Den Auftakt in unserem Wochenrückblick bildet ein Blick auf „BugSleep“ – eine neue Backdoor, die der iranische staatliche Akteur „MuddyWater“ in seiner jüngsten Kampagne einsetzt. Anschließend befasst sich CTI mit zwei schädlichen Paketen, die kürzlich im npm-Paketregister identifiziert wurden. Schließlich untersucht CTI den Bedrohungsakteur „Void Banshee“, der derzeit eine kürzlich bekannt gewordene Sicherheitslücke in der Microsoft-MHTML-Browser-Engine ausnutzt, um den Infostealer „Atlantida“ zu verbreiten.
1. MuddyWater setzt die Malware „BugSleep“ ein
Der als „ “ bekannte iranische staatliche Akteur „MuddyWater“ (, auch bekannt als „Mercury“) setzt in seiner jüngsten Kampagne eine neue Hintertür namens „BugSleep“ ein.
BugSleep dient dazu, Befehle auszuführen und Dateien zwischen dem C2 und dem kompromittierten Gerät zu übertragen. Die Malware befindet sich noch in der Entwicklung und wird laufend aktualisiert.
Wie MuddyWater Köder einsetzt
Im Rahmen seiner Kampagnen versendet MuddyWater häufig Phishing-E-Mails vom Typ „ “ ( ) an eine große Anzahl von Zielpersonen über ein kompromittiertes E-Mail-Konto. Seit dem Februar 2024 hat Check Point mehr als 50 Spear-Phishing-E-Mails identifiziert, die auf mehr als 10 verschiedene Branchen und Hunderte von Empfängern abzielten.
So richtete sich beispielsweise ein Lockangebot an Kommunen und forderte diese auf, eine neue, maßgeschneiderte App herunterzuladen. Andere Anreize waren wesentlich allgemeiner gehalten und umfassten Einladungen zu Webinaren und anderen Online-Kursen, die branchen- und regionenübergreifend genutzt werden konnten.
Die Infektionskette von MuddyWater
Der Täter missbraucht die Dateifreigabeplattform Egnyte und fügt deren Subdomains in seine Phishing-E-Mails ein.
Wenn die Opfer auf diese geteilten Links klicken, werden sie zu einer Website weitergeleitet, auf der ein Archiv zum Herunterladen bereitsteht. Das Archiv enthält die Malware „BugSleep“.
Was ist BugSleep?
BugSleep ist eine neue Malware, die MuddyWater seit dem Mai 2024 einsetzt.
BugSleep hat den intensiven Einsatz legitimer RMM-Tools durch die Gruppe teilweise ersetzt. Check Point hat bereits mehrere verschiedene Versionen der Malware in freier Wildbahn beobachtet, wobei jede neue Version Verbesserungen und Fehlerbehebungen enthält.
Alle Varianten der Malware beginnen mit mehreren Aufrufen der Sleep-API, um zu verhindern, dass sie in einer Sandbox ausgeführt werden. Die meisten der Proben erstellen anschließend eine geplante Aufgabe zur Persistenz, die sicherstellt, dass die Malware alle 30 Minuten ausgeführt wird.
Die Malware kann verschiedene Befehle ausführen, darunter das Senden von Dateiinhalten an den C2, das Schreiben von Inhalten in eine Datei, das Löschen, Erstellen oder Abfragen des Status der Persistenz-Aufgabe sowie das Aktualisieren der Ruhezeit und vieles mehr.
Eine der analysierten Proben enthielt zudem einen benutzerdefinierten Loader, der BugSleep in den Speicher eines der folgenden Prozesse lädt: msedge.exe, opera.exe, chrome.exe, anydesk.exe, Onedrive.exe, powershell.exe.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
MuddyWater gibt es bereits seit mindestens 2017, und das Unternehmen erweitert kontinuierlich seine Techniken und sein Opferprofil.
Diese jüngste MuddyWater-Kampagne verdeutlicht einen Wandel bei dem Schauspieler. MuddyWater war in der Vergangenheit in hohem Maße auf den Einsatz legitimer RMM-Software angewiesen, um den Zugriff auf die Umgebung aufrechtzuerhalten.
Die Untersuchungen von Check Point zeigen, dass dieser Akteur mit neuen Methoden zur Persistenz und neuer Malware experimentiert, was darauf hindeutet, dass wahrscheinlich noch weitere Angriffe folgen werden.
2. Forscher entdecken schädliche Dateien in der npm-Registry
Kürzlich wurden zwei bösartige „ “-Pakete im npm-Paketregister identifiziert, die ausgefeilte Command-and-Control-Funktionen enthielten, die in Bilddateien versteckt waren und bei der Installation des Pakets ausgeführt wurden.
Bei den beiden in dieser Kampagne identifizierten Paketen handelte es sich um gefälschte Klone legitimer AWS-Pakete .
Die schädlichen npm-Pakete
Bei den beiden schädlichen Paketen handelt es sich um img-aws-s3-object-multipart-copy und legacyaws-s3-object-multipart-copy.
Das erste Paket ist eine Kopie des offiziellen AWS-Pakets, das auf GitHub zu finden ist. Der Angreifer hat die Datei „index.js“ aktualisiert, um das Skript „loadformat.js“ auszuführen – ein zusätzliches Skript, das dem schädlichen Paket hinzugefügt wurde.
Von der Bildverarbeitung bis zur Ausführung
Phylum (dessen Technologie im Jahr 2025 von Veracode übernommen wurde, hier jedoch unter seinem ursprünglichen Namen genannt wird) hat Loadformat.js auf weitere Details hin untersucht und festgestellt, dass jedes Byte analysiert wird, nachdem die Bilddatei von der Festplatte gelesen wurde.
Nachdem bestimmte Körper und Variablen definiert wurden, wird alles ausgeführt, was in dem Skript enthalten ist, das aus der Bilddatei extrahiert wird.
Befehls- und Kontrollstruktur in einem JPEG
Phylum versuchte herauszufinden, welche ausführbaren Dateien in den Bildern enthalten waren. Sie identifizierten drei Dateien im Stammverzeichnis des Pakets, darunter logo1.jpg, logo2.jpg und logo3.jpg.
Phylum stellte fest, dass der Code einen neuen Client beim Remote-Server C2 registriert, indem er bestimmte Informationen, wie den Hostnamen und den Betriebssystemtyp, an eine bestimmte IP-Adresse sendet. Anschließend wird ein Intervall erstellt, in dem alle fünf Sekunden eine Schleife durchlaufen wird, um Befehle vom C2 abzurufen.
Die erhaltenen Befehle werden auf dem Gerät ausgeführt, und die Ausgabe wird an den Angreifer zurückgesendet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese beiden Pakete wurden schließlich aus npm entfernt, allerdings erst, nachdem sie etwa zwei Tage lang öffentlich verfügbar gewesen waren.
Die mit Open-Source-Software verbundenen Risiken werden wahrscheinlich immer bestehen bleiben, vor allem weil Angreifer wissen, wie stark Unternehmen auf zahlreiche Open-Source-Programme und -Pakete angewiesen sind. Dies zeigt sich an dem enormen Anstieg der Anzahl bösartiger Pakete, die in den letzten Jahren in Open-Source-Repositories veröffentlicht wurden.
Bitte beachten Sie, dass es sich bei diesen Paketen um Klone legitimer Pakete handelte und nicht um legitime Pakete, die mit Trojanern infiziert waren. Es ist wichtig, bei Open-Source-Paketen äußerst wachsam zu sein und sich die Zeit zu nehmen, um zu überprüfen, was aus Open-Source-Repositorys heruntergeladen wird.
3. „Void Banshee“ nutzt eine Schwachstelle in Microsoft MHTML aus
Der Angreifer „Void Banshee“ nutzt derzeit eine kürzlich bekannt gewordene Sicherheitslücke in der Microsoft-MHTML-Browser-Engine aus, um den Infostealer „Atlantida“ zu verbreiten.
Die Sicherheitslücke wurde im Rahmen eines mehrstufigen Angriffs ausgenutzt, um über den deaktivierten Internet Explorer mittels MSHTML auf Dateien zuzugreifen und diese auszuführen. Der „ “ „Atlantida Infostealer“ zielt darauf ab, Systeminformationen und sensible Daten wie Passwörter und Cookies zu stehlen.
Die Sicherheitslücke
CVE-2024-38112 ist eine RCE-Sicherheitslücke in MHTML. Die Sicherheitslücke wurde als Zero-Day-Exploit genutzt, um über den deaktivierten Internet Explorer mithilfe von MSHTML Dateien auszuführen.
Diese Sicherheitslücke wurde im Rahmen des „Patch Tuesday“ von „ Juli 2024 “ behoben. Es wurde beobachtet, dass „Void Banshee“ diese Sicherheitslücke ab Mitte des JahresMai 2024 als Teil seiner Infektionskette ausnutzte.
Die Nutzung des Internet Explorers als Angriffsvektor
Der Support für den Internet Explorer endete im Juni 2022 und wurde in späteren Windows-Versionen deaktiviert. Dies bedeutet jedoch nicht, dass es aus den Systemen entfernt wurde. Auf Windows-Systemen sind nach wie vor Überreste des Internet Explorers vorhanden, auch wenn diese für den normalen Benutzer nicht zugänglich oder sichtbar sind. Sollte ein Benutzer die Datei „iexplorer.exe“ finden und versuchen, sie zu öffnen, würde er einfach zu Microsoft Edge weitergeleitet werden.
Laut Trend Micro nutzte der Angreifer in dieser „Void Banshee“-Kampagne die Schwachstelle CVE-2024-38112 aus, um „Dateien und Websites über den deaktivierten IE-Prozess … mittels MSHTML auszuführen“. Zu diesem Zweck verwendete der Angreifer speziell präparierte URL-Dateien und konnte eine HTA-Datei direkt über den deaktivierten IE-Prozess ausführen.
Technische Details
- Um den Angriff zu starten, nutzt der Angreifer ZIP-Archive, die Bücher im PDF-Format sowie schädliche Dateien enthalten, die als PDF-Dateien getarnt sind.
- Diese finden sich vor allem in Spear-Phishing-E-Mails und auf Plattformen zur gemeinsamen Nutzung von Dateien in der Cloud.
- Der Angriff beginnt, wenn ein Opfer auf die schädliche URL-Verknüpfungsdatei klickt, die darauf ausgelegt ist, die Sicherheitslücke auszunutzen.
- Die Internet-Verknüpfungsdatei verweist auf eine vom Angreifer kontrollierte Domain, auf der eine HTML-Datei zum Herunterladen des HTA-Teils der Infektion verwendet wird. Die HTML-Datei kann vom Akteur auch dazu genutzt werden, Browserinformationen zu verbergen.
- Wenn die URL über den Internet Explorer aufgerufen wird, versucht dieser, die HTA-Datei zu öffnen, und fordert den Benutzer auf, die HTML-Anwendung entweder zu öffnen oder zu speichern. Für den Benutzer erscheint dies als normale PDF-Datei.
- Die Datei enthält ein VBScript, das ihren Inhalt entschlüsselt und diesen anschließend mit PowerShell ausführt. Zudem wird ein .NET-Trojaner-Loader ausgeführt, um eine Prozessinjektion durchzuführen. In späteren Phasen wird der Open-Source-Loader „Donut“ verwendet, um den „Atlantida“-Stealer – die eigentliche Nutzlast des Angriffs – zu entschlüsseln und auszuführen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Angriff mag auf den ersten Blick irrelevant erscheinen, da der Internet Explorer nicht mehr weiterentwickelt wird. Dennoch können Angreifer den Browser weiterhin ausnutzen und ihn dazu verwenden, Nutzer und Organisationen zu infizieren, wie dieser Angriff zeigt.
Wie Trend Micro erläuterte, können APT-Gruppen wie „Void Banshee“ deaktivierte Dienste wie den Internet Explorer ausnutzen, was eine erhebliche Bedrohung für Unternehmen darstellt. Die Sicherheitslücke wurde inzwischen behoben, doch für diejenigen, die kein Update installiert haben, weil sie davon ausgingen, dass der Internet Explorer nicht auf ihren Rechnern installiert sei, besteht die Gefahr weiterhin.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
