In dieser Woche befasst sich CTI mit einer Phishing-Kampagne, bei der sich die Angreifer als PayPal ausgeben, um Zugangsdaten zu stehlen und Benutzerkonten zu übernehmen. Anschließend liefert CTI Einzelheiten zu einer neuen Malware namens PLAYFULGHOST. Abschließend liefert CTI die neuesten Informationen zu „NonEuclid RAT“, einer Malware, die den Fernzugriff auf und die Fernsteuerung von Computern ermöglicht.
Phishing-Kampagne gibt sich als PayPal aus
Im Rahmen einer aktuellen Phishing-Kampagne gibt sich der Absender als PayPal aus, um Zugangsdaten von Nutzern zu stehlen und Konten zu übernehmen. Carl Windsor, CISO bei Fortinet, entdeckte kürzlich die Kampagne „ “ (wird in einem neuen Tab geöffnet) , nachdem er eine verdächtige E-Mail erhalten und untersucht hatte, da das „An“-Feld der E-Mail eine „onmicrosoft“-Adresse enthielt.
So funktioniert der PayPal-Phishing-Angriff
Windsor stellt klar, dass der Phishing-Angriff „ “ (wird in einem neuen Tab geöffnet) offenbar von einer legitimen PayPal-E-Mail-Adresse ausging. Als er mit der Maus über den Link „Jetzt bezahlen“ in der E-Mail fuhr, stellte er fest, dass dieser zu einer gültigen PayPal-Domain weiterleitete, was ebenfalls keinen besonderen Verdacht weckte.
Durch Anklicken der Schaltfläche in der E-Mail wird der Nutzer auf eine PayPal-Anmeldeseite weitergeleitet, auf der eine Zahlungsaufforderung angezeigt wird. Wie Windsor jedoch in seinem Beitrag erwähnt, führt die Eingabe Ihrer Anmeldedaten auf dieser Seite dazu, dass Ihre PayPal-Kontoadresse tatsächlich mit der E-Mail-Adresse verknüpft wird, an die die E-Mail gesendet wurde – der „onmicrosoft“-Adresse.
Wie ist das möglich? Laut Windsor hatte der Urheber der Kampagne eine MS365 -Testdomain registriert und eine Verteilerliste mit den E-Mail-Adressen der Opfer erstellt. Es ist wichtig zu beachten, dass diese Testdomains in den ersten drei Monaten kostenlos zur Verfügung gestellt werden, was sie zu kostengünstigen Optionen für Angreifer macht.
Nach der Einrichtung der Testdomain und der Verteilerliste kann der Akteur das PayPal-Webportal aufrufen und über die Verteilerliste eine Geldanforderung stellen. Diese Aktion löst den Versand einer E-Mail an die Opfer aus und ändert den Absender, um Sicherheitsprüfungen zu umgehen. Sobald das Opfer seine Zugangsdaten eingibt, wird sein Konto mit dem Konto des Angreifers verknüpft, wodurch dieser die vollständige Kontrolle über das PayPal-Konto erlangt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieses Phishing-Beispiel ist sehr interessant, insbesondere weil dabei kaum herkömmliche Phishing-Techniken zum Einsatz kommen. Viele der Tipps und Tricks, die in der Schulung zur Sensibilisierung für Datensicherheit von „ “ enthalten sind – (wird in einem neuen Tab geöffnet) (Überprüfung des Absenders, Achten auf verdächtige URLs usw.) – würden bei dieser E-Mail, die einen gültigen Absender und eine gültige URL enthielt, keinen Verdacht wecken.
Windsor sagt, die beste Lösung sei die „menschliche Firewall“ – also „jemand, der darauf geschult wurde, bei unaufgeforderten E-Mails wachsam und vorsichtig zu sein, ganz gleich, wie echt diese auch erscheinen mögen“.
PLAYFULGHOST verbreitet sich über Phishing und SEO-Poisoning
Das „Managed Defense“-Team von Google hat unter (wird in einem neuen Tab geöffnet) Einzelheiten zu einer neuen Malware namens PLAYFULGHOST veröffentlicht. Die Malware verfügt über verschiedene Funktionen, darunter Keylogging, die Erstellung von Screenshots und Audioaufnahmen, Fernzugriff über eine Shell sowie Funktionen zur Dateiübertragung.
Zudem weist die Backdoor funktionale Ähnlichkeiten mit der bekannten Malware „ Gh0st RAT“ auf, deren Quellcode im Jahr 2008 veröffentlicht wurde.
Versandarten bei PLAYFULGHOST
Google hat zwei bekannte Verbreitungsmethoden für PLAYFULGHOST identifiziert: Phishing-E-Mails und SEO-Poisoning.
- PLAYFULGHOST-Phishing-Beispiel
Bei einem Phishing-Angriff begann die Infektion mit dem Versuch, das Opfer dazu zu verleiten, ein an die E-Mail angehängtes schädliches RAR-Archiv zu öffnen. Das RAR-Archiv hatte die Dateiendung .jpg, wodurch das Opfer zusätzlich in die Irre geführt wurde und glaubte, es handele sich um eine harmlose Bilddatei.
Wenn das Opfer das Archiv entpackt, wird eine schädliche Windows-Ausführungsdatei abgelegt, die PLAYFULGHOST von einem Remote-Server herunterlädt und ausführt. - Beispiel für SEO-Poisoning durch PLAYFULGHOST:
Bei dieser Infektion werden die Opfer dazu verleitet, die schädliche Windows-Ausführungsdatei herunterzuladen. Die ausführbare Datei gibt vor, ein Installationsprogramm für legitime Software wie LetsVPN zu sein.
Sobald diese ausgeführt wird, entpackt sie eine weitere schädliche Windows-Ausführungsdatei, die Komponenten von PLAYFULGHOST von einem Remote-Server herunterlädt.
Wie funktioniert PLAYFULGHOST?
PLAYFULGHOST nutzt ein dreiteiliges System: eine legitime ausführbare Datei, die die DLL-Suchreihenfolge manipuliert, eine bösartige Launcher-DLL-Datei, die sich im selben Ordner befindet, sowie eine Datei, die die eigentliche Schadlast enthält. Die legitime ausführbare Datei lädt die schädliche Launcher-DLL, die die Nutzlast im Speicher entschlüsselt.
In einem Fall stellte Google fest, dass der Angreifer eine legitime, signierte ausführbare Datei von Tencent in „ svchost.exe“ umbenannte, um sie zu tarnen. Dies wurde anschließend dazu verwendet, die schädliche Launcher-DLL zu laden und die Nutzlast zu entschlüsseln.
In einem anderen Fall beobachteten sie ein komplexeres Szenario, das mit einer Windows-LNK-Datei begann. Diese Datei kombinierte eine Textdatei, die Zeichen enthielt, mit einer zweiten Datei, die den Rest der Nutzlast enthielt, um eine neue schädliche DLL-Datei zu erstellen.
Unterstützte Funktionen
PLAYFULGHOST unterstützt verschiedene Funktionen, die es einem Angreifer ermöglichen, das System aus der Ferne zu steuern. Zu seinen Data-Mining-Funktionen gehören das Erstellen von Screenshots und Audioaufnahmen, das Löschen und Kopieren von Daten aus der Zwischenablage, das Erfassen von Hardware-Informationen sowie das Auflisten, Aktivieren, Trennen und Abmelden von RDP-Sitzungen und vieles mehr.
Darüber hinaus verfügt es über Funktionen zur Dateiverwaltung, zum Löschen von Daten, zur Remote-Ausführung, zur Ausweitung von Berechtigungen sowie zur Umgehung forensischer Untersuchungen. Darüber hinaus kann es weitere Schadcode-Pakete herunterladen und störende Aktivitäten ausführen, wie beispielsweise die Änderung der Bildschirmauflösung und das Ausblenden von Taskleisten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Zwar sind die Verbreitungsmethoden von PLAYFULGHOST nicht neu, doch verfügt die Malware über eine sehr umfangreiche Liste von Funktionen, die den Anforderungen einer Vielzahl von Angreifern gerecht werden.
Es ist interessant, Malware zu beobachten, die „störende Aktivitäten“ ausführt, wie beispielsweise das Blockieren von Tastatureingaben, das Ändern der Bildschirmauflösung, das Ausblenden der Taskleisten und das Erzeugen eines Pieptons.
Es ist unklar, ob diese Funktionen dazu dienen, die Malware zu aktivieren, oder ob sie lediglich störend wirken sollen. Google hat zudem unter Erkennungsdaten bereitgestellt: (wird in einem neuen Tab geöffnet) , um die Identifizierung von Artefakten im Zusammenhang mit PLAYFULGHOST zu erleichtern.
NonEuclid RAT gewinnt an Bedeutung
Cyfirma veröffentlicht unter (wird in einem neuen Tab geöffnet),und Einzelheiten zur „NonEuclid RAT“, einer neuen Art von Malware, die Fernzugriff und Fernsteuerung über den Computer des Opfers ermöglicht.
Laut Cyfirma ermöglicht die Malware unbefugten Fernzugriff und verfügt über ausgefeilte Techniken zur Umgehung von Sicherheitsmaßnahmen. Derzeit wird dafür in geheimen Foren der Cyberkriminalität geworben.
Über NonEuclid
Die in C# entwickelte Malware verfügt über Mechanismen wie die Umgehung von Antivirenprogrammen, die Ausweitung von Berechtigungen, Maßnahmen zur Erkennungsvermeidung und die Verschlüsselung durch Ransomware.
Forscher haben festgestellt, dass die Malware aufgrund ihrer Funktionen – darunter Tarnung, dynamisches Laden von DLLs, Anti-VM-Prüfungen und AES-Verschlüsselungsfunktionen – an Bedeutung gewonnen hat. Zudem haben sie Tutorials und Diskussionen zu NonEuclid auf Discord und sogar auf YouTube verfolgt, was ebenfalls auf dessen Beliebtheit hindeutet.
Wie funktioniert NonEuclid?
Die Malware initialisiert eine Client-Anwendung mithilfe verschiedener Mechanismen. Es nimmt Einstellungen vor, verzögert den Start und stellt sicher, dass bestimmte Funktionen über Administratorrechte verfügen. Anschließend führt das Programm Mutex- und Anti-Erkennungsprüfungen durch, die bei Erfolg einen Client-Socket für die Kommunikation einrichten – und die Verbindung wiederherstellen, falls diese unterbrochen wird.
Die Malware verfügt über eine Anti-Scan-Funktion, die versucht, Windows Defender-Scans zu umgehen, indem sie bestimmte Ausschlüsse in die Registrierungs-Einstellungen von Windows Defender einfügt. Außerdem verfügt es über eine Funktion zur Prozessunterdrückung, die laufende Prozesse überwacht, um bestimmte Prozesse – wie beispielsweise Taskmgr und ProcessHacker – zu identifizieren und zu beenden. Die Malware verfügt über weitere Funktionen, wie beispielsweise Anti-VM-Prüfungen, ASMI-Umgehung und Kamerazugriff.
Die Malware erstellt zudem eine geplante Aufgabe, die in festgelegten Intervallen ausgeführt wird, wobei sie das Befehlsfenster ausblendet und die Ausgabe über die Windows-Befehlszeile unterdrückt, um ihre Persistenz sicherzustellen. Diese Aufgabe. Um die Berechtigungen zu erweitern, versucht die Malware, die Windows-Registrierung zu manipulieren und einen Befehl auszuführen, der bestimmte Einschränkungen umgeht.
Cyfirma hat die beiden ausführbaren Dateien untersucht, die beim Ausführen der Malware bereitgestellt werden. Mithilfe des Taskplaners werden diese Dateien automatisch ausgeführt und gewährleisten eine dauerhafte Verfügbarkeit, da sie ohne jegliche Benutzerinteraktion ablaufen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Cyfirma fasst NonEuclid wie folgt zusammen: „Es ist ein Beispiel für die zunehmende Raffinesse moderner Malware und vereint fortschrittliche Tarnmechanismen, Funktionen zur Umgehung der Erkennung sowie die Funktionen der Ransomware ‚ ‘ (wird in einem neuen Tab geöffnet).“
Forscher haben in mehreren Untergrundforen Diskussionen über diese Malware beobachtet, was darauf hindeutet, dass ihr Entwickler große Anstrengungen unternimmt, um bei Cyberkriminellen Anklang zu finden. Ob sich NonEuclid durchsetzen wird, bleibt abzuwarten, doch seine umfangreiche Liste an Funktionen dürfte für Angreifer von Interesse sein.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
