei jeder Ausführung eine neue JavaScript-Payload und ist stark verschleiert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Venom Spider“ ist einer von mehreren Akteuren, die es auf Personalvermittler und Personalabteilungen abgesehen haben. Viele dieser Gruppen wenden ähnliche Vorgehensweisen an, sei es durch Spear-Phishing oder durch Kontaktaufnahme auf Plattformen wie LinkedIn, was es einfacher macht, diese Personen darüber aufzuklären, worauf sie achten müssen.
Die Untersuchungen von Arctic Wolf ergaben zudem, dass „weiterhin in die Entwicklung und Wartung“ der charakteristischen Backdoor dieser Gruppe investiert wird, was darauf hindeutet, dass diese Gruppe sowohl auf Social Engineering als auch auf Malware setzt.
Die neue Version von StealC V2 enthält Verbesserungen im Bereich der Tarnung sowie Tools zum Datendiebstahl
Vor kurzem wurde eine neue Version des beliebten Infostealers „StealC“ veröffentlicht. Zscaler hat (wird in einem neuen Tab geöffnet) – die neueste Version – analysiert und dabei mehrere wichtige Neuerungen hervorgehoben, darunter ein optimiertes C2 -Kommunikationsprotokoll, die Verwendung von RC4 -Verschlüsselung, erweiterte Optionen zur Übermittlung von Nutzdaten, einen integrierten Builder sowie verbesserte Funktionen zum Datendiebstahl.
Über StealC V2
„StealC V2 “ wurde erstmals in „März 2025“ veröffentlicht. Es nutzt ein JSON-basiertes Netzwerkprotokoll, das in seinen neuesten Varianten mit der Verschlüsselungsmethode „ RC4 “ arbeitet, und unterstützt nun zusätzliche Optionen für Malware-Loader, um MSI-Pakete und PowerShell-Skripte zu übertragen.
Die neue Version verfügt zudem über ein neu gestaltetes Bedienfeld, die Möglichkeit, Screenshots auf mehreren Monitoren zu erstellen, einen einheitlichen Datei-Grabber sowie serverseitige Brute-Force-Funktionen.
Bei der ersten Ausführung entschlüsselt diese Version die wichtigen Zeichenfolgen mithilfe eines fest programmierten Schlüssels mit dem Wert RC4 .
Außerdem überprüft es das Ablaufdatum und beendet sich gegebenenfalls selbst. Außerdem wird überprüft, ob keine doppelten Instanzen des Programms ausgeführt werden.
Wesentliche Unterschiede zwischen den StealC-Versionen
Zwar wurde „StealC V2 “ im Jahr März 2025 veröffentlicht, doch seitdem sind mehrere neue Versionen auf den Markt gekommen. Zum Zeitpunkt der Veröffentlichung ist die aktuelle Version 2,2,4.
StealC V2 kann nun drei Arten von Payloads herunterladen und ausführen, darunter .exe-Dateien, MSI-Pakete und PowerShell-Skripte.
Looking at its network communication protocol, StealC V2 uses JSON-based requests and responses for C2 communication. Der C2 -Server kann zudem vier Vorgangstypen verarbeiten, darunter „create“, „upload“, „done“ und „loader“, wobei „create“ stets die erste Anfrage zur Registrierung der Infektion ist. Die Antwort des C2 -Servers bestimmt das Verhalten und die Aufgaben der Schadsoftware. Das neu gestaltete Bedienfeld verfügt nun auch über einen integrierten Builder.
Die Analyse von Zscaler ergab zudem einige wichtige Erkenntnisse hinsichtlich der Infrastruktur von StealC V2’s im Vergleich zu früheren StealC-Versionen:
- Zunächst muss für das Builder-Modul ein Versions-Update durchgeführt werden, das in einem ZIP-Archiv enthalten ist und hochgeladen werden muss, damit keine alten Versionen verwendet werden können.
- Es stellte sich zudem heraus, dass das Kontrollpanel die Integration von Telegram-Bots, die regelbasierte Übermittlung von Nutzdaten, dateibasierte Uploads, IP-basierte Sperrungen und vieles mehr unterstützt.
- Zudem ist der Builder in das Bedienfeld integriert. Dadurch kann der Bediener auf einfache Weise Regeln für Lader und Greifer erstellen.
- Diese neuen Versionen bieten eine verbesserte Verschleierung, RC4 -Verschlüsselung, die Auflösung aller API-Funktionen zur Laufzeit, einen optimierten Download von Payloads und vieles mehr.
- Die neueste Version verfügt zudem über eine Selbstlöschfunktion.
Es befindet sich noch in der Entwicklung, und es werden regelmäßig neue Updates veröffentlicht.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die neueste Version von StealC bietet mehrere Verbesserungen. Diese neueste Version bietet nicht nur zusätzliche Tarnfunktionen, sondern entwickelt sich zudem rasant weiter, wobei seit März immer wieder neue Versionen veröffentlicht werden.
Zscaler weist darauf hin, dass StealC häufig in Verbindung mit anderen Malware-Familien eingesetzt wird, was es noch gefährlicher macht.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
