In der Zusammenfassung dieser Woche untersucht das Tanium-CTI-Team eine groß angelegte Malvertising-Kampagne, von der Geräte weltweit betroffen sind. Anschließend wird eine neue MacOS-Malware-Variante namens XCSSET analysiert. Schließlich untersucht CTI eine derzeit laufende Kampagne, bei der gefälschte GitHub-Repositorys zur Verbreitung von Malware genutzt werden.
Neue Malvertising-Kampagne infiziert mehr als 1 Million Geräte
Microsoft schlägt Alarm unter (wird in einem neuen Tab geöffnet) wegen einer groß angelegten Malvertising-Kampagne, von der weltweit mehr als eine Million Geräte betroffen sind.
Laut Microsoft ging der opportunistische Angriff von illegalen Streaming-Websites aus, in die Malvertising-Weiterleitungsskripte eingebettet waren, die die Opfer schließlich zu GitHub und anderen Plattformen weiterleiteten, auf denen die Infostealer-Malware „ “ gehostet wurde: (öffnet in einem neuen Tab).
Was ist Storm-0408?
Microsoft beobachtet diese Aktivität unter der Bezeichnung „Storm-0408“. Dabei handelt es sich um mehrere Angreifer, die mit Malware zum Fernzugriff oder zum Diebstahl von Daten in Verbindung stehen, insbesondere solche, die zur Verbreitung auf Phishing, SEO und Malvertising zurückgreifen.
Die Angreifer nutzen in erster Linie GitHub zum Hosten der Payloads, wobei vereinzelte Payloads auch auf Discord und Dropbox gehostet werden. Microsoft hat diese Aktivität erstmals unter Dezember 2024 festgestellt.
Die Umleitungskette verstehen
Microsoft hat festgestellt, dass mehrere Hosts Payloads der ersten Stufe aus bösartigen GitHub-Repositorys heruntergeladen haben. Diese Nutzer wurden über eine Reihe weiterer Weiterleitungen – vermutlich von illegalen Streaming-Seiten – zu GitHub weitergeleitet.
Die Weiterleitungsserver leiteten den Datenverkehr über einige wenige Weiterleitungsserver um, führten die Opfer jedoch letztendlich zu einer Betrugswebsite, die sie wiederum zu GitHub weiterleitete. Im Rahmen der Kampagne wurden mehrere Stufen von Schadsoftware eingesetzt.
Wie sieht die Angriffskette aus?
Nachdem das Opfer auf GitHub weitergeleitet wurde, wo die Malware gehostet wird, verschafft sich die Malware einen ersten Zugang zum Gerät des Nutzers. Diese Malware fungiert als Dropper für die übrigen Payloads und Komponenten, zu denen Infostealer, RMM-Software und verschiedene Skripte gehören.
Die Aktivitäten des Akteurs führen zu „einem modularen und mehrstufigen Ansatz für die Bereitstellung, Ausführung und Aufrechterhaltung von Schadcode“, der vier Phasen umfasst, die im Folgenden zusammengefasst werden:
- Schaffung eines Zugriffs auf den Ziel
In der ersten Phase des Angriffs wird eine Schadsoftware von GitHub auf das Gerät des Opfers übertragen, wodurch der Angreifer einen Zugriff darauf erlangt. Seit Mitte des Jahres „Januar 2025“ wurden diese Nutzdaten mit einem neuen Zertifikat digital signiert. Es wurden zwölf Zertifikate identifiziert, die inzwischen alle widerrufen wurden. - Systemerkennung, Datenerfassung und Datenexfiltration
Microsoft stellte fest, dass je nach den in der ersten Phase verwendeten Methoden unterschiedliche Payloads in der zweiten Phase zum Einsatz kamen. Die Ziele der zweiten Phase bleiben jedoch unabhängig von der ersten Phase, die die Erkundung, die Datenerfassung und die Exfiltration umfasst, unverändert. Die Malware sammelt Informationen über das Gerät, wie beispielsweise die Betriebssystemversion, ausgeführte Befehle, den Gerätenamen und den Domänennamen.
- PowerShell und .exe-
Auch hier hängt die dritte Phase davon ab, was in der zweiten Phase geschehen ist, und es werden entweder eine oder mehrere ausführbare Dateien abgelegt. Die Payloads der zweiten Stufe führen ausführbare Dateien der dritten Stufe aus, um laufende Programme zu identifizieren, wobei insbesondere nach Schlüsselwörtern gesucht wird, von denen bekannt ist, dass sie mit Sicherheitssoftware in Verbindung stehen. Die ausführbare Datei erzeugt zudem eine AutoIT- v3 -Interpreter-Datei, die in eine Datei mit der Endung .com umbenannt und anschließend ausgeführt wird.
In einigen Fällen legt die Payload der zweiten Stufe ein PowerShell-Skript ab. Dieses PowerShell-Skript kann zusätzliche Dateien (wie beispielsweise NetSupport RAT) von Server C2 herunterladen, die Persistenz von Malware herstellen und Informationen an Server C2 weiterleiten. - PowerShell
In einigen Fällen wird zusammen mit der zuvor umbenannten AutoIT-Datei ein zusätzliches PowerShell-Skript abgelegt. Dieses Skript ist verschleiert und dient dazu, die folgenden Dateien zu ändern: , Microsoft Defender (wird in einem neuen Tab geöffnet),sowie , indem Ausschlusspfade hinzugefügt werden, sodass bestimmte Ordner, die schädliche Artefakte enthalten, nicht gescannt werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Umleitungskette bei diesem Angriff ist recht ausgeklügelt, da sie von einem einzigen, auf einer Website eingebetteten Umleitungsmodul ausgeht. Der Akteur demonstrierte zudem fortgeschrittene Fähigkeiten im Hinblick auf die mehrstufige Infektionskette und verschiedene Payloads. Allerdings folgt der Schauspieler auch dem weit verbreiteten Trend, legitime Dienste wie GitHub zu missbrauchen, um sich noch besser unter die Masse zu mischen.
Der Bericht von Microsoft geht detailliert auf die verschiedenen Payloads und Phasen ein, die im Zusammenhang mit dieser Aktivität beobachtet wurden. Der Bericht enthält zudem einige von „ “ empfohlene Maßnahmen (wird in einem neuen Tab geöffnet) sowie Suchanfragen und Defender-Warnmeldungen, die dabei helfen können, mit dieser Bedrohung in Zusammenhang stehende Aktivitäten zu identifizieren.
Die XCSSET-Variante nutzt Verschleierungstechniken und eine verbesserte Persistenz
Microsoft hat kürzlich (wird in einem neuen Tab geöffnet) eine neue MacOS-Malware-Variante namens XCSSET entdeckt, die Xcode-Projekte infiziert – eine Entwicklungsumgebung, die zur Erstellung von Apple- und MacOS-Apps verwendet wird.
Die neueste Variante zeichnet sich durch eine verstärkte Verschleierung, eine verbesserte Persistenz und neue Infektionsstrategien aus. Es zeichnet sich letztendlich „durch seinen modularen Ansatz und seine kodierten Nutzdaten aus“.
Was ist die XCSSET-Malware?
Die Malware „XCSSET“, die erstmals im Jahr 2022 entdeckt wurde, greift Xcode-Projekte während des Build-Prozesses an. Im Vergleich zu ihrer ursprünglichen Version weist die neu entdeckte XCSSET-Variante eine verbesserte Fehlerbehandlung auf und stützt sich verstärkt auf Skriptsprachen, UNIX-Befehle (wird in einem neuen Tab geöffnet) sowie legitime Binärdateien. Insbesondere werden die Modulnamen verschleiert, was die Analyse erschwert.
Microsoft berichtet zudem, dass die neue Variante spezifische Persistenztechniken einsetzt und dass, obwohl sich einige Module offenbar noch in der Entwicklung befinden, der Server „ C2 “ aktiv ist und weitere Module herunterlädt.
Wie funktioniert die neue XCSSET-Variante?
Bei der neuen Variante handelt es sich um eine vierstufige Infektionskette, in deren letzter Stufe zusätzliche Untermodule ausgeführt werden:
- In der ersten Phase wird unter eine Xcode-Shell-Payload ausgeführt, sobald ein Opfer ein infiziertes Xcode-Projekt kompiliert. Die entschlüsselte Nutzlast sendet eine Curl-Anfrage an den C2 -Server und empfängt die Nutzlast der zweiten Stufe.
- In der zweiten Phase, , sammelt die Payload Informationen über das Betriebssystem und sendet diese Daten an den C2 -Server, bevor sie eine weitere Payload empfängt.
- In der dritten Phase überprüft ein Shell-Skript, ob die XProtect-Version des Geräts unter 5287 liegt, beendet die entsprechenden laufenden Prozesse und sucht nach einer versteckten Datei im Home-Ordner „.a“. In diesem Schritt werden zudem bestehende Verweise auf „l.app“ gelöscht und ein neuer Verweis erstellt, ein zusätzliches Skript heruntergeladen sowie ein AppleScript erstellt, um das zuvor heruntergeladene Skript zu starten. Abschließend aktiviert das Skript den Schlüssel „LSUIElement“, um die App im Dock auszublenden, die Anwendung im Hintergrund auszuführen und die erstellte App zu entfernen.
- Im vierten Schritt, , wird die zuvor erstellte AppleScript-App ausgeführt und führt Befehle aus, um die Betriebssystemversion, die Safari-Version, die Ländereinstellung des Benutzers, den Firewall-Status, den SIP-Status sowie Informationen zur CPU abzurufen. Anschließend wird wiederholt eine Funktion mit mehreren verschleierten Modulnamen aufgerufen.
Die Bedeutung von Untermodulen in der vierten Stufe
Das Skript der vierten Stufe kann verschiedene Untermodule herunterladen, die folgende Funktionen ausführen können:
- Browser-Erweiterungen auflisten
- Weitere Module herunterladen
- Diebstahl von Daten aus digitalen Geldbörsen
- Persistenz auf verschiedene Arten sicherstellen
- Daten aus Notizen entwenden
- Xcode-Projekte infizieren
Microsoft hat zudem einige Module identifiziert, die mit der Exfiltration von Dateien bzw. Daten in Zusammenhang stehen und sich vermutlich noch in der Entwicklung befinden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Eine der wichtigsten Erkenntnisse aus dem Bericht von Microsoft ist, dass der Server C2 von XCSSET zusätzliche Module herunterlädt. Auch wenn diese neue Variante möglicherweise noch nicht allzu weit verbreitet ist, befinden sich weitere Module in der Entwicklung, und sie ist derzeit aktiv. Die neuen Entwicklungen bei dieser Variante stehen zudem im Einklang mit dem allgemeinen Schwerpunkt auf „ “ () sowie den jüngsten Angriffen auf macOS (öffnet in einem neuen Tab).
Im Rahmen einer laufenden Kampagne werden gefälschte GitHub-Repositorys zur Verbreitung von Malware genutzt
Trend Micro hat (wird in einem neuen Tab geöffnet) eine laufende Kampagne entdeckt, bei der gefälschte GitHub-Repositorys zur Verbreitung von Malware genutzt werden.
Die Kampagne nutzt KI-generierte Inhalte, um die gefälschten Repositorys glaubwürdig erscheinen zu lassen; bei erfolgreichen Angriffen konnten die Angreifer 2FA Erweiterungen, Anmeldedaten und weitere Informationen stehlen.
Inwiefern missbrauchen Hacker GitHub?
Es ist offensichtlich, dass Angreifer GitHub weiterhin missbrauchen, um Malware zu verbreiten. Der Akteur hostet bei dieser Kampagne jedoch keine Malware auf GitHub. Stattdessen nutzen sie generative KI, um auf GitHub scheinbar legitime Repositorys zu erstellen.
Wie beginnt der Angriff?
Diese andauernde Kampagne beginnt mit gefälschten GitHub-Repositorys, die von einer KI generiert wurden und so gestaltet sind, dass sie legitimen Tools und Softwareprogrammen ähneln. Der Angreifer nutzt anschließend künstliche Intelligenz, um README-Dateien und Dokumentationen zu erstellen, wodurch der Anschein von Legitimität verstärkt wird, um die Opfer dazu zu verleiten, den Inhalt zu installieren.
Laut Trend Micro fallen die gefälschten Repositorys derzeit besonders auf, da die Formatierung des README-Inhalts „in hohem Maße durch KI unterstützt wird, was sich an verräterischen Anzeichen wie übermäßigem Emoji-Einsatz, unnatürlichen Formulierungen, einem mit einem Hyperlink versehenen Logo und strukturierten Inhalten zeigt“.
Die Repositories zielen darauf ab, Opfer dazu zu verleiten, ZIP-Dateien herunterzuladen, die eine Nutzlast für die SmartLoader-Malware enthalten.
Inwiefern nutzt SmartLoader den Lumma Stealer?
Die SmartLoader-Malware verbreitet den Lumma Stealer und andere Schadprogramme, indem sie eine Datei von GitHub herunterlädt und diese unter dem Namen „search.exe“ speichert, wodurch der Lumma Stealer anschließend ausgeführt werden kann.
Es ist bekannt, dass SmartLoader Dateien beim Laden der Nutzlast aufbläht und die Dateigröße dadurch auf etwa 1GB erhöht. Die Malware führt zusätzliche Dateien aus, erstellt schädliche Dateien im temporären Ordner, führt verschiedene Befehle zur Erkennung von Sicherheitssoftware aus und führt eine Browser-Fehlersuche durch. Sobald dieser Vorgang abgeschlossen ist, stellt Lumma Stealer eine Verbindung zu seinem „ C2 “ her, um Daten zu exfiltrieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dies ist ein weiteres aktuelles Beispiel dafür, dass Angreifer GitHub als Teil ihres Angriffs nutzen, was uns daran erinnert, dass ein bestehendes Vertrauensverhältnis oft missbraucht werden kann und wird.
Das Interessante an diesem Angriff ist der Einsatz von KI-generierten Inhalten durch den Angreifer, zumal wir bislang noch nicht viele Beispiele für den Einsatz von KI- (öffnet in einem neuen Tab) bei Angriffen gesehen haben. Trend Micro weist darauf hin, dass dieser Angriff derzeit andauert und sich wahrscheinlich weiterentwickeln wird, da die Angreifer weiterhin „fortschrittliche Tools einsetzen, um ihre Angriffe zu automatisieren und zu optimieren“.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter (wird in einem neuen Tab geöffnet),und .
