In der Zusammenfassung dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit einer Cyberbedrohung, die von einem Akteur ausgeht, der unter dem Namen „Marbled Dust“ verfolgt wird. Als Nächstes stellt unser CTI-Team eine ausgeklügelte Phishing-Kampagne vor, bei der die Malware „Horabot“ zum Einsatz kommt. Abschließend untersucht das Team eine jüngste Veränderung im Angriffsverhalten des von Nordkorea unterstützten Akteurs TA406.
„Marbled Dust“ nutzt eine Zero-Day-Sicherheitslücke in Output Messenger aus
Microsoft hat kürzlich unter (wird in einem neuen Tab geöffnet) Einzelheiten zu einer Cyberbedrohung veröffentlicht, die von einem als „Marbled Dust“ identifizierten Angreifer ausgeht.
Nach Angaben von Microsoft hat der Angreifer eine Zero-Day-Sicherheitslücke im „ “ (CVE-2025-27920) in der Anwendung „Output Messenger“ ausgenutzt. Bislang richtete sich der Angriff im Rahmen der regionalen Spionage vor allem gegen Benutzerkonten im Irak.
Was Sie über „Marbled Dust“ wissen sollten
„Marbled Dust“ ist eine mit der Türkei in Verbindung stehende Spionagegruppe, von der bekannt ist, dass sie Organisationen in Europa und im Nahen Osten ins Visier nimmt.
Die Gruppe hat Taktiken wie DNS-Hijacking und hochentwickelte Malware eingesetzt und dabei Regierungsstellen, kurdische politische Gruppierungen, Telekommunikationsunternehmen, Internetdienstanbieter, IT-Dienstleister sowie Medien- und Unterhaltungsunternehmen ins Visier genommen.
Seit kurzem nutzt „Marbled Dust“ Zero-Day-Schwachstellen aus, um schädliche Dateien zu verbreiten und Daten aus den betroffenen Konten zu entwenden.
Was ist die Zero-Day-Sicherheitslücke in Output Messenger?
Die Anwendung „Output Messenger Server Manager“ weist eine Sicherheitslücke im Zusammenhang mit der Verzeichnisdurchquerung auf, die es einem nicht authentifizierten Benutzer ermöglicht, Dateien in das Startverzeichnis hochzuladen.
Wie Microsoft feststellt, kann der Angreifer, sobald er Zugriff auf den Server erlangt hat, „die Systemarchitektur von Output Messenger nutzen, um sich uneingeschränkten Zugriff auf die Kommunikation aller Benutzer zu verschaffen, sensible Daten zu stehlen und sich als Benutzer auszugeben, was zu Betriebsstörungen, unbefugtem Zugriff auf interne Systeme und einer weitreichenden Kompromittierung von Anmeldedaten führen könnte.“ Die Sicherheitslücke betrifft Versionen vor 2,0,63.
Microsoft hat die Zero-Day-Sicherheitslücke identifiziert und Srimax, den Entwickler von Output Messenger, darüber informiert, woraufhin dieser ein Software-Update veröffentlichte. Eine weitere Sicherheitslücke (CVE-2025-27921) wurde ebenfalls identifiziert und behoben, obwohl sie bislang nicht ausgenutzt wurde.
Wie funktioniert die Angriffskette von „Marbled Dust“?
- Zugriff auf Output Messenger: Die vom Bedrohungsakteur „Marbled Dust“ ausgelöste Angriffskette beginnt damit, dass dieser sich als authentifizierter Benutzer Zugriff auf die Anwendung „Output Messenger Server Manager“ verschafft. Obwohl die genaue Vorgehensweise zur Erlangung von Anmeldedaten nicht vollständig bekannt ist, geht Microsoft davon aus, dass „Marbled Dust“ wahrscheinlich DNS-Hijacking oder Typo-Squatting-Domains nutzt, um Anmeldedaten abzufangen, zu protokollieren und wiederzuverwenden. Diese Vorgehensweisen wurden bereits bei ihren früheren böswilligen Aktivitäten beobachtet.
- Exploit CVE-2025-27920: Nach erfolgreicher Authentifizierung nutzt „Marbled Dust“ die Sicherheitslücke CVE-2025-27920 aus. Diese Sicherheitslücke ermöglicht es einem authentifizierten Benutzer, schädliche Dateien im Startverzeichnis des Servers abzulegen. Der Angreifer legt die schädlichen Dateien „OM.vbs“ und „OMServerService.vbs“ im Startordner des Output Messenger-Servers ab und speichert die Datei „OMServerService.exe“ im Verzeichnis „Users/public/videos“ des Servers.
- Aufruf von „OM.vbs“: Der Angriff wird fortgesetzt, indem „OMServerService.vbs“ die Datei „OM.vbs“ aufruft, die anschließend als Argument an „OMServerService.exe“ übergeben wird. „OM.vbs“ stand für eine Analyse nicht zur Verfügung. Allerdings wurde „OMServerService.exe“ als GoLang-Backdoor identifiziert, die sich als legitime Datei tarnt. In einigen Fällen stellte Microsoft fest, dass sich „OMServerService.exe“ mit einer fest programmierten Domain, „api.wordinfos[.]com“, verband, um Daten zu exfiltrieren.
- Bereitstellung einer ausführbaren Datei: Auf der Client-Seite entpackt das Installationsprogramm die legitime Datei sowie eine schädliche ausführbare Datei und führt beide aus. Bei der schädlichen ausführbaren Datei handelt es sich um eine Backdoor, die eine Verbindung zu einem Command-and-Control-Server (C2) herstellt.
- Datenexfiltration: In mindestens einem beobachteten Fall wurde festgestellt, dass sich ein betroffener Rechner, auf dem die „Output Messenger“-Client-Software installiert war, mit einer IP-Adresse verband, die dem Akteur zugeordnet wurde – vermutlich zum Zweck der Datenexfiltration. Microsoft weist darauf hin, dass diese Verbindungen zeitlich mit dem Befehl des Angreifers zusammenfallen, Dateien mit unterschiedlichen Dateiendungen in einer RAR-Datei auf dem Desktop zu sammeln.
[Lesen Sie auch: Was ist Datenschutz durch Technikgestaltung? Und warum Sie es benötigen]
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Microsoft weist darauf hin, dass der Einsatz eines Zero-Day-Exploits eine bemerkenswerte Veränderung für „Marbled Dust“ darstellt, was darauf hindeutet, dass die Gruppe immer raffinierter vorgeht.
Zwar richtet sich dieser Angriff in erster Linie gegen den Irak, doch hat die Gruppe bereits zuvor Einrichtungen in anderen Ländern ins Visier genommen, was die zunehmende Raffinesse ihrer Vorgehensweise umso bedenklicher macht.
Wie immer hat Microsoft unter Empfehlungen (wird in einem neuen Tab geöffnet) sowie Erkennungsregeln und Suchabfragen bereitgestellt, die bei der Identifizierung dieser Bedrohung helfen sollen.
Ausgeklügelte Phishing-Kampagne nutzt die Malware „Horabot“
Laut Fortinet (wird in einem neuen Tab geöffnet) nutzt eine ausgeklügelte Phishing-Kampagne derzeit die Malware „Horabot“.
Es ist bekannt, dass die Malware Phishing-E-Mails verwendet, die gezielt als Rechnungen oder Finanzdokumente getarnt sind. Horabot nutzt die Outlook-COM-Automatisierung zum Versenden von Phishing-Nachrichten, wodurch es sich seitlich ausbreiten kann .
Was steht in der Phishing-E-Mail?
Der Angriff „ “ beginnt mit einer Phishing-E-Mail an die Adresse , die einen Anhang enthält; sowohl die E-Mail als auch der Anhang sind in spanischer Sprache verfasst.
Die E-Mail gibt vor, von einem seriösen Absender aus Mexiko zu stammen, und enthält eine Betreffzeile, die sich auf eine angehängte Rechnung bezieht. Der Anhang, der angeblich eine PDF-Rechnung ist, die geöffnet werden muss, ist in Wirklichkeit eine ZIP-Datei, die eine schädliche HTML-Datei enthält.
Bei den entschlüsselten Daten in der HTML-Datei handelt es sich ebenfalls um eine HTML-Datei, die eine externe URL benötigt, um die nächste Nutzlast herunterzuladen, bei der es sich um eine ZIP-Datei handelt. Diese ZIP-Datei enthält eine HTA-Datei mit zahlreichen ungenutzten Zeichenfolgen sowie den Befehl „moveTo(7426, 6245)“ zur Neupositionierung des Browserfensters. Anschließend wird ein Skript geladen, um ein externes VBScript einzufügen, das an das HTML-Element angehängt wird.
Die Rolle von VBScript verstehen
Wie Fortinet feststellt, führt das VBScript eine „benutzerdefinierte Routine zur Dekodierung von Zeichenfolgen durch, indem es jeweils zwei Zeichen verarbeitet, mathematische Umwandlungen vornimmt und versteckte Zeichenfolgen wie URLs, PowerShell-Befehle oder andere Anweisungen rekonstruiert.“ Die erste Hauptaufgabe des Skripts besteht in der Erkennung und Umgehung von Sicherheitsmaßnahmen, wozu Antiviren-Prüfungen, Überprüfungen auf virtuelle Maschinen sowie die gezielte Umgehung von Sicherheitsmaßnahmen auf Geräten mit dem Namen „JOHN-PC“ gehören.
Das Skript stellt zudem sicher, dass der zur Verhinderung einer erneuten Infektion erforderliche Ordner vorhanden ist, erfasst und übermittelt grundlegende Informationen zum Opfer, bereitet die Ausführung von AutoIt durch das Herunterladen von Payloads vor und bereitet die Ausführung von PowerShell durch die Erstellung eines Batch-Skripts vor. Das Skript sorgt für Persistenz, indem es bestimmte Dateitypen aus den Ordnern „%Startup%“ und „%AppData%“ löscht und eine neue LNK-Datei erstellt, die auf versteckte, dort abgelegte Dateien verweist. Zuletzt werden die erstellten Verknüpfungen ausgeführt.
Wozu dienen das AutoIt-Skript und der Banking-Trojaner?
Das AutoIt-Skript, das zur Entschlüsselung verwendet wird, enthüllt eine schädliche DLL, die dazu dient, Informationen vom Computer des Opfers zu sammeln und diese Daten an den C2 -Server zu senden. Die Malware stiehlt anschließend browserbezogene Daten und leitet diese an den Remote-Server weiter. Horabot überwacht zudem das Verhalten der Opfer und blendet gefälschte Popup-Fenster ein, die darauf ausgelegt sind, Zugangsdaten zu stehlen.
Wie Horabot seine E-Mail-Angriffe automatisiert
Ein Zielskript aus dem vorherigen VBScript dient dazu, zusätzliche Skripte auf dem Remote-Server auszuführen. Wie Fortinet erläutert, können diese Dateien „den gesamten Prozess der Erstellung einer Opferliste, der E-Mail-Automatisierung und der effizienten Übermittlung der Horabot-Nutzlast abdecken“. Die Malware beendet alle laufenden Instanzen von Outlook, um sicherzustellen, dass sie das Programm über ein COM-Objekt starten kann. Nach der Erstellung eines „Outlook.Application“-Objekts wird eine leere Liste initialisiert, um E-Mail-Adressen zu erfassen, und eine Liste gesperrter Domänen definiert.
Ein weiteres Skript erstellt daraufhin eine Liste mit E-Mail-Adressen, während ein anderes Skript die gesammelten Adressen speichert und an einen externen Server übermittelt. Weitere Skripte erstellen und versenden eine E-Mail mit gefälschten Rechnungen und löschen anschließend die zugehörigen Dateien. Die Malware nutzt zudem Outlook, um sich selbst an weitere Opfer zu versenden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Horabot nutzt Outlook, um sich in das normale Verhalten einzufügen, was es von anderen Arten von Malware unterscheidet. Dies erschwert die Identifizierung.
Wie immer beim Thema Phishing ist die Aufklärung der Nutzer von von entscheidender Bedeutung, zumal bei dieser Kampagne gängige und traditionelle Phishing-Köder zum Einsatz kommen.
TA406 ändert sein Targeting-Verhalten
Ein aktueller Blogbeitrag von Proofpoint (wird in einem neuen Tab geöffnet) beleuchtet eine bedeutende Veränderung im Angriffsverhalten von TA406.
Proofpoint berichtet, dass „ TA406 “ nun Freemail-Absender nutzt, die sich als legitime Personen ausgeben, um das Opfer dazu zu verleiten, auf den Köder einzugehen. Die Gruppe verbreitet im Rahmen ihrer Phishing-Kampagnen bereits seit dem Februar 2025 Anmeldedaten-Stealing-Software und verschiedene Arten von Malware.
Im Februar begann die Einheit TA406 zudem, staatliche Stellen in der Ukraine ins Visier zu nehmen, um Informationen über die russische Kampagne zu sammeln.
Wie funktioniert die Verbreitung von TA406 -Malware?
TA406 hat in der Vergangenheit vorrangig HTML- und CHM-Dateien verwendet, um eingebettete PowerShell-Skripte auszuführen und Malware zu verbreiten. Im Bericht „ Februar 2025“ stellte Proofpoint fest, dass sich der Akteur als gefälschter Senior Fellow eines erfundenen Thinktanks ausgab. Die E-Mail enthielt einen Link zum Datei-Hosting-Dienst MEGA, über den Nutzer eine passwortgeschützte Datei herunterladen konnten. Bei der Datei handelt es sich um ein RAR-Archiv, das nach der Entschlüsselung und Ausführung die Infektionskette initiiert und dabei PowerShell zur Erkundung nutzt. Nachdem das beabsichtigte Opfer nicht auf den ursprünglichen Link geklickt hatte, versandte die Gruppe tagelang mehrere Phishing-E-Mails hintereinander.
Das Archiv enthält eine CHM-Datei, die weitere HTML-Dateien umfasst. Die HTML-Dateien zeigen dem beabsichtigten Opfer den Köderinhalt an. Ein PowerShell-Skript innerhalb des HTML-Codes wird ausgeführt, wenn das Opfer auf dieser Seite herumklickt. Dadurch werden weitere PowerShell-Skripte heruntergeladen und ausgeführt, um Informationen über den Host des Opfers zu sammeln.
Die gesammelten Informationen werden anschließend an den Angreifer zurückgesendet. Um eine dauerhafte Präsenz zu etablieren, installiert der Angreifer anschließend eine Batch-Datei (die als Autorun-Datei installiert wird), die beim Systemstart ausgeführt wird.
Handelt es sich bei TA406 um das Sammeln von Zugangsdaten?
Bevor die Gruppe ihre Malware-Kampagnen startete, stellte Proofpoint fest, dass der Akteur versuchte, Zugangsdaten zu erlangen, indem er gefälschte Microsoft-Sicherheitswarnungen versandte.
Diese Phishing-E-Mails zielen darauf ab, das Opfer dazu zu verleiten, auf einen Link zu klicken, um seine Identität zu bestätigen. Den Forschern ist es bislang noch nicht gelungen, die eigentliche Phishing-Seite zum Abgreifen von Zugangsdaten zu erlangen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die jüngste Aktivität der Gruppe „ TA406 “ unterstreicht deren anhaltenden Fokus auf geopolitische Informationen. Die Verlagerung des Fokus bei den Angriffszielen – von russischen Regierungsstellen hin zu ukrainischen Regierungsstellen – könnte auf eine Neuausrichtung der nachrichtendienstlichen Prioritäten Nordkoreas hindeuten.
Interessant ist dabei der Einsatz fiktiver Personen aus fiktiven Thinktanks, anstatt zu versuchen, echte Personen zu imitieren.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
