In der Zusammenfassung dieser Woche befasst sich CTI mit einer „Phishing-as-a-Service“-Plattform (PhaaS) namens ONNX, die nun auf Microsoft- 365 -Konten in der Finanzbranche abzielt. Anschließend informiert CTI über den aktuellen Stand zu einem als „Boolka“ bezeichneten Angreifer, der Websites kompromittiert, um einen Trojaner namens „BMANAGER“ zu verbreiten. Abschließend gibt CTI einen Überblick über „SneakyChef“ – einen bislang nicht dokumentierten Angreifer, der mit einer Cyberspionagekampagne in Verbindung steht, die sich gegen staatliche Stellen richtete.
1. ONNX Store richtet sich an die Finanzbranche
Eine „ “-Phishing-as-a-Service-Plattform (PhaaS) , bekannt als „“ ONNX Store , hat es auf Microsoft-365 -Konten abgesehen. Die Angriffe richten sich derzeit gegen Mitarbeiter von Finanzunternehmen und nutzen QR-Codes in PDF-Anhängen.
ONNX Store erhöht seine Erfolgschancen durch den Einsatz eines Mechanismus zur Umgehung von „ 2FA “ ( ), der Anfragen seiner Opfer abfängt. EclecticIQ geht davon aus, dass es sich bei dem Angreifer hinter dem ONNX Store PhaaS um denselben Akteur handelt wie hinter dem Caffeine-Kit und dass es sich möglicherweise um eine Umbenennung der Plattform handelt. Bereits im Jahr 2023 kündigte der Entwickler des Caffeine-Kits eine Umbenennung an und wies darauf hin, dass die Plattform nun unter dem Namen „ONNX STORE“ weitergeführt werde. Im Mittelpunkt der Umgestaltung steht eine verbesserte OPSEC für die Akteure, da Caffeine bislang auf einen einzigen gemeinsam genutzten Webserver zurückgegriffen hatte, um alle Kampagnen zu verwalten.
ONNX ermöglicht es Akteuren, ihre Kampagnen über Telegram-Bots zu steuern, und verfügt über einen zusätzlichen Support-Kanal. EclecticIQ hat Bots beobachtet, die 2FA -Codes und Microsoft Office 365 -Anmeldedaten abfangen, mit denen die Angreifer einen Webmail-Server kontrollieren, um von der Adresse aus Phishing-E-Mails an zu versenden, sowie Zahlungen zu tätigen, ihre Bestellungen zu verfolgen, Phishing-E-Mails und Social-Engineering-Köder zu erstellen und „bulletproof“ Hosting zu nutzen.
Laut EclecticIQ nutzt der ONNX Store Cloudflare, um „den Prozess der Sperrung von Phishing-Domains zu verzögern“.
ONNYX Store und QR-Phishing
Wie viele andere Phishing-Dienste heutzutage nutzt auch der ONNX Store mittlerweile QR-Codes, um Angriffe durchzuführen.
Dieser Phishing-Dienst wird PDF-Dokumente verbreiten, die einen QR-Code enthalten. In diesen PDF-Dateien wird häufig vorgegeben, es handele sich um Gehaltsanpassungen, Mitarbeiterhandbücher und andere personalbezogene Themen.
Durch das Scannen des QR-Codes wird das Opfer auf eine Phishing-Website weitergeleitet, die vom Angreifer kontrolliert wird. Die Seite zielt darauf ab, Anmeldedaten und 2FA -Codes zu stehlen.
ONNX Store und JavaScript
ONNX Store verwendet verschlüsselten JavaScript-Code, der sich beim Laden der Seite selbst entschlüsselt. Diese Technik bietet zusätzlichen Schutz, insbesondere vor Anti-Phishing-Scannern. Das entschlüsselte JavaScript ist dafür verantwortlich, die 2FA Token zu stehlen, die das Opfer eingibt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
ONNX Store verfügt über viele der gleichen Funktionen und Möglichkeiten wie andere Phishing-Kits auf dem Markt; ob es sich daher wirklich durchsetzen wird, ist umstritten.
Bislang haben Forscher beobachtet, dass das Tool ausschließlich gegen Finanzunternehmen eingesetzt wurde. Dies könnte sich ändern, da die Entwickler verstärkt darauf achten, die OPSEC für ihre Nutzer zu verbessern. Darüber hinaus zeugt der Einsatz von QR-Codes von ihrem Bestreben, mit der Bedrohungslage Schritt zu halten.
2. Boolka verbreitet den Trojaner „BMANAGER“ über SQLi-Angriffe
Ein Angreifer, der unter den Bezeichnungen „ “ und „Boolka“ verfolgt wird, kompromittiert derzeit anfällige Websites, um einen Trojaner namens „BMANAGER“ zu verbreiten.
Nach Angaben von Group-IB führt der Akteur seit mindestens 2022 in mehreren Ländern opportunistische SQL-Injection-Angriffe durch, bei denen er Benutzereingaben sammelt und abzieht. Die Kampagne leitet Nutzer auf eine Zielseite weiter, auf der sie aufgefordert werden, eine Browsererweiterung herunterzuladen und zu installieren, bei der es sich tatsächlich um den BMANAGER-Trojaner handelt.
Webangriffe unter Einbeziehung von Boolka
Boolka infiziert seit 2022 Websites mit bösartigem JavaScript. Wenn ein Nutzer unweigerlich eine der infizierten Websites aufruft, wird das Skript heruntergeladen und ausgeführt. Das Skript sendet zunächst eine Anfrage an den Server von Boolka, um diesem mitzuteilen, dass es ausgeführt wurde. Anschließend sammelt das Programm Benutzereingaben auf der Website und leitet die gesammelten Informationen weiter.
Kürzlich wurde eine aktualisierte Version dieses Skripts entdeckt, die einige Änderungen enthält. Beispielsweise wird nun geprüft, ob ein bestimmtes div-Element mit der ID „hookwork“ vorhanden ist, und falls nicht, wird eines erstellt. Die neue Version enthält zudem zusätzliche Prüfungen, um zu verhindern, dass bestimmte Eigenschaften an den Server gesendet werden.
Verbreitung von Malware
Eine im Januar entdeckte Landingpage gilt nun als Testlauf der Malware-Verbreitungsplattform von Boolka. Die Plattform basiert auf einem Open-Source-Tool namens BeEF. Boolka hat drei verschiedene Domains für Landingpages eingerichtet, hat jedoch festgestellt, dass nur eine davon genutzt wird.
Im Rahmen der Studie „ März 2024“ beobachtete Group-IB erstmals die Versandplattform von Boolka in der Praxis. Diese Plattform dient der Bereitstellung des BMANAGER-Downloaders.
Malware
Group-IB hat mehrere Malware-Exemplare entdeckt, die alle mit dem Dropper „BMANAGER“ starteten. Es wurde zudem festgestellt, dass Boolka folgende Programme einsetzte: BMANAGER, den BMANAGER-Downloader, BMREADER zur Datenexfiltration, BMLOG zum Keylogging, BMHOOK zur Aufzeichnung laufender Anwendungen mit Tastaturfokus sowie BMBACKUP zum Diebstahl von Dateien.
BMANAGER-Downloader
Der Downloader versucht, die Malware „BMANAGER“ herunterzuladen und auszuführen. Die Malware wird über eine HTTP-GET-Anfrage von einer im Dropper fest programmierten URL heruntergeladen. Die Persistenz wird durch Windows-Aufgaben gewährleistet, die die Malware starten, sobald sich ein Benutzer anmeldet.
BMANAGER
Die Malware selbst lädt Dateien von einer fest programmierten Adresse „ C2“ herunter. Das Programm erstellt Start-Aufgaben, löscht Start-Aufgaben und führt verschiedene ausführbare Dateien aus. Beim ersten Start registriert sich die Malware beim C2 mithilfe einer zufällig generierten GUID, die in einer SQL-Datenbank gespeichert wird. Das System wird versuchen, aus der Liste „ C2 “ eine Liste der Anwendungen zu ermitteln, auf die es sich konzentrieren sollte.
Die Malware ruft anschließend weitere ausführbare Dateien von der Adresse C2 ab. Dazu gehören BMREADER, BMLOG, BMHOOK und BMBACKUP. Die meisten der untersuchten Malware-Beispiele verwendeten eine lokale SQL-Datenbank, die fest in die Beispiele integriert war.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Boolka hat seine Taktiken, Techniken und Vorgehensweisen (TTPs) seit seinem ersten Angriff erheblich weiterentwickelt und ist von rein opportunistischen SQL-Injection-Angriffen dazu übergegangen, eine umfassende Plattform zur Verbreitung von Malware sowie maßgeschneiderte Malware zu entwickeln.
Dieser Akteur erweist sich als ernstzunehmende Bedrohung, weshalb es überraschend ist, dass in den Medien bislang kaum über seine Aktivitäten berichtet wurde. Abgesehen davon scheint die Praxis, SQL-Injection-Angriffe zum Diebstahl sensibler Daten einzusetzen, wieder auf dem Vormarsch zu sein.
3. SneakyChef setzt SpiceRAT und SugarGh0st ein
SneakyChef wird nun mit einer Cyberspionagekampagne in Verbindung gebracht, die auf staatliche Stellen abzielt. Der bislang nicht dokumentierte Angreifer nutzt gescannte Dokumente von Regierungsbehörden als Köder und wurde dabei beobachtet, wie er in seinen Kampagnen die Malware „ SugarGh0st “ sowie „SpiceRAT“ einsetzte.
Über SneakyChef
Cisco Talos hat ursprünglich Mitte 2023 eine Kampagne identifiziert, bei der die SugarGh0st -RAT zum Einsatz kam. Seitdem haben sie weiterhin Kampagnen beobachtet, bei denen dieselbe Malware zum Einsatz kam, was sie dazu veranlasste, ein neues Akteursprofil mit dem Namen „SneakyChef“ zu erstellen. Es wird angenommen, dass dieser Schauspieler Chinesisch spricht, da er entsprechende Spracheinstellungen gewählt hat und die Software „ Gh0st RAT“ verwendet, die bei chinesischen Schauspielern beliebt ist. Dieser Akteur hatte ursprünglich Nutzer in Usbekistan und Südkorea im Visier und hat sein Zielgebiet inzwischen auf mehrere Länder in der EMEA-Region und in Asien ausgeweitet.
Die Köder von SneakyChef
SneakyChef setzt Köder ein, bei denen es sich um gescannte Dokumente von Behörden handelt. Cisco Talos stellt fest, dass diese Dokumente offenbar nicht öffentlich zugänglich sind.
Bei Kampagnen, die auf Länder im südlichen Afrika abzielten, gaben die Dokumente vor, vom Außenministerium Angolas zu stammen. Bei Kampagnen, die auf zentralasiatische Länder abzielten, gaben die Dokumente vor, vom Außenministerium Turkmenistans oder Kasachstans zu stammen.
Bei den Phishing-Angriffen, die auf Länder des Nahen Ostens abzielten, wurden Dokumente verwendet, die vorgaben, sich auf einen offiziellen Feiertag zu beziehen. Neben Ködern mit Regierungsbezug stellte Cisco Talos zudem ein Scheindokument fest, bei dem es sich um eine Anmeldung zu einer Konferenz handelte, sowie ein Dokument, das eine Zusammenfassung eines Forschungsbeitrags von einer anderen internationalen Konferenz darstellte. Es gab weitere Anreize im Zusammenhang mit Einladungen zu Konferenzen und den entsprechenden Einzelheiten.
Alte und neue C2 -Domains
Wie bereits erwähnt, hatte Cisco Talos ursprünglich Aktivitäten dieses Akteurs im Jahr 2023 beobachtet, obwohl diese damals noch nicht diesem Akteur zugeordnet worden waren. Der Schauspieler nutzt weiterhin eine C2 -Domain, über die bereits vor einigen Monaten berichtet wurde. Außerdem stellten sie fest, dass die Malware SugarGh0st zwischen März und April 2024 eine neue Domain C2 nutzte.
Infektionskette: In der jüngsten „SneakyChef“-Kampagne hat der Angreifer begonnen, eine dritte Infektionskette einzusetzen, die SFX RAR für den Erstzugriff missbraucht. Wenn das Opfer des Angriffs die ausführbare Datei ausführt, legt das SFX-Skript ein Scheindokument, einen DLL-Loader, die verschlüsselte SugarGh0st -Nutzlast sowie ein bösartiges VB-Skript ab.
Das VB-Skript wird zuerst ausgeführt und stellt die Persistenz über einen Registrierungsschlüssel her, der bei der Anmeldung ausgeführt wird. Wenn sich der Benutzer anmeldet, wird ein Befehl ausgeführt, um die Loader-DLL „update.dll“ zu starten. Der Loader ist für das Einlesen der verschlüsselten SugarGh0st -Nutzdaten sowie der Datei „authz.lib“ zuständig. Es wird die Datei entschlüsseln und in einen Prozess einfügen.
SneakyChef, ein bislang nicht dokumentierter Akteur im Bereich der Cyberkriminalität, wird nun mit einer Cyberspionagekampagne in Verbindung gebracht, die sich gegen staatliche Stellen richtete. Der Akteur nutzt gescannte Dokumente von Behörden als Köder und setzt bei seinen Kampagnen die Malware „ SugarGh0st “ sowie „SpiceRAT“ ein.
SneakyChef
Cisco Talos hat ursprünglich Mitte 2023 eine Kampagne identifiziert, bei der der SugarGh0st RAT zum Einsatz kam. Seitdem haben sie weiterhin Kampagnen beobachtet, bei denen dieselbe Malware zum Einsatz kam, was sie dazu veranlasste, ein neues Akteursprofil mit dem Namen „SneakyChef“ zu erstellen. Es wird angenommen, dass dieser Schauspieler Chinesisch spricht, da er entsprechende Spracheinstellungen gewählt hat und die Software „ Gh0st RAT“ verwendet, die bei chinesischen Schauspielern beliebt ist. Dieser Akteur hatte ursprünglich Nutzer in Usbekistan und Südkorea im Visier und hat seine Aktivitäten inzwischen auf mehrere Länder in der EMEA-Region und in Asien ausgeweitet.
Köder
SneakyChef setzt Köder ein, bei denen es sich um gescannte Dokumente von Behörden handelt. Cisco Talos stellt fest, dass diese Dokumente offenbar nicht öffentlich zugänglich sind. Bei Kampagnen, die auf Länder im südlichen Afrika abzielten, wurden Dokumente verwendet, die den Anschein erweckten, sie stammten vom Außenministerium Angolas. Bei Kampagnen, die auf zentralasiatische Länder abzielten, gaben die Dokumente stattdessen vor, vom Außenministerium Turkmenistans oder Kasachstans zu stammen.
Bei den Phishing-Angriffen, die auf Länder des Nahen Ostens abzielten, wurden stattdessen Dokumente verwendet, die vorgaben, ein Rundschreiben zu einem gesetzlichen Feiertag zu sein. Neben Ködern mit Regierungsbezug stellte Cisco Talos zudem ein Scheindokument fest, bei dem es sich um eine Anmeldung zu einer Konferenz handelte, sowie ein Dokument, das eine Zusammenfassung eines Forschungsbeitrags von einer anderen internationalen Konferenz darstellte. Es gab weitere Anreize im Zusammenhang mit Einladungen zu Konferenzen und den entsprechenden Einzelheiten.
Alte und neue C2 -Domains
Wie bereits erwähnt, hatte Cisco Talos ursprünglich Aktivitäten dieses Akteurs im Jahr 2023 beobachtet, obwohl diese damals noch nicht diesem Akteur zugeordnet worden waren. Der Schauspieler nutzt weiterhin eine C2 -Domain, über die bereits vor einigen Monaten berichtet wurde, und dies wurde bis MitteMai 2024 beobachtet. Außerdem stellten sie fest, dass die Malware SugarGh0st zwischen März und April 2024 eine neue Domain C2 nutzte.
Die Infektionskette von SneakyChef
In der neuesten SneakyChef-Kampagne nutzt der Akteur eine dritte Infektionskette, die SFX RAR für den Erstzugriff missbraucht. Wenn das Opfer des Angriffs die ausführbare Datei startet, legt das SFX-Skript ein Scheindokument, einen DLL-Loader, die verschlüsselte SugarGh0st -Nutzlast sowie ein bösartiges VB-Skript ab.
Das VB-Skript wird zuerst ausgeführt und stellt die Persistenz über einen Registrierungsschlüssel her, der bei der Anmeldung ausgeführt wird. Wenn sich der Benutzer anmeldet, wird ein Befehl ausgeführt, um die Loader-DLL „update.dll“ zu starten. Der Loader ist für das Einlesen der verschlüsselten SugarGh0st -Nutzdaten sowie der Datei „authz.lib“ zuständig. Es wird die Datei entschlüsseln und in einen Prozess einfügen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Bericht ist ein Beispiel dafür, wie schwierig die Zuordnung sein kann. In diesem Fall gelang es den Forschern erst fast ein ganzes Jahr später, eine Reihe von Aktivitäten einem Akteur zuzuordnen und ein Profil zu erstellen. Dies ist insbesondere für chinesische Angreifer von Interesse, deren TTPs sich oft so stark überschneiden, dass es schwierig sein kann, sie voneinander zu unterscheiden.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
