Im Roundup dieser Woche untersucht das Tanium CTI-Team eine große Malvertising-Kampagne, die globale Geräte betrifft. Als nächstes analysiert es eine neue macOS-Malware-Variante namens XCSSET. Schließlich untersucht CTI eine laufende Kampagne mit gefälschten GitHub-Repositorys, um Malware zu verteilen.
Neue Malvertising-Kampagne infiziert mehr als 1 Million Geräte
Microsoft löst den Alarm aus (wird in einer neuen Registerkarte geöffnet) über eine große Malvertisierungskampagne, die mehr als eine Million Geräte weltweit betrifft.
Laut Microsoft stammte der opportunistische Angriff von illegalen Streaming-Sites, die mit Malvertising-Redirectoren eingebettet waren, die letztendlich Opfer auf GitHub und andere Plattformen richteten, die Infostealer-Malware hosteten (öffnet sich in einer neuen Registerkarte).
Was ist Storm-0408?
Microsoft überwacht diese Aktivität unter Storm-0408. Es handelt sich um mehrere Bedrohungsakteure, die mit Remotezugriff oder Infostealing von Malware verknüpft sind, insbesondere solche, die sich auf Phishing, SEO und Malvertising zur Verteilung verlassen.
Die Bedrohungsakteure verwenden GitHub hauptsächlich, um die Nutzdaten zu hosten, wobei gelegentlich Nutzdaten auf Discord und Dropbox gehostet werden. Microsoft hat die Aktivität zuerst in beobachtet Dezember 2024.
Verständnis der Umleitungskette
Microsoft bemerkte mehrere Hosts, die Payloads der ersten Stufe aus bösartigen GitHub-Repositorys herunterluden. Diese Benutzer wurden über eine Reihe anderer Umleitungen, wahrscheinlich von illegalen Streaming-Websites, an GitHub gesendet.
Die Redirectors leiteten den Datenverkehr über einige Redirectors weiter, führten aber letztendlich die Opfer zu einer Betrugsseite, die sie an GitHub weiterleiten würde. Die Kampagne setzte mehrere Phasen von Malware ein.
Wie sieht die Angriffskette aus?
Nachdem das Opfer zu GitHub weitergeleitet wurde, wo die Malware gehostet wird, stellt die Malware den anfänglichen Fuß auf dem Gerät des Benutzers her. Diese Malware fungiert als Dropper für den Rest der Nutzdaten und Phasen, die Infostealer, RMM-Software und verschiedene Skripte umfassen.
Die Aktivität des Akteurs führt zu einem modularen und mehrstufigen Ansatz für die Bereitstellung, Ausführung und Persistenz von Nutzdaten, der vier unten zusammengefasste Phasen umfasst:
- Stellen Sie einen Stand auf dem Host
her In der ersten Phase des Angriffs wird eine Nutzlast von GitHub auf das Gerät des Opfers abgelegt, sodass der Akteur einen Stand darauf aufbauen kann. Ab Mitte wurden Januar 2025diese Nutzdaten digital mit einem neuen Zertifikat signiert. Zwölf Zertifikate wurden identifiziert, die alle inzwischen widerrufen wurden. - Systemerkennung, Sammlung und Exfiltration
Microsoft beobachtete verschiedene Nutzlasten der zweiten Stufe, je nachdem, was während der ersten Stufe verwendet wurde. Die Ziele der zweiten Phase bleiben jedoch unabhängig von der ersten Phase, die Entdeckung, Sammlung und Exfiltration umfasst, gleich. Die Malware sammelt Informationen über das Gerät, wie z. B. die Betriebssystemversion, laufende Befehle, den Gerätenamen und den Domänennamen.
- PowerShell und .exe
Auch hier variiert die dritte Phase je nach dem, was in der zweiten Phase aufgetreten ist, und entweder eine oder mehrere ausführbare Dateien werden verworfen. Die Nutzdaten der zweiten Stufe führen ausführbare Dateien der dritten Stufe aus, um laufende Programme zu identifizieren, insbesondere die Suche nach Schlüsselwörtern, die bekanntermaßen mit der Sicherheitssoftware verbunden sind. Die ausführbare Datei erzeugt auch eine AutoIT v3 -Interpreterdatei, die in eine .com-Dateierweiterung umbenannt wird und ausgeführt wird.
In einigen Fällen wird die zweite Stufe der Nutzlast ein PowerShell-Skript löschen. PowerShell kann zusätzliche Dateien (wie NetSupport RAT) aus dem C2 herunterladen, die Persistenz für Malware einrichten und Informationen auf C2 Server exfiltrieren. - PowerShell
In einigen Fällen wird die zuvor umbenannte AutoIT-Datei ein zusätzliches PowerShell-Skript löschen. Dieses Skript ist verschleiert, und es dient dazu, Microsoft Defender (öffnet sich in einer neuen Registerkarte) zu ändern, indem Ausschlusspfade hinzugefügt werden, damit bestimmte Ordner, die bösartige Artefakte enthalten, nicht gescannt werden.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Die Umleitungskette bei diesem Angriff ist ziemlich anspruchsvoll, da sie von einem einzigen Umleitungsgerät beginnt, der auf einer Website eingebettet ist. Der Schauspieler demonstrierte auch erweiterte Fähigkeiten mit der mehrstufigen Infektionskette und verschiedenen Nutzlasten. Der Schauspieler verfolgt jedoch auch den gemeinsamen Trend, legitime Dienste wie GitHub weiter zu missbrauchen.
Der Bericht von Microsoft geht detailliert auf die verschiedenen Nutzlasten und Phasen ein, die im Zusammenhang mit dieser Aktivität beobachtet wurden. Der Bericht enthält auch einige empfohlene Aktionen (öffnet sich in einer neuen Registerkarte), Jagdabfragen und Defender-Warnungen, die helfen können, Aktivitäten im Zusammenhang mit dieser Bedrohung zu identifizieren.
XCSSET-Variante verwendet Verschleierung und verbesserte Persistenz
Microsoft hat kürzlich eine neue macOS-Malware-Variante entdeckt (öffnet sich in einer neuen Registerkarte), XCSSET, die Xcode-Projekte infiziert, eine Entwicklungsanwendung, die zum Erstellen von Apple- und macOS-Apps verwendet wird.
Die neueste Variante zeigt eine verbesserte Verschleierung, verbesserte Persistenz und neue Infektionsstrategien. Letztendlich wird sie „durch ihren modularen Ansatz und die codierten Nutzlasten gekennzeichnet“.
Was ist XCSSET-Malware?
XCSSET-Malware, die erstmals in 2022 identifiziert wurde, zielt während des Build-Prozesses auf Xcode-Projekte ab. Verglichen mit seinem ursprünglichen Aussehen zeigt die neu entdeckte XCSSET-Variante eine verbesserte Fehlerbehandlung und eine größere Abhängigkeit von Skriptsprachen, UNIX- Befehlen (öffnet sich in einer neuen Registerkarte) und legitimen Binärdateien. Bemerkenswert ist, dass es seine Modulnamen verdeckt, was die Analyse erschwert.
Microsoft berichtet auch, dass die neue Variante verschiedene Persistenztechniken verwendet und dass, obwohl einige Module derzeit in der Entwicklung zu sein scheinen, der C2 -Server aktiv ist und zusätzliche Module herunterlädt.
Wie funktioniert die neue XCSSET-Variante?
Die neue Variante ist eine vierstufige Infektionskette, in der die letzte Stufe zusätzliche Submodule betreibt:
- In der ersten Phase wird eine Xcode-Shell-Nutzlast ausgeführt, wenn ein Opfer ein infiziertes Xcode-Projekt erstellt. Die decodierte Nutzlast stellt eine Lockenanforderung an den C2 -Server, der die zweite Stufe der Nutzlast empfängt.
- In der zweiten Phase sammelt die Nutzlast Informationen über das Betriebssystem und sendet diese Daten an den C2 -Server, bevor sie eine andere Nutzlast empfängt.
- In der dritten Phase bestätigt ein Shell-Skript, dass die XProtect-Version des Geräts kleiner als 5287 ist, stoppt referenzierte laufende Prozesse und sucht nach einer ausgeblendeten Datei im Ausgangsordner „.a“. In dieser Phase werden auch vorhandene Verweise auf „l.app“ gelöscht und ein neues erstellt, ein zusätzliches Skript heruntergeladen und ein AppleScript erstellt, um das zuvor heruntergeladene Skript zu starten. Schließlich ermöglicht das Skript die Taste „LSUIElement“, die App aus dem Dock auszublenden, die Anwendung im Hintergrund auszuführen und die erstellte App zu entfernen.
- In der vierten Phase führt die zuvor erstellte AppleScript-App Befehle aus und führt sie aus, um die Betriebssystemversion, Safari-Version, das Benutzergebietsschema, den Firewall-Status, den SIP-Status und die CPU-Informationen zu extrahieren. Sie ruft dann wiederholt eine Funktion mit mehreren verschleierten Modulnamen auf.
[Lesen Sie auch: Was ist Geräteschwachstellenmanagement?] (wird in einem neuen Tab geöffnet)
Die Bedeutung von Untermodulen in der vierten Phase
Das vierte Stufenskript kann verschiedene Submodule herunterladen, die für die folgenden Aktivitäten geeignet sind:
- Browsererweiterungen werden aufgelistet
- Weitere Module herunterladen
- Diebstahl digitaler Wallet-Daten
- Aufbau von Persistenz auf verschiedene Arten
- Daten von Notizen stehlen
- Xcode-Projekte infizieren
Microsoft hat auch einige Module im Zusammenhang mit Datei-/Datenexfiltration identifiziert, von denen angenommen wird, dass sie sich noch in der Entwicklung befinden.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Eines der wichtigsten Elemente aus dem Bericht von Microsoft ist, dass der XCSSET C2 -Server zusätzliche Module herunterlädt. Während diese neue Variante also möglicherweise nicht zu weit verbreitet ist, hat sie zusätzliche Module in der Entwicklung und ist derzeit aktiv. Die neuen Entwicklungen dieser Variante stimmen auch mit der allgemeinen Landschaftsausrichtung auf kürzliche Angriffe überein, die auf macOS abzielen (öffnet sich in einer neuen Registerkarte).
Laufende Kampagne verwendet gefälschte GitHub-Repositorys, um Malware zu verbreiten
Trend Micro hat eine laufende Kampagne entdeckt (öffnet sich in einer neuen Registerkarte), die gefälschte GitHub-Repositorys verwendet, um Malware zu verteilen.
Die Kampagne verwendet KI-generierte Inhalte, um die gefälschten Repositories legitim erscheinen zu lassen, mit erfolgreichen Angriffen, die es Bedrohungsakteuren ermöglichen, 2FA Erweiterungen, Anmeldedaten und mehr zu stehlen.
Wie missbrauchen Hacker GitHub?
Es ist offensichtlich, dass Bedrohungsakteure GitHub weiterhin missbrauchen, um Malware zu verteilen. Der Akteur hostet jedoch in dieser Kampagne keine Malware auf GitHub. Stattdessen verwenden sie generative KI, um scheinbar legitime Repositories auf GitHub zu erstellen.
Wie startet der Angriff?
Diese laufende Kampagne beginnt mit gefälschten GitHub-Repositorys, die von KI generiert wurden und legitimen Tools und Software ähneln. Der Schauspieler setzt dann KI ein, um README-Dateien und Dokumentation zu erstellen, was die Illusion der Legitimität verstärkt, Opfer bei der Installation des Inhalts zu täuschen.
Trend Micro sagt, dass die gefälschten Repositories gerade jetzt auffallen, weil die Formatierung des README-Inhalts „stark durch KI unterstützt wird, wie durch verräterische Zeichen wie übermäßige Emoji-Nutzung, unnatürliche Formulierung, ein verlinktes Logo und strukturierte Inhalte gezeigt wird.“
Die Repositories zielen darauf ab, Opfer zum Herunterladen von ZIP-Dateien zu verleiten, die eine Nutzlast für die SmartLoader-Malware enthalten.
Wie verwendet SmartLoader den Lumma Stealer?
Die SmartLoader-Malware liefert den Lumma Stealer und andere Nutzdaten, indem sie eine Datei von GitHub herunterlädt und als „search.exe“ speichert, die dann Lumma Stealer ausführen kann.
SmartLoader ist dafür bekannt, Dateien beim Laden der Nutzdaten aufzublähen, wodurch die Dateigröße auf etwa 1GB erhöht wird. Die Malware führt zusätzliche Dateien aus, erstellt bösartige Dateien im temporären Ordner, führt verschiedene Befehle zur Erkennung von Sicherheitssoftware aus und führt Browser-Debugging durch. Sobald dieser Vorgang abgeschlossen ist, verbindet sich Lumma Stealer mit seinem C2 , um Daten zu exfiltrieren.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dies ist ein weiteres aktuelles Beispiel für Bedrohungsakteure, die GitHub als Teil ihres Angriffs verwenden und uns daran erinnern, dass ein etabliertes Vertrauensgefühl missbraucht werden kann und wird.
Interessant an diesem Angriff ist die Verwendung von KI-generierten Inhalten durch den Akteur, zumal wir nicht viele Beispiele für KI (Öffnungen in einer neuen Registerkarte) gesehen haben, die bei Angriffen verwendet wird. Trend Micro stellt fest, dass dieser Angriff andauert und sich wahrscheinlich weiterentwickeln wird, da die Akteure weiterhin „fortschrittliche Tools zur Automatisierung und Verbesserung ihrer Angriffe nutzen“.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium (öffnet sich in einer neuen Registerkarte), um eine Konversation zu beginnen.
Für weitere Lektüre können Sie unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen nachholen (öffnet sich in einer neuen Registerkarte).
