Diese Woche beginnt das Cyber Threat Intelligence (CTI)-Team von Tanium mit einem Blick auf einen ausgeklügelten Lieferkettenangriff, der zwei bösartige Python-Pakete umfasst. Als Nächstes untersucht unser Team PipeMagic, ein modulares Backdoor-Framework, das als ChatGPT-Desktop-App getarrt ist. Abschließend schließen wir mit einem Überblick über Noodlophile Stealer, eine sich schnell entwickelnde Malware-Kampagne.
Forscher entdecken bösartige Python-Pakete
Zscaler ThreatLabz entdeckte einen ausgeklügelten Lieferkettenangriff mit den Python-Paketen Termncolor und colorinal, die mehrstufige Malware bereitstellten, die über AES-verschlüsselte Nutzdaten mithilfe des CBC-Modus und der DLL-Injektion bereitgestellt wurde.
Der Vorfall hebt das wachsende Risiko bösartiger Abhängigkeiten in Open-Source-Ökosystemen und die Notwendigkeit einer wachsamen Paketüberprüfung hervor.
Schädliche Paketentdeckung
Zscaler fand heraus, dass termncolor ein zusätzliches Paket namens colorinal importierte.
Zscaler gibt an, dass termncolor „als Farbdienstprogramm für Python fungiert, ohne bösartiges Verhalten anzuzeigen.“ Die Einbeziehung der Farbabhängigkeit machte sie verdächtig.
Untersuchung der Datei
Zscaler hat eine Datei namens unicode.py im Farbpaket gefunden. Zunächst scheint es sich um ein Farbdienstprogrammskript zu handeln, und es lädt tatsächlich eine eingebettete DLL (terminate.dll), um die Nutzdaten der Malware bereitzustellen. Die Malware löscht sowohl terminate.dll als auch unicode.py , um die Erkennung und Analyse zu behindern.
So verläuft der Angriff:
- Erste Phase: Die erste Phase wird ausgelöst, wenn
termination.dllausgeführt wird. Eine der Hauptfunktionen der DLL ist die Entschlüsselung der eingebetteten Nutzdaten, wobei diese entschlüsselte Nutzdaten im Verzeichnis%LOCALAPPDATA%\vcpacketgespeichert werden.
Zscaler weist darauf hin, dass dieser Standort auch als Bereitstellungsbereich für zusätzliche Dateien der nächsten Stufe verwendet wird, einschließlich zweier ausführbarer Dateien, die später für das DLL-Sideloading verwendet werden. Die Malware stellt Persistenz über die Registrierungserstellung her und demonstriert plattformübergreifende Fähigkeiten mit einer speziell auf Linux zugeschnittenen Variante. - Zweite Phase: Die zweite Phase beginnt, wenn eine Datei namens
libcef.dllausgeführt wird. Laut Zscaler ist dies „die primäre bösartige Komponente, die in der ersten Phase fallengelassen wurde“. Diese DLL hilft der Malware, mit dem Befehls- und Steuerungsserver (C2) zu kommunizieren. Die Malware wird mithilfe der Zulip-Team-Messaging-Plattform beobachtet, um ihre Aktivität als potenziell legitime Kommunikation zu verschleiern. Die Malware sendet gesammelte Daten an den Zulip-Kanal, löst dann APIs auf und führt Shellcode aus, der vom Bedrohungsakteur abgerufen wird.
Die Malware löst die APIs mithilfe einer benutzerdefinierten Hashing-Methode auf, die wahrscheinlich DLL- und API-Namen in Malware-Operationen auf niedriger Ebene verschleiert.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dieser Angriff veranschaulicht die wachsende Häufigkeit und Raffinesse von Lieferkettenbedrohungen, insbesondere solche, die vertrauenswürdige Ökosysteme wie PyPI und andere Repositories missbrauchen.
Zscaler ruft Techniken wie legitime Binärdateien für DLL-Sideloading und verschlüsselte Nutzlasten auf, die die Erkennung schwieriger machen können und häufig Verhaltensanalysen und Bedrohungssuche über Signature-basierte Erkennungen hinaus erfordern.
Während die Pakete inzwischen aus PyPI entfernt wurden, dienen diese Angriffe als Erinnerung daran, wie wichtig es ist, die Abhängigkeiten Ihres Unternehmens zu verstehen.
PipeMagic maskiert als ChatGPT-Desktop-App
Microsoft hat eine Warnung über PipeMagic ausgegeben, ein modulares Backdoor-Framework, das vom Bedrohungsakteur Storm-2460 verwendet wird, das sich als ChatGPT-Desktop-App ausgibt und eine Windows-Nulltage-Version nutzt, um Ransomware bereitzustellen.
PipeMagic verwendet verschlüsselte benannte Rohre und verknüpfte Listen, um Nutzlasten, Ausführung und C2 -Kommunikation zu verwalten, was sie äußerst ausweichend und gefährlich macht.
Storm-2460 und PipeMagic
Microsoft zufolge hat die Bedrohungsgruppe Storm-2460 in mehreren Fällen PipeMagic verwendet – insbesondere während der Aktivitäten vor der Ausnutzung von Angriffen mit CVE-2025-29824.
Die Gruppe wurde beim Herunterladen einer Datei von einer kompromittierten, aber legitimen Website beobachtet, die die Malware des Akteurs hostet. Diese heruntergeladene Datei ist eine MSBuild-Datei, die für das Ablegen und Ausführen von PipeMagic im Speicher verantwortlich ist. Sobald der Akteur auf dem Gerät ausgeführt wird, verwendet er den Windows Common Log File System (CLFS) Exploit, um Berechtigungen zu eskalieren und seine Ransomware zu starten.
PipeMagic beginnt als In-Memory-Dropper, der als ChatGPT-Desktopanwendung getarnt ist. Dazu verwendet der Akteur eine modifizierte Version des GitHub-Projekts, die PipeMagic als eingebettete Nutzlast enthält. PipeMagic kommuniziert mit seinem C2 über TCP und empfängt Module über eine benannte Pipe.
Interne verknüpfte Listenstrukturen
Microsoft identifizierte vier verschiedene doppelt verknüpfte Listenstrukturen, die von PipeMagic zur Verwaltung von Modulen im Speicher verwendet wurden:
- Eine Liste mit Nutzdaten , die die Nutzdatenmodule speichert.
- Eine Liste mit Execure-Linked , die die Nutzdatenmodule enthält, die erfolgreich geladen wurden und daher ausgeführt werden können.
- Eine Liste mit Netzwerkverbindungen , die Netzwerkmodule für die C2 -Kommunikation enthält.
- Eine unbekannte Liste ohne eindeutige Funktion. Microsoft ist der Meinung, dass „es dynamisch durch geladene Nutzlasten und nicht durch die Kern-Backdoor-Logik selbst genutzt wird.“
Ausfüllen der Liste mit Nutzdatenverknüpfung
Wie bereits erwähnt, wird die Liste mit Nutzdaten zur Verwaltung von Nutzdatenmodulen verwendet. Vor der Initialisierung der Liste erstellt die Malware eine zufällige Bot-Kennung für den Host und erstellt dann eine benannte Pipe für die Payload-Bereitstellung.
Diese bidirektionale Pipe hat Lese- und Schreibvorgänge zwischen der Malware selbst und dem Payload-Bereitstellungsmechanismus. Die Malware hört auf der benannten Pipe, um Nutzdatenmodule zu empfangen, weist Speicher zu und fügt sie der Liste an, die mit Nutzdaten verknüpft ist.
Malware-Konfiguration
PipeMagic verwendet eine strukturierte Konfiguration, um Bereitstellungsmodi, C2 Adressen und andere Betriebsparameter zu verwalten.
Es verfügt über einen Bereitstellungsmodus, der C2 Interaktionen nachahmt, ohne aktive Netzwerkverbindungen zu benötigen. Die Malware hat verschiedene Konfigurationsblöcke, die Dinge wie die C2 -Adresse enthalten.
Netzwerkmodul
Um mit dem C2 zu kommunizieren, verwendet die Malware das Netzwerkmodul in der netzwerkverknüpften Liste. Sie füllt die Listen mit Modulnotizen aus, von denen jede ein ausführbares Modul für die C2 -Kommunikation hat.
Microsoft stellte fest, dass die Netzwerkmoduldaten direkt in die Backdoor-Binärdatei eingebettet wurden. Wenn das Netzwerkmodul gestartet wird, exportiert und registriert es drei Funktionen: eine, um Daten an den C2 zu senden, eine, um einen konstanten Wert zurückzugeben, und eine, um ein Stoppsignal einzustellen, das „sowohl die Backdoor als auch das Netzwerkmodul anweist, alle C2 -Kommunikationen zu beenden“.
Erfassung von Informationen
Die Malware sammelt eine Vielzahl von Informationen, die an ihren C2 -Server zurückgesendet werden können. Einige dieser Informationen umfassen den Computernamen, den Domain-NetBIOS-Namen, den Benutzerdomänennamen, die Host-IP-Adresse und das aktuelle Arbeitsverzeichnis der Malware.
Alle Informationen werden an die C2 zurückgesendet. Wenn die Malware eine Antwort von der C2 empfängt, analysiert sie die Daten, um den Befehl zu interpretieren. Der Befehl sagt der Hintertür, was als nächstes zu tun ist, einschließlich der Ausführung ihrer Kernfunktionalität, des Abschaltens des Netzwerkmoduls, um die Kommunikation zu stoppen, und des Aufrufs aller Module.
Hintertür-Funktionen
Einer der Befehle, die Microsoft für am wichtigsten hält, ist Code 0x1. Dies enthält Befehle und Argumente, die PipeMagic das geben, was es für die Durchführung seiner Backdoor-Operationen benötigt.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Die Storm-2460’s -Verwendung von verknüpften Listen für Nutzdatenmanagement, -ausführung und -kommunikation zeigt ein hohes Maß an Raffinesse und Disziplin. Die Gruppe arbeitet wahrscheinlich mit erheblichen Ressourcen.
PipeMagic ist als vertrauenswürdige Desktop-App für ChatGPT versteckt. Dies wiederholt die Tatsache, dass Bedrohungsakteure häufig Lures und Themen im Zusammenhang mit dem verwenden, was derzeit beliebt ist, in diesem Fall KI, um die Wahrscheinlichkeit erfolgreicher Infektionen zu erhöhen.
Wie immer bietet Microsoft hilfreiche Anleitungen zur Minderung und zum Schutz zusammen mit Defender-Erkennungen.
Noodlophile Stealer zielt über soziale Medien auf Unternehmen ab
Ein kürzlich veröffentlichter Bericht von Morphisec analysiert den Noodlophile Stealer, eine sich schnell entwickelnde Malware-Kampagne, die gezielte, mehrsprachige Phishing-E- Mails mit Urheberrechtsthemen verwendet, um Unternehmen mit starken Social-Media-Fußabdrücken zu gefährden.
Laut Morphisec nutzt der Noodlophile Stealer fortschrittliche Ausweichtechniken und Telegram-basierte Nutzlastbereitstellung, um Zugangsdaten, Finanzdaten und Systeminformationen zu stehlen und sich auf zukünftige Funktionen wie Keylogging und Dateiverschlüsselung vorzubereiten.
Die Noodlophile-Kampagne ist seit mehr als einem Jahr aktiv. Die Kampagne verwendet Spear-Phishing-E-Mails, die Urheberrechtsverletzungshinweise imitieren, die maßgeschneiderte Aufklärungsdetails wie Facebook-Seiten-IDs und Eigentumsinformationen enthalten.
Die Kampagne richtet sich hauptsächlich an Organisationen in den Vereinigten Staaten, Europa, den baltischen Ländern und APAC. E-Mails werden an bestimmte Mitarbeiter oder generische Adressen gesendet, die normalerweise mit info@ oder support@ beginnen.
Die Verlockung
Diese Kampagne sendet E-Mails zu Urheberrechtsverletzungen im Zusammenhang mit Facebook-Seiten, um die etablierten Vertrauensorganisationen zu missbrauchen, die Facebook haben können – insbesondere solche mit einer starken Präsenz in sozialen Medien.
Diese E-Mails stammen häufig von Gmail-Konten und kombinieren ein Gefühl der Dringlichkeit und rechtliche Bedrohungen, um das Opfer zu zwingen, auf bösartige Links oder Dateien zu klicken. Morphisec stellt fest, dass die Kampagne mehrsprachige Inhalte nutzt, einschließlich Englisch, Spanisch, Polnisch und Lettland.
Verabreichungsmechanismus
Frühere Noodlophile-Kampagnen verwendeten gefälschte KI-Plattformen. Die neueste Entwicklung liefert jedoch Nutzdaten über legitime signierte Anwendungen, die anfällig für DLL-Sideloading sind.
Die Nutzdaten werden über Dropbox-Links bereitgestellt, die mit TinyURL-Umleitungen verschleiert sind. Die Archive enthalten versteckte Artefakte, wie Batch-Skripte, die als .docx-Dateien benannt sind, oder SFX-Archive, die als .png-Dateien maskieren.
Zwischenbereitstellung
Nachdem die Kampagne das DLL-Sideloading durchgeführt hat, verwendet sie eine Zwischenstufe, um „die anfängliche Ausführung und den Einsatz des endgültigen Stealers zu überbrücken“.
Vorher seitlich geladene DLLs benennen Archivdateien um, um .pptx-, .docx- oder .pdf-Formate nachzuahmen, was die wahren BAT-Skripte und Python-Interpreter aufdeckt. Die BAT-Skripte werden verwendet, um die Persistenz durch Erstellen von Registrierungseinträgen und Herunterladen zusätzlicher Dateien von Remote-Servern herzustellen.
Nutzlast-Analyse
Morphisec bemerkt, dass die Skripte stärker verschleiert sind als zuvor. Anstatt die nächste Phase direkt herunterzuladen, werden sie „eine URL aus der Beschreibung einer Telegram-Gruppe extrahieren, was eine dynamische Ausführung der Nutzlast ermöglicht“. Der endgültige Stealer wird auf kostenlosen Plattformen gehostet, um die Erkennung und Entfernung zu erschweren.
Ein genauerer Blick auf die Entwicklung von Noodlophile Stealer
Innerhalb der Codebase von Noodlophile Stealer identifizierte Morphisec Funktionen, die aufzeigen, wie sich die Malware schnell entwickelt – und plant, zukünftige Verbesserungen einzuführen.
Einige der nicht implementierten Funktionen, die sie beobachtet haben, umfassen Screenshot-Erfassung, Keylogging, Dateiextraktion, Prozessüberwachung, Browsererweiterungsprüfungen und vieles mehr.
Derzeit sammelt die Malware browserbasierte Daten – wie Anmeldedaten, Systeminformationen und Umgebungsdetails – mit Unterstützung für Chrome, Brave, Edge, Opera und andere Browser.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Der Angreifer hat sich über generisches Phishing hin zu maßgeschneidertem Social Engineering verschoben. Dieser Ansatz erfordert mehr Aufklärung, um glaubwürdige Lures zu schaffen.
Die Kampagne verwendet auch lokalisierte Phishing-Inhalte in verschiedenen Sprachen, was darauf hindeutet, dass der Akteur KI-Tools für automatisierte Übersetzung und Personalisierung nutzen könnte. Kombiniert können diese Taktiken Phishing sicherlich einfacher und effektiver in einem breiteren Maßstab machen.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Besuchen Sie das Diskussionsforum von Tanium, um ein Gespräch zu beginnen.
Um weitere Informationen zu erhalten, informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
