In dieser Woche befasst sich CTI mit E-Mail-Kampagnen, bei denen ein „Phishing-as-a-Service“ (PhaaS)-Toolkit namens „Rockstar 2FA“ zum Einsatz kommt. Als Nächstes untersucht CTI die beiden neuen Malware-Familien „ RevC2 “ und „Venom Loader“, die im Rahmen von Kampagnen zwischen August undOktober 2024 eingesetzt wurden. Abschließend befasst sich CTI mit einem kürzlich erfolgten Angriff, an dem die berüchtigte SmokeLoader-Malware beteiligt war.
„Rockstar 2FA “ richtet sich an Nutzer von „Microsoft 365 “
Trustwave warnt vor E-Mail-Kampagnen, die „ “ („Rockstar 2FA“) nutzen, bei dem es sich um eine aktualisierte Version des Phishing-Dienstes „DadSec/Phoenix“ handelt.
Die Kampagne nutzt eine „ “-Technik namens „Adversary-in-the-Middle“ (AiTM) , um Anmeldedaten und Cookies zu stehlen, wodurch auch MFA-geschützte Systeme anfällig für Angriffe werden.
Kampagnenübersicht
Forscher von Trustwave haben eine groß angelegte Phishing-Kampagne verfolgt, die im August 2024 i ihren Höhepunkt erreichte und bis heute aktiv ist. Die Kampagne nutzt einen AiTM-Angriff, der es dem Angreifer ermöglicht, Anmeldedaten und Cookies abzufangen. Diese Kampagne zielt auf Microsoft-Benutzerkonten ab und nutzt Seiten, die die Anmeldeseite von Microsoft 365 imitieren. Trustwave stellt fest, dass diese Kampagne Webseiten mit Automobilbezug umfasst, was dazu geführt hat, dass das Unternehmen mehr als 5 000 Domains mit Automobilbezug identifiziert hat, die mit der Kampagne in Verbindung stehen.
Rockstar 2FA PhaaS
Die Kampagne steht im Zusammenhang mit dem Phishing-Kit „Rockstar 2FA “. Die Marketing- und Kommunikationsaktivitäten von Rockstar 2FA wurden auf ICQ, Telegram und Mail[.]ru beobachtet. Das Phishing-Kit bietet unter anderem Funktionen zur Umgehung der Multi-Faktor-Authentifizierung, zum Sammeln von Cookies, zum Schutz vor Bots, Login-Themes, zufällig generierten Quellcode und Anhänge sowie vollständig unauffindbare (FUD) Links und vieles mehr.
E-Mail-Kampagnen
Die E-Mails im Rahmen dieser Kampagnen werden auf verschiedene Weise versendet, unter anderem über gehackte Konten, Spam-Tools und den Missbrauch legitimer Plattformen. Der Angreifer nutzt in den E-Mails eine Vielzahl von Themen und Lockangeboten, darunter Benachrichtigungen über die Freigabe von Dokumenten und Dateien, Mitteilungen im Zusammenhang mit Personalwesen und Gehaltsabrechnung, Benachrichtigungen der IT-Abteilung, Warnmeldungen bezüglich Passwörtern und vieles mehr.
Trustwave stellte fest, dass der Angreifer verschiedene Techniken einsetzte, um Antispam-Erkennungsmechanismen zu umgehen, darunter unter anderem Verschleierung, FUD-Links und QR-Codes. Die Links in den E-Mails führen je nach Antwort des AiTM-Servers entweder zu einer Phishing-Zielseite oder zu einer Website zum Thema Autos. Besucher der Seite erhalten eine Cloudflare-Turnstile-Abfrage, die Angreifer häufig nutzen, um automatisierte Analysen zu umgehen.
AiTM-Phishing-Seite
Die Phishing-Seite wird nach Durchlaufen der Cloudflare-Turnstile-Prüfung aufgerufen. Trustwave geht davon aus, dass es entsprechende Prüfmechanismen gibt, um festzustellen, ob dem Nutzer die Phishing-Seite oder die als „Auto“-Thema getarnte Täuschungsseite angezeigt werden soll.
Die Phishing-Seite erfasst die vom Benutzer eingegebenen Daten und übermittelt sie an den AiTM-Server. Mit diesen Anmeldedaten lässt sich dann das Sitzungs-Cookie abrufen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Trustwave fasst die Schwere dieser Bedrohung treffend zusammen und erklärt: „Alltägliche Phishing-Angriffe, wie beispielsweise Kampagnen im Zusammenhang mit der PaaS-Plattform ‚Rockstar 2FA ‘, sind aufgrund ihrer geringen Kosten und der einfachen Umsetzung nach wie vor weit verbreitet.“
Der Urheber dieser Kampagnen nutzt neben der AiTM-Technik auch „Rockstar 2FA “, was seine Erfolgschancen erhöht und den Weg für künftige Angriffe unter Verwendung gestohlener Zugangsdaten ebnet. In Zukunft wird das Rockstar 2FA -Toolkit weitere Aktualisierungen erhalten und noch umfassender genutzt werden.
Cyberangreifer setzen die Malware „ RevC2and Venom Loader“ ein
Zscaler hat zwei neue Malware-Familien identifiziert: „ “ RevC2 und „Venom Loader“, die im Rahmen von Kampagnen zwischen August und Oktober 2024 eingesetzt wurden.
Beide Malware-Familien wurden über „Malware-as-a-Service“ (MaaS)-Tools von einem Akteur namens „Venom Spider“ eingesetzt. Die „Venom Loader“-Familie wird für jedes Opfer individuell angepasst.
Kampagne 1: Ergebnisse der API-Dokumentations-Werbung: RevC2
Die erste Kampagne fand zwischen August und September statt und nutzte eine API-Dokumentation als Köder, um ihre Schadsoftware zu verbreiten (RevC2). Die Verbreitungsweise ist nach wie vor unbekannt, doch die erste Phase des Angriffs beginnt mit einer Datei namens „VenomLNK“. Diese Datei enthält ein Batch-Skript, das eine Bilddatei herunterlädt, bei der es sich um den „Lure“ der API-Dokumentation handelt.
VenomLNK führt einen Befehl aus, um die Ausführung von RevC2 auszulösen. RevC2 führt Schadsoftware nur dann aus, wenn verschiedene Prüfungen bestanden werden, die zeigen, dass die Ausführung nicht in einer Sandbox-Umgebung stattfindet. RevC2 nutzt zudem WebSockets für die Kommunikation mit C2 . Die Malware ist zu vielen Dingen fähig, darunter das Stehlen von Passwörtern, das Ausführen von Shell-Befehlen, das Erstellen von Screenshots, das Umleiten von Datenverkehr über einen Proxy, das Stehlen von Cookies und das Ausführen von Befehlen als anderer Benutzer.
Kampagne 2: Kryptowährungs-Köder führt zum „Venom Loader“
Die zweite Kampagne fand von September bis Oktober statt und nutzte eine Kryptowährungstransaktion als Köder, um den „Venom Loader“ zu verbreiten. Venom Loader lädt seinerseits eine JavaScript-Backdoor namens „More_eggs lite“ nach. Dadurch erhält der Angreifer die Möglichkeit, Code aus der Ferne auszuführen.
Wie bereits bei der ersten Kampagne ist die Art der Verteilung unbekannt. Forscher haben jedoch bestätigt, dass die erste Phase des Angriffs mit der Datei „VenomLNK“ beginnt, die ein verschleiertes Batch-Skript enthält und das Bild als Kryptowährungs-Köder herunterlädt und anzeigt. Die Malware lädt eine ZIP-Datei herunter, entpackt diese und führt per Sideloading eine schädliche DLL aus, die den Venom Loader startet.
Die DLL wird für jedes der Opfer individuell erstellt, wobei der Computername des Opfers zur Verschlüsselung der Nutzlast verwendet wird. Anschließend wird „Venom Loader“ verwendet, um die Backdoor „More_eggs lite“ zu laden, die in einer Schleife HTTP-POST-Anfragen an die C2 sendet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Malware-Familie „Venom Loader“ ist besonders interessant, da sie auf jedes Opfer individuell zugeschnitten ist, was nicht sehr häufig vorkommt.
Es ist möglich, dass wir weitere Angreifer beobachten werden, die diese beiden Malware-Familien einsetzen, wenn man bedenkt, dass sie über Venom Spider MaaS-Tools verbreitet wurden, die bei berüchtigten Hackergruppen sehr beliebt sind. Wie Zscaler hervorhebt, ist es zudem wahrscheinlich, dass sich diese Malware-Familien weiterentwickeln und um zusätzliche Funktionen erweitert werden.
Die „SmokeLoader“-Malware taucht nach einem Rückgang erneut auf
Forscher haben kürzlich einen Angriff beobachtet, bei dem die berüchtigte „ “-SmokeLoader-Malware zum Einsatz kam.
Die Aktivität von SmokeLoader war deutlich zurückgegangen, nachdem Europol im Mai 2024 die Infrastruktur mehrerer bedeutender Malware-Familien zerschlagen hatte, weshalb das Wiederaufleben dieser Malware besonders bemerkenswert ist.
Überblick und Ablauf des Angriffs
Im September beobachtete Fortinet die „SmokeLoader“-Kampagne, die sich gegen Unternehmen in Taiwan richtete. Unternehmen aus verschiedenen Branchen wurden angegriffen, darunter das Gesundheitswesen, das verarbeitende Gewerbe, die IT-Branche und weitere Sektoren.
Die Malware „SmokeLoader“ ist für ihre Vielseitigkeit und ihre Tarntechniken bekannt. Die Malware dient als Downloader, um weitere Schadsoftware zu verbreiten, und lädt in diesem Fall Plugins von ihrem C2 -Server herunter.
SmokeLoader und Phishing
Der Angriff beginnt mit einer Phishing-E-Mail, die einen Anhang enthält. Die angehängte Datei gibt vor, ein Angebot zu sein, das besondere Anweisungen enthält. Fortinet geht davon aus, dass es sich bei diesen E-Mails möglicherweise um Kopien aus einer anderen Quelle handelt, da der Name des Empfängers beim Versand an andere Organisationen nicht geändert wird. Zudem weichen Schriftart, Farbe und Telefonnummer der E-Mail-Signatur von denen im Haupttext der E-Mail ab.
Ausnutzung von Sicherheitslücken
Die Angriffskette nutzt zunächst verschiedene Sicherheitslücken aus, führt jedoch letztendlich zu AndeLoader. Die erste Sicherheitslücke, bei deren Nutzung dies beobachtet wurde, ist die Nummer CVE-2017-0199 ; dabei handelt es sich um eine Sicherheitslücke in Microsoft Office, die ein OLE2-embedded -Link-Objekt ausnutzt. Die andere Sicherheitslücke, CVE-2017-11882, ist eine Sicherheitslücke in Microsoft Office, die die Ausführung von Code aus der Ferne ermöglicht.
AndeLoader
Der Angreifer greift letztendlich auf AndeLoader zurück, unabhängig davon, welche Sicherheitslücke er ausnutzt. Diese Malware beginnt mit einer VBS-Datei, die voller überflüssigem Code ist, um den eigentlichen Schadcode zu verbergen. Dieser Code lädt eine steganografische JPG-Datei herunter, die Daten des Injektors enthält. Der Injektor ist einfach aufgebaut und nicht verschleiert. Es wird die Persistenz einrichten und die Injektion für SmokeLoader durchführen.
Die Plugins von SmokeLoader
Der C2 -Server des Schauspielers stellt neun Plugins bereit, darunter drei einzelne Plugins sowie drei Plugins, die jeweils 32-Bit- und 64-Bit-Versionen enthalten. Die Plugins ermöglichen es dem Angreifer, Anmeldedaten, FTP-Zugangsdaten, E-Mail-Adressen, Cookies und weitere Daten aus verschiedenen Webbrowsern, Outlook, Thunderbird, FileZilla und WinSCP zu stehlen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
SmokeLoader war schon immer fortschrittlich und anpassungsfähig. Die Beobachtungen von Fortinet belegen einmal mehr die Raffinesse dieser Malware, zumal ein Teil ihrer Infrastruktur (über 1.000 Domains der Klasse C2 ) bereits zuvor von den Strafverfolgungsbehörden stillgelegt worden war.
Allerdings stützt sich diese Kampagne auf Sicherheitslücken, die bereits einige Jahre alt sind, was ihren Gesamterfolg fraglich erscheinen lässt. Es wird interessant sein zu beobachten, ob SmokeLoader im Laufe der Zeit zunehmend neuere Exploits nutzen wird.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Diskussionsforum von Tanium, und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
