In der Zusammenfassung dieser Woche befasst sich CTI eingehend mit der Malware „Realst“, die im Rahmen einer groß angelegten Kampagne gegen Apple-Computer eingesetzt wird. Als Nächstes stellt CTI einen Bericht vor, in dem beschrieben wird, wie Cyberkriminelle Protokolle von Malware zum Diebstahl von Daten im Dark Web und über Telegram-Kanäle verkaufen. Abschließend gibt CTI einen Überblick über eine neue Malware-Kampagne vom Typ „Nitrogen Initial Access“, bei der sich die Angreifer als legitime Software ausgeben, um die Opfer mit Cobalt-Strike- und Ransomware-Payloads zu infizieren.
1. Die Malware „Realst“, die Daten stiehlt, zielt bereits vor der offiziellen Veröffentlichung auf macOS Sonoma ab
SentinelOne hat kürzlich 59 schädliche Mach-O- -Beispiele der Malware „Realst“ analysiert, bei der es sich um einen Infostealer handelt, der im Rahmen einer groß angelegten Kampagne gegen Apple-Computer eingesetzt wird.
Forscher haben einige Exemplare dieser neuen „Rust“-Malware entdeckt, die bereits auf Apples bevorstehende Betriebssystemversion „macOS 14 Sonoma“ abzielt. Die Malware infiziert sowohl Windows- als auch macOS-Nutzer über gefälschte Blockchain-Spiele, die in den sozialen Medien beworben werden.
Realst-Verteilung
Der „ “-Realst-Infostealer wird über bösartige Websites verbreitet, die für gefälschte Blockchain-Spiele wie „Brawl Earth“, „WildWorld“, „Dawnland“, „Destruction“, „Evolion“, „Pearl“, „Olymp of Reptiles“ und „SaintLegend“ werben.
Jede Version des gefälschten Spiels wird auf einer eigenen Website gehostet und verfügt über eigene, damit verbundene Twitter- und Discord-Konten. Es wurde zudem beobachtet, dass Angreifer potenzielle Opfer direkt über Direktnachrichten in sozialen Medien ansprechen.
Über bösartige Installationsprogramme von Realst
Einige Versionen des Infostealers werden über „Evolion.pkg“ verbreitet, bei dem es sich um ein .pkg-Installationsprogramm handelt, das eine schädliche Mach-O-Datei sowie drei zugehörige Skripte enthält.
- Bei einem Skript handelt es sich um einen plattformübergreifenden Infostealer für Firefox.
- Ein weiteres Skript ist eine Kopie des Open-Source-Projekts „Chainbreaker“. Dieses Skript extrahiert Passwörter, Schlüssel und Zertifikate aus der macOS-Schlüsselbunddatenbank.
- Das dritte Skript ist ein sehr einfaches Deinstallationsskript ohne wirklich böswilliges Verhalten.
Andere Versionen von Realst werden über .dmg-Disk-Images vertrieben. Es wurde beobachtet, dass Entwickler die Malware in Electron-Apps und native macOS-Anwendungsbündel einbinden.
Einige Muster wurden unter Verwendung einer bestimmten Apple-Entwickler-ID entwickelt, die inzwischen widerrufen wurde. Andere Proben werden ad hoc mitunterzeichnet und werden weiterhin freigegeben, da diese Signaturen nicht aus der Ferne widerrufen werden können.
Dynamische Analyse von Realst-Varianten
Aus verhaltenswissenschaftlicher Sicht weisen Realst-Beispiele bei allen Varianten ein ähnliches Muster auf. Manchmal verwenden sie unterschiedliche API-Aufrufe und weisen gewisse Variantenabhängigkeiten auf. Letztendlich entwenden sie jedoch alle Browserdaten, Krypto-Wallets und Schlüsselbund-Datenbanken. Realst ist für die Browser Firefox, Chrome, Opera, Brave und Vivaldi vorgesehen. Es kann auch auf Telegram abzielen.
Die meisten Realst-Varianten versuchen, das Passwort des Benutzers mithilfe von osascript und AppleScript-Spoofing abzugreifen, und führen Überprüfungen durch, um sicherzustellen, dass es sich bei dem Host-Gerät nicht um eine virtuelle Maschine handelt. Der Infostealer sammelt Daten und speichert sie in einem Ordner namens „data“. Dieser Ordner befindet sich je nach Version der Schadsoftware an einem von mehreren Speicherorten. Sofern die Malware Zugriff auf die Berechtigung zur Bildschirmaufnahme erhält, speichert sie zudem einen Screenshot des Desktops des Opfers am selben Speicherort.
Statische Analyse von Realst-Varianten
SentinelOne identifizierte 16 verschiedene Varianten in insgesamt 59 Realst-Proben und unterteilte diese in vier Hauptfamilien. Es gibt jedoch zahlreiche Überschneidungen, die es ihnen ermöglichen würden, die Grenze anders zu ziehen. Dennoch wählten sie ihre Klassifizierung auf der Grundlage von String-Artefakten aus, die den Bedrohungsjägern bei der Identifizierung und Erkennung helfen würden.
- Variantenfamilie A: 31.3. Proben lassen sich der Variante A zuordnen. Das charakteristische Merkmal dieser Varianten ist das Vorhandensein ganzer Zeichenfolgen, die mit AppleScript-Spoofing in Zusammenhang stehen. In diesen Varianten wird AppleScript-Spoofing eingesetzt, um das Administratorpasswort des Benutzers im Klartext abzufangen. Es nutzt die Option „Versteckte Antwort“, um zu verhindern, dass der Benutzer die von ihm eingegebenen Zeichen sieht, indem diese durch Aufzählungszeichen ersetzt werden. Im Hintergrund wird das Passwort vom AppleScript-Dialogfeld erfasst und im Klartext protokolliert. Diese Beispiele umfassen zudem vollständige Zeichenfolgen im Zusammenhang mit Anti-Analyse-Maßnahmen durch VM-Erkennung in Form von „hw.model“.
- Variantenfamilie B: 28.11. Proben lassen sich der Variante B zuordnen. Diese Varianten zeichnen sich dadurch aus, dass sie die Zeichenfolgen in kleinere Einheiten aufteilen, um sich wahrscheinlich einer einfachen statischen Erkennung zu entziehen. Abgesehen davon weisen diese Proben große Ähnlichkeit mit Variante A auf.
- Variantenfamilie C: 28.8. Proben gehören zur Variante C. Diese Varianten zeichnen sich dadurch aus, dass sie einen Verweis auf „Chain Breaker“ innerhalb der Mach-O-Binärdatei enthalten.
- Variantenfamilie D: 29.5. Proben fallen unter die Variante D. Bei dieser Variante erfolgt das Abrufen des Passworts stattdessen über eine Eingabeaufforderung im Terminalfenster. In einigen Fällen nutzte die Malware das abgegriffene Passwort zudem, um mithilfe des Befehls „sudo“ Berechtigungen zu erweitern und das Python-Paket „pycryptodome“ zu installieren.
Realst prepares for macOS 14 Sonoma
Roughly one-third of the samples identified by SentinelOne contained strings targeting macOS 14 Sonoma.
Die String-Artefakte traten in der Hälfte der Proben der Variante A und in allen Proben der Variante B auf, jedoch nicht in den Varianten C oder D. Derzeit ist noch unklar, wie sich der Unterschied zwischen Sonoma und Ventura auf die Ausführung von Realst auswirken würde.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Angesichts der Vielzahl der identifizierten Realst-Exemplare und der Unterschiede zwischen diesen Exemplaren lässt sich feststellen, dass der Angreifer viel Aufwand in die Entwicklung dieses Infostealers investiert hat.“
Wir können bereits erkennen, dass der Angreifer die bevorstehende Veröffentlichung des neuen Betriebssystems von Apple plant und sich darauf vorbereitet. „Es ist wahrscheinlich, dass wir bis zur Veröffentlichung von Sonoma weitere Varianten von Realst sehen werden, da der Angreifer seine Malware offenbar kontinuierlich weiterentwickelt.“
2. Das exponentielle Wachstum von Infostealer-Malware: Über 300 000 Zugangsdaten von Unternehmen stehen zum Verkauf
Das Cybersicherheitsunternehmen Flare hat kürzlich 20 Millionen Protokolle von Infostealing-Malware analysiert, die im Dark Web und auf Telegram-Kanälen zum Verkauf angeboten wurden. Ihre Analyse ergab, dass etwa 375 000 Protokolle den Zugriff auf Unternehmenszugangsdaten für beliebte Anwendungen wie Salesforce, QuickBooks, AWS, Google Cloud, DocuSign und andere enthielten.
Der Einsatz von Infostealer-Malware hat exponentiell zugenommen, wodurch sie in den letzten Jahren zu einem der wichtigsten Trends in der gesamten Branche geworden ist. Verschiedene Varianten von Infostealern sammeln Daten von kompromittierten Geräten und bieten diese Stealer-Protokolle anschließend im Dark Web und auf Telegram zum Verkauf an. Die Analyse von Flare untersucht mehrere Datensätze und umfasst insgesamt mehr als 19,6 Millionen Stealer-Protokolle.
Die Zugriffsebenen des Infostealers
Flare unterteilt Stealer-Protokolle in drei Stufen, je nach Art der im Protokoll enthaltenen Anmeldedaten und der Art des Zugriffs, den der Angreifer durch die Nutzung dieser Anmeldedaten voraussichtlich erlangen möchte.
Tier-1-Protokolle: Hochwertige Unternehmenszugangsdaten
Oft speichern Nutzer Passwörter in ihren Browsern, um die Nutzung zu vereinfachen. Wenn eine Infostealer-Malware ein Gerät infiziert, werden gleichzeitig alle im Browser gespeicherten Anmeldedaten kompromittiert. Dazu können CRM-Systeme, Anmeldedaten für RDP, VPN, der Zugriff auf SaaS-Anwendungen und vieles mehr gehören. Angreifer schätzen Zugangsdaten von Unternehmen aus offensichtlichen Gründen. Auch Initial-Access-Broker (IABs) haben es häufig auf diese Zugangsdaten abgesehen, um sie in Dark-Web-Foren weiterzuverkaufen.
Um festzustellen, ob ein infiziertes Gerät in großem Umfang Zugriff auf das Unternehmensnetzwerk hatte, hat Flare bestimmte Indikatoren ermittelt, von denen das Unternehmen annimmt, dass sie wahrscheinlich mit dem Zugriff auf das Unternehmensnetzwerk zusammenhängen.
- IT-Infrastruktur des Unternehmens: Flare begann damit, die Protokolle nach Anmeldungen zu durchsuchen, die Zugriff auf die AWS Management Console und die Google Cloud Console hatten. Dies führte zu 181 785 ProtokollEinträgen, von denen 179 411 Anmeldedaten für die AWS-Konsole waren. Etwa 75 % dieser Zugangsdaten tauchten sowohl in öffentlichen als auch in privaten Telegram-Chaträumen auf, 24 % auf dem „Russian Market“ und weniger als 1 % auf dem „Genesis Market“.
- Geschäftskontakte und Finanzanwendungen: Eine weitere von Flare verwendete Klassifizierung betraf geschäftliche Finanzanwendungen wie Intuit QuickBooks und DocuSign. Es wurden 80 099 Protokolle identifiziert, die auf den Zugriff auf eine dieser Anwendungen hinwiesen; davon betrafen 64 000 die Anmeldedaten für DocuSign.
- CRM- und Kundendatenanwendungen: Flare untersuchte zwei der größeren CRM-Anbieter, darunter Salesforce und HubSpot, und fand insgesamt 66 000 Protokolle, die Zugriffe auf CRM-Systeme enthielten – davon betrafen etwa 23 000 Zugriffe auf Salesforce-Konten.
- OpenAI und ChatGPT: Flare suchte zudem nach Stealer-Protokollen, die „openai[.]com“ enthielten, und fand über 200 000 Protokolle.
Tier- 2 -Protokolle: Bank- und Finanzdienstleistungen
Diese Protokolle enthalten Zugangsdaten großer Banken, die wiederum von Angreifern genutzt werden, um Geld von Kundenkonten zu stehlen. Diese werden auf dem Genesis Market für durchschnittlich 112 Dollar verkauft, verglichen mit einem Durchschnittspreis von 15 Dollar für alle Protokolle.
Laut Flare handelt es sich hierbei um die zweitwertvollste Art von Stealer-Logs. Flare hat 213 Finanzdienstleistungsunternehmen analysiert, um festzustellen, bei wie viel Prozent der Unternehmen die Domains in einem Stealer-Protokoll aufgeführt waren und wie sich die Preise für diese Protokolle unterscheiden. Sie stellten fest, dass ein durchschnittliches infiziertes Gerät, das auf Genesis Market zum Verkauf stand und über Zugangsdaten für Finanzdienstleistungen verfügte, für etwa 112 US-Dollar angeboten wurde, während Geräte ohne solche Zugangsdaten lediglich 14 US-Dollar kosteten. Bei den 50 größten US-Banken wurden etwa 200 000 Fälle von Datendiebstahl im Zusammenhang mit Anmeldungen im Privatkundengeschäft festgestellt.
Tier- 3 -Protokolle: Verbraucheranwendungen
Angreifer nutzen diese Protokolle, um Zugriff auf VPN-Anwendungen für Privatanwender, Streaming-Dienste und andere Anwendungen zu erlangen. Dies sind die Holzscheite mit dem niedrigsten Wert, die in der Regel für 10 bis 15 Dollar pro Stück verkauft werden.
Flare hat die 50 am häufigsten vorkommenden Domains in seiner Stichprobe von Stealer-Protokollen analysiert. Google, Gmail, Facebook und Microsoft stehen ganz oben auf der Liste und weisen häufig zugehörige Stealer-Protokolle auf. Auch Amazon, Netflix, Instagram, PayPal und einige weitere Unternehmen rangierten ganz oben auf der Liste.
Wo werden die Stealer-Protokolle verbreitet?
Die Stealer-Protokolle sind auf vier Kategorien verteilt, darunter öffentliche Telegram-Protokollkanäle, private Telegram-Kanäle, der „Russian Market“ und der „Genesis Market“.
- Die öffentlichen Telegram-Kanäle „logs“ sind öffentlich zugängliche Telegram-Kanäle, die monatlich Terabyte an Stealer-Protokollen bereitstellen. Dazu gehören in erster Linie Protokolle der Stufe 3 .
- Private Telegram-Kanäle werden von Cyberkriminellen betrieben, um große Mengen an Protokollen zu verbreiten; dabei wird ein monatliches Abonnementmodell genutzt, um den Zugriff zu monetarisieren. Hierbei handelt es sich in der Regel um besonders wertvolle Chats; der Kanal ist nur auf Einladung zugänglich und in der Regel auf 25 bis 30 Nutzer begrenzt.
- „Russian Market“ ist ein Marktplatz im Dark Web, der sich auf den Verkauf von Zugriffsrechten auf Geräte und Informationen spezialisiert hat. Im Forum werden alle Holzscheite einheitlich mit 10 Dollar pro Scheit bewertet.
- Der Genesis Market war als „Clear Web“-Marktplatz tätig, bevor er kürzlich von den Strafverfolgungsbehörden geschlossen wurde. In jüngerer Zeit wurde der Betrieb vollständig über Tor abgewickelt. Dieses Forum stellte strukturiertere und aufbereitete Protokolldaten zur Verfügung und verfügte über eine Schnittstelle, über die Angreifer den Browser-Fingerabdruck eines Opfers klonen konnten. Die Preise für Holzscheite in diesem Forum variierten je nach Holzscheit.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„In den letzten Jahren standen zahlreiche Infostealer-Kampagnen im Rampenlicht; daher ist es nicht verwunderlich, dass die Untersuchungen von Flare eine so hohe Anzahl von Stealer-Protokollen auf verschiedenen Plattformen zutage gefördert haben, die von Angreifern häufig genutzt werden.“
Der Bericht von Flare geht nicht im Detail darauf ein, welche Protokolle von welcher Infostealer-Variante stammten, was wahrscheinlich darauf zurückzuführen ist, dass es heutzutage so viele Infostealer gibt und regelmäßig neue Varianten auftauchen. Selbst ohne diese Informationen ist es aufschlussreich zu sehen, wie viel Geld ein Angreifer mit einem einzigen Zugangsdatensatz verdient. „Dies verdeutlicht, wie lukrativ diese Machenschaften für Cyberkriminelle sind.“
3. Google Ads verbreitet neue „Nitrogen“-Malware für Ransomware-Angriffe
Sophos hat einen Bericht über eine neue „ “-Malware-Kampagne namens „Nitrogen“ veröffentlicht ( ), die sich Malvertising zunutze macht und sich als legitime Software ausgibt, um Opfer mit Cobalt-Strike- und Ransomware-Payloads zu infizieren. Die Kampagne ist in erster Linie opportunistisch ausgerichtet und richtet sich an Nutzer, die bei Google oder Bing nach bestimmten IT-Tools suchen.
Über die Malware-Familie „Nitrogen“
Sophos hat im Rahmen seiner Untersuchungen eine neue Malware-Familie namens „Nitrogen“ entdeckt, die für den ersten Zugriff genutzt wird. Der Name „Nitrogen“ leitet sich aus Bestandteilen der Debug-Informationen ab, die in vielen der Proben gefunden wurden, was darauf hindeutet, dass die Entwickler dieses Projekt als „Nitrogen“ oder „Nitronet“ bezeichnen.
Die Hauptkomponenten tragen die folgenden Klassennamen: NitrogenStager, MsfPythonStager, NitronetNativeStager und NitroInstaller.
Die Infektionskette beginnt mit „Malvertising“ über Anzeigen bei Google oder Bing. Es versucht, Opfer auf kompromittierte WordPress-Websites oder auf Phishing-Seiten unter zu locken. Die Websites geben sich häufig als Software-Vertriebsseiten aus, um Nutzer dazu zu verleiten, mit Trojanern infizierte ISO-Installationsdateien herunterzuladen. Diese Installationsprogramme laden anschließend die schädliche NitrogenInstaller-DLL per Sideloading, die eine legitime Softwareanwendung enthält, die mit einer schädlichen Python-Ausführungsumgebung gebündelt ist. Im Rahmen der Kampagne werden eine Meterpreter-Shell und Cobalt-Strike-Beacons auf dem Zielsystem platziert.
Die Kampagne nutzt Pay-per-Click-Anzeigen von Google und Bing, um sich als Websites auszugeben. Es scheint sich an IT-Anwender zu richten, da zu den nachgeahmten Websites die Installationsprogramme von AnyDesk, WinSCP und Cisco AnyConnect VPN gehören. In einem Fall wird zudem ein mit einem Trojaner versehener Installer für TreeSize Free genutzt.
- WinSCP-Beispiel: Wenn ein Nutzer bei Google nach „WinSCP“ suchte, erschien eine Google-Anzeige mit dem Verweis „Sichere Dateiübertragung – für Windows“ auf einer Phishing-Seite, die sich als Anleitung für Systemadministratoren ausgab. Wenn der Nutzer auf die Werbeanzeige auf dieser Seite klickt, wird er auf eine gefälschte Download-Seite für WinSCP weitergeleitet, und eine schädliche ISO-Datei wird auf dem System abgelegt.
- Beispiel für Cisco AnyConnect: Neben Phishing-Seiten hostete der Angreifer auch Malware auf kompromittierten WordPress-Websites. In einem Fall nutzten sie eine kompromittierte Website, um die legitime Cisco-Download-Seite für Cisco AnyConnect nachzuahmen. Der Download-Link auf dieser Website würde dann auf eine Phishing-Seite weiterleiten, über die das schädliche „Nitrogen“-Paket verbreitet wird.
DLL-Sideloading
Wenn die Opfer die mit einem Trojaner infizierten Installationsprogramme herunterladen, werden diese als ISO-Images auf dem infizierten Rechner abgelegt. Diese Dateien werden anschließend im Windows Explorer eingebunden und können einem Laufwerk zugeordnet werden, auf dem der Inhalt dann verfügbar ist. Eine der Dateien im ISO-Image ist das Windows-Tool „msiexec.exe“, das in „install.exe“ oder „setup.exe“ umbenannt wurde.
Wenn dieser Code ausgeführt wird, wird die schädliche Datei „msi.dll“ (auch bekannt als „NitrogenInstaller“), die im selben Image gespeichert ist, per Sideloading installiert. Im Rahmen dieser Kampagne nutzt der Angreifer DLL-Proxying, indem er exportierte Funktionen an die legitime msi.dll weiterleitet.
NitrogenInstaller
Die seitlich geladene Datei „msi.dll“, bekannt als „NitrogenInstaller“, installiert ein sauberes Installationsprogramm für die legitime Schein-Anwendung sowie zwei Python-Pakete – von denen eines legitim und das andere bösartig ist. Das legitime Python-Paket wird benötigt, um später in der Infektionskette Python-Code auszuführen. Zudem wird es versuchen, seine Berechtigungen zu erweitern, indem es eine UAC-Umgehung durchführt, wie sie bei verschiedenen Malware- und Ransomware-Familien üblich ist. Die NitrogenInstaller-DLL erstellt daraufhin einen Registrierungsschlüssel für die Ausführung, um die Persistenz sicherzustellen.
Um die NitrogenStager-DLL in das schädliche Python-Paket zu laden, nutzten die Angreifer das Vorladen von DLLs. Hierbei wird die Windows-eigene DLL-Suchreihenfolge genutzt, wenn eine Anwendung versucht, eine Bibliothek zu laden, ohne einen vollständigen Pfad anzugeben. NitrogenStager kann keine Python-Skripte ausführen, da seine Hauptfunktion durch bösartigen Connect-Back-Code ersetzt wurde.
C2 Inszenierung
Der bösartige Connect-Back-Code in der Funktion „Py_Main“ wird bei der Ausführung automatisch ausgeführt. Es wurde festgestellt, dass NitrogenStager über vier verschiedene Protokolle – TCP, TCP über SSL, HTTP und HTTPS – Verbindungen zu C2 Servern herstellt. Das Paket enthält für jedes Protokoll ein eigenes Skript, das jeweils eine Verbindung zum C2 -Server herstellen, Antworten entschlüsseln und diese ausführen kann.
Meterpreter-Shell
Das von der NitrogenStager-DLL heruntergeladene Next-Stage-Skript ist eine angepasste Version eines Meterpreter-Skripts. Nach der Ausführung richtet das Python-Skript eine Meterpreter-Reverse-TCP-Shell ein, die es den Angreifern ermöglicht, Code auf dem System aus der Ferne auszuführen.
Manuelle Sitzungen
In einem Fall führten die Angreifer über die offene Sitzung mehrere Befehle aus und wechselten dabei zu manuellen Tastatureingaben.
Mithilfe der manuellen Befehle wurde eine ZIP-Datei von einem C2 -Server abgerufen. Zudem wurde eine zusätzliche Python-Umgebung heruntergeladen und ausgeführt, um eine Reihe von Python-Skripten aufzurufen, die zur Ausführung von Cobalt-Strike-Beacons im Arbeitsspeicher führen. Zudem wurden manuelle Befehle ausgeführt, um eine Erkundung durchzuführen und die Domäne zu erfassen. Die mutmaßlichen manuellen Sitzungen beziehen sich auf Python-Skripte, die die Angreifer von einem Cobalt Strike C2 -Server heruntergeladen haben.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Malvertsing erfreut sich derzeit bei Angreifern zunehmender Beliebtheit, sodass sie darin offenbar ein lukratives Geschäft sehen.“ Diese „Nitrogen“-Malware-Kampagne ist zwar nach wie vor eher opportunistisch ausgerichtet, zielt jedoch auf Nutzer ab, die nach bestimmten IT-Dienstprogrammen suchen, die in Unternehmen häufig zum Einsatz kommen.
Da diese bösartigen Werbeanzeigen häufig als gesponserte Ergebnisse in Suchmaschinen erscheinen, empfiehlt CTI, das Anklicken gesponserter Ergebnisse zu vermeiden – insbesondere bei der Suche nach Downloads.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne teilen möchten? Besuchen Sie , , das Tanium-Diskussionsforumsowie , um eine Unterhaltung zu beginnen.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
