Diese Woche eröffnet das Cyber Threat Intelligence (CTI)-Team von Tanium den Überblick mit einem Blick auf einen raffinierten Angriff auf die Lieferkette, an dem zwei schädliche Python-Pakete beteiligt sind. Als Nächstes untersucht unser Team „PipeMagic“, ein modulares Backdoor-Framework, das als ChatGPT-Desktop-App getarnt ist. Zum Abschluss geben wir Ihnen einen Überblick über „Noodlophile Stealer“, eine sich rasch weiterentwickelnde Malware-Kampagne.
Forscher entdecken schädliche Python-Pakete
Zscaler ThreatLabz deckte unter einen ausgeklügelten „ “-Supply-Chain-Angriff auf, an dem die Python-Pakete „termncolor“ und „colorinal“ beteiligt waren. Dabei wurde mehrstufige Malware eingesetzt, die über AES-verschlüsselte Payloads im CBC-Modus und mittels DLL-Injektion bereitgestellt wurde.
Dieser Vorfall verdeutlicht das wachsende Risiko bösartiger Abhängigkeiten in Open-Source-Ökosystemen und die Notwendigkeit einer sorgfältigen Überprüfung von Paketen.
Erkennung bösartiger Pakete
Zscaler stellte fest, dass „ “ (termncolor ) ein zusätzliches Paket namens „“ (colorinal) importierte.
Zscaler gibt an, dass „ termncolor “ „als Farb-Dienstprogramm für Python fungiert, ohne dabei irgendein böswilliges Verhalten zu zeigen“. Die Einbindung der Abhängigkeit „ “ von „colorinal“ ließ die Sache verdächtig erscheinen.
Aktenprüfung
Zscaler hat eine Datei namens „ unicode.py“ im Paket „ colorinal“ gefunden. Obwohl es auf den ersten Blick wie ein Skript zur Farbverwaltung aussieht, lädt es tatsächlich eine eingebettete DLL (terminate.dll), um die Nutzlast der Malware zu entfalten. Die Malware löscht sowohl „ “, „terminate.dll“, „ “ als auch „“, „unicode.py“ und „ “, um die Erkennung und Analyse zu erschweren.
So verläuft der Angriff:
- Erste Phase: Die erste Phase wird ausgelöst, wenn
terminate.dllausgeführt wird. Eine der Hauptfunktionen der DLL besteht darin, die eingebettete Nutzlast zu entschlüsseln und diese entschlüsselte Nutzlast im Verzeichnis „%LOCALAPPDATA%\vcpacket“ zu speichern.
Zscaler weist darauf hin, dass dieser Speicherort auch als Zwischenablage für weitere Dateien der nächsten Stufe dient, darunter zwei ausführbare Dateien, die später für das Sideloading der DLL verwendet werden. Die Malware sorgt durch das Anlegen von Registrierungseinträgen für Persistenz und weist plattformübergreifende Fähigkeiten auf, wobei eine Variante speziell auf Linux zugeschnitten ist. - Zweite Phase: Die zweite Phase beginnt, wenn eine Datei mit dem Namen „
“ oder „libcef.dll“ausgeführt wird. Laut Zscaler handelt es sich hierbei um „die wichtigste schädliche Komponente, die in der ersten Phase abgelegt wird“. Diese DLL unterstützt die Malware bei der Kommunikation mit dem Command-and-Control-Server (C2). Es wurde festgestellt, dass die Malware die Team-Messaging-Plattform „Zulip“ nutzt, um ihre Aktivitäten als potenziell legitime Kommunikation zu tarnen. Die Malware sendet die gesammelten Daten an den Zulip-Kanal, löst anschließend die APIs auf und führt Shellcode aus, den sie vom Angreifer erhalten hat.
Die Malware löst die APIs mithilfe einer benutzerdefinierten Hash-Methode auf, die vermutlich dazu dient, DLL- und API-Namen bei Low-Level-Malware-Operationen zu verschleiern.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Angriff verdeutlicht die zunehmende Häufigkeit und Raffinesse von Bedrohungen in der Lieferkette, insbesondere solcher, die vertrauenswürdige Ökosysteme wie PyPI und andere Repositorien missbrauchen.
Zscaler weist auf Techniken wie legitime Binärdateien für das Sideloading von DLLs und verschlüsselte Payloads hin, die die Erkennung erschweren können und häufig eine Verhaltensanalyse sowie eine gezielte Bedrohungssuche erfordern, die über signaturbasierte Erkennungsmethoden hinausgehen.
Auch wenn die Pakete inzwischen aus PyPI entfernt wurden, machen diese Angriffe deutlich, wie wichtig es ist, die Abhängigkeiten Ihrer Organisation zu kennen.
PipeMagic gibt sich als ChatGPT-Desktop-App aus
Microsoft hat „ “ eine Warnung bezüglich „PipeMagic“ herausgegeben, einem modularen Backdoor-Framework, das von der Cyberkriminalitätsgruppe „Storm-2460“ genutzt wird. Dieses tarnt sich als ChatGPT-Desktop-App und nutzt eine Windows-Zero-Day-Sicherheitslücke aus, um Ransomware zu verbreiten.
PipeMagic uses encrypted named pipes and linked lists to manage payloads, execution, and C2 communication, making it highly evasive and dangerous.
Storm-2460 und PipeMagic
Nach Angaben von Microsoft hat die Bedrohungsgruppe „Storm-2460“ PipeMagic in mehreren Fällen eingesetzt – insbesondere im Rahmen der Vorbereitungsmaßnahmen für Angriffe, an denen CVE-2025-29824 beteiligt war.
Es wurde beobachtet, dass die Gruppe eine Datei von einer kompromittierten, aber legitimen Website heruntergeladen hat, auf der die Malware des Akteurs gehostet wird. Bei dieser heruntergeladenen Datei handelt es sich um eine MSBuild-Datei, die dafür zuständig ist, PipeMagic im Arbeitsspeicher abzulegen und auszuführen. Sobald der Malware-Akteur auf dem Gerät ausgeführt wird, nutzt er die Sicherheitslücke im Windows Common Log File System (CLFS), um seine Berechtigungen zu erweitern und seine Ransomware zu starten.
PipeMagic startet als In-Memory-Dropper, der als ChatGPT-Desktopanwendung getarnt ist. Zu diesem Zweck verwendet der Angreifer eine modifizierte Version des GitHub-Projekts, die PipeMagic als eingebettete Nutzlast enthält. PipeMagic kommuniziert mit seinem C2 über TCP und empfängt Module über eine Named Pipe.
Strukturen interner verknüpfter Listen
Microsoft hat vier unterschiedliche Strukturen doppelt verketteter Listen identifiziert, die von PipeMagic zur Verwaltung von Modulen im Arbeitsspeicher verwendet werden:
- Eine Payload-Verknüpfungsliste , in der die Payload-Module gespeichert sind.
- Eine Ausführungs-Verknüpfungsliste , die die Payload-Module enthält, die erfolgreich geladen wurden und somit zur Ausführung bereit sind.
- Eine netzwerkgebundene Liste , die Netzwerkmodule für die C2 -Kommunikation enthält.
- Ein unbekannter Listen ohne erkennbare Funktion. Microsoft ist der Ansicht, dass „sie dynamisch durch geladene Payloads genutzt wird und nicht durch die Kernlogik der Hintertür selbst“.
Das Befüllen der mit der Nutzlast verknüpften Liste
Wie bereits erwähnt, dient die Payload-Verknüpfungsliste zur Verwaltung von Payload-Modulen. Vor der Initialisierung der Liste generiert die Malware eine zufällige Bot-Kennung für den Host und erstellt anschließend eine benannte Pipe zur Übertragung der Nutzlast.
Diese bidirektionale Verbindung ermöglicht Lese- und Schreibvorgänge zwischen der Malware selbst und dem Mechanismus zur Übertragung der Nutzlast. Die Malware überwacht die Named Pipe, um Payload-Module zu empfangen, reserviert Speicherplatz und fügt diese an das Payload-Verknüpfungslist an.
Konfiguration der Malware
PipeMagic nutzt eine strukturierte Konfiguration zur Verwaltung von Staging-Modi, C2 -Adressen und anderen Betriebsparametern.
Es verfügt über einen Testmodus, der C2 Interaktionen simuliert, ohne dass aktive Netzwerkverbindungen erforderlich sind. Die Malware verfügt über verschiedene Konfigurationsblöcke, die unter anderem die Adresse C2 enthalten.
Netzwerkmodul
Zur Kommunikation mit dem C2 nutzt die Malware das Netzwerkmodul in der vernetzten Liste. Es füllt die Listen mit Modulnotizen, von denen jede ein ausführbares Modul für die Kommunikation C2 enthält.
Microsoft stellte fest, dass die Daten des Netzwerkmoduls direkt in die Binärdatei der Hintertür eingebettet waren. Beim Start des Netzwerkmoduls werden drei Funktionen exportiert und registriert – eine zum Senden von Daten an das C2, eine zum Zurückgeben eines konstanten Werts und eine zum Setzen eines Stoppsignals, das „sowohl die Hintertür als auch das Netzwerkmodul anweist, die gesamte Kommunikation mit dem C2 zu beenden“.
Datenerhebung
Die Malware sammelt eine Vielzahl von Informationen, um diese an ihren C2 -Server zurückzusenden. Zu diesen Informationen gehören unter anderem der Computername, der NetBIOS-Name der Domäne, der Domänenname des Benutzers, die IP-Adresse des Hosts sowie das aktuelle Arbeitsverzeichnis der Malware.
Alle Informationen werden an die C2 zurückgesendet. Wenn die Malware eine Antwort vom C2 erhält, analysiert sie die Daten, um den Befehl zu interpretieren. Der Befehl teilt der Backdoor mit, was als Nächstes zu tun ist, darunter die Ausführung ihrer Kernfunktionen, das Herunterfahren des Netzwerkmoduls zur Unterbrechung der Kommunikation sowie das Aufrufen aller Module.
Backdoor-Funktionen
Einer der Befehle, den Microsoft für besonders wichtig hält, ist Code 0x1. Diese Datei enthält Befehle und Argumente, die PipeMagic die notwendigen Informationen liefern, um seine Backdoor-Operationen durchzuführen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Storm-2460’s : Der Einsatz von verketteten Listen für die Verwaltung von Nutzdaten, die Ausführung und die Kommunikation zeugt von einem hohen Maß an Fachkompetenz und Disziplin. Die Gruppe verfügt vermutlich über beträchtliche Ressourcen.
PipeMagic tarnt sich als vertrauenswürdige Desktop-Anwendung für ChatGPT. Dies unterstreicht erneut, dass Angreifer häufig Köder und Themen nutzen, die sich auf aktuelle Trends beziehen – in diesem Fall KI –, um die Wahrscheinlichkeit erfolgreicher Infektionen zu erhöhen.
Wie immer bietet das Microsoft- hilfreiche Anleitungen zu Abhilfemaßnahmen und Schutzmaßnahmen sowie Informationen zu den von Defender erkannten Bedrohungen.
„Noodlophile Stealer“ greift Unternehmen über soziale Medien an
Ein aktueller Bericht von Morphisec analysiert den „Noodlophile Stealer“, eine sich rasch weiterentwickelnde Malware-Kampagne, die hochgradig zielgerichtete, mehrsprachige Phishing-E-Mails zum Thema Urheberrecht einsetzt, um Unternehmen mit starker Präsenz in den sozialen Medien zu kompromittieren.
Laut Morphisec nutzt „Noodlophile Stealer“ ausgefeilte Tarntechniken und die Übermittlung von Schadcode über Telegram, um Anmeldedaten, Finanzdaten und Systeminformationen zu stehlen, während er sich gleichzeitig auf künftige Funktionen wie Keylogging und Dateiverschlüsselung vorbereitet.
Die „Noodlophile“-Kampagne läuft bereits seit über einem Jahr. Im Rahmen der Kampagne werden Spear-Phishing-E-Mails eingesetzt, die als Mitteilungen über Urheberrechtsverletzungen getarnt sind und maßgeschneiderte Informationen aus der Erkundungsphase enthalten, wie beispielsweise Facebook-Seiten-IDs und Angaben zum Eigentümer.
Die Kampagne richtet sich in erster Linie an Organisationen in den Vereinigten Staaten, Europa, den baltischen Staaten und der APAC-Region. E-Mails werden an bestimmte Mitarbeiter oder an allgemeine Adressen gesendet, die in der Regel mit „info@“ oder „support@“ beginnen.
Der Köder
Im Rahmen dieser Kampagne werden E-Mails wegen Urheberrechtsverletzungen im Zusammenhang mit Facebook-Seiten versendet, wobei versucht wird, das Vertrauen auszunutzen, das Organisationen – insbesondere solche mit starker Präsenz in den sozialen Medien – möglicherweise in Facebook setzen.
Diese E-Mails stammen häufig von Gmail-Konten und verbinden ein Gefühl der Dringlichkeit mit rechtlichen Drohungen, um das Opfer dazu zu drängen, auf bösartige Links oder Dateien zu klicken. Morphisec weist darauf hin, dass die Kampagne mehrsprachige Inhalte nutzt, darunter Englisch, Spanisch, Polnisch und Lettisch.
Ausgabemechanismus
Frühere Kampagnen von Noodlophile nutzten gefälschte KI-Plattformen. Die neueste Variante verbreitet jedoch Schadcode über legitime, signierte Anwendungen, die für das Sideloading von DLLs anfällig sind.
Die Payloads werden über Dropbox-Links bereitgestellt, die mit TinyURL-Weiterleitungen verschleiert sind. Die Archive enthalten getarnte Objekte, wie beispielsweise Batch-Skripte, die als .docx-Dateien getarnt sind, oder SFX-Archive, die sich als .png-Dateien tarnen.
Zwischenstufige Inszenierung
Nach dem Sideloading der DLL nutzt die Kampagne eine Zwischenstufe, um „die erste Ausführung und die Bereitstellung des endgültigen Stealers miteinander zu verknüpfen“.
Zuvor per Sideloading installierte DLLs benennen Archivdateien so um, dass sie den Formaten .pptx, .docx oder .pdf ähneln, wodurch die eigentlichen BAT-Skripte und Python-Interpreter sichtbar werden. Die BAT-Skripte dienen dazu, eine Persistenz herzustellen, indem sie Registrierungseinträge erstellen und zusätzliche Dateien von Remote-Servern herunterladen.
Nutzlastanalyse
Morphisec stellt fest, dass die Skripte stärker verschleiert sind als zuvor. Anstatt die nächste Stufe direkt herunterzuladen, „extrahieren sie eine URL aus der Beschreibung einer Telegram-Gruppe, wodurch die dynamische Ausführung der Nutzlast ermöglicht wird“. Der „Final Stealer“ wird auf kostenlosen Plattformen gehostet, um dessen Aufdeckung und Entfernung zu erschweren.
Ein genauerer Blick auf die Entwicklung von „Noodlophile Stealer“
Innerhalb des Quellcodes von „Noodlophile Stealer“ hat Morphisec Funktionen identifiziert, die Aufschluss darüber geben, wie sich die Malware rasch weiterentwickelt – und welche Verbesserungen für die Zukunft geplant sind.
Zu den von ihnen festgestellten, nicht implementierten Funktionen zählen unter anderem die Erstellung von Screenshots, Keylogging, das Extrahieren von Dateien, die Prozessüberwachung, die Überprüfung von Browser-Erweiterungen und vieles mehr.
Derzeit erfasst die Malware browserbasierte Daten – wie Anmeldedaten, Systeminformationen und Umgebungsdetails – und unterstützt dabei Chrome, Brave, Edge, Opera sowie weitere Browser.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Angreifer hat sich vom allgemeinen Phishing abgewandt und setzt nun auf maßgeschneiderte Angriffe ( ) sowie Social-Engineering-Angriffe (). Dieser Ansatz erfordert umfangreichere Erkundungsmaßnahmen, um glaubwürdige Köder zu erstellen.
Im Rahmen der Kampagne werden zudem lokalisierte Phishing-Inhalte in verschiedenen Sprachen verwendet, was darauf hindeutet, dass der Angreifer möglicherweise KI-Tools für die automatisierte Übersetzung und Personalisierung einsetzt. In ihrer Kombination können diese Taktiken Phishing zweifellos vereinfachen und in größerem Umfang effektiver machen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen unter .
