In der Zusammenfassung dieser Woche untersucht das Tanium-CTI-Team, wie Angreifer zunehmend legitime Tools für böswillige Zwecke missbrauchen. Anschließend untersuchen wir den jüngsten Anstieg von ClickFix-Kampagnen, bei denen die Malware „GHOSTPULSE“ zum Einsatz kommt, und werfen anschließend einen Blick auf einen raffinierten Angriff, der der BlueNoroff-Gruppe zugeschrieben wird.
Cyberangreifer nutzen legitime Tools aus
Ein aktueller Beitrag von Cisco Talos unter beleuchtet, wie Cyberangreifer zunehmend legitime Tools für böswillige Zwecke missbrauchen. Dieser zunehmende Trend unterstreicht die Notwendigkeit für Unternehmen, die Nutzungsmuster von Tools zu überwachen und verhaltensbasierte Erkennungsstrategien einzuführen.
Cisco Talos beginnt mit der Erläuterung eines Beispiels, in dem eine Person durch ihre SIEM-Lösung (Security Information and Event Management) auf einen Erkennungsfall hingewiesen wurde. Diese Erkennung wurde so konfiguriert, dass sie ausgelöst wird, wenn bestimmte Systemtools in schneller Folge ausgeführt werden. Es wurde über Nacht aktiviert, was weiteren Verdacht weckte. Dem Team gelang es, die Systeme voneinander zu trennen und die Aktivitäten zu verfolgen.
Was sind LOLBins?
Laut Cisco Talos nutzen Angreifer häufig sogenannte „Living-off-the-Land“-Binärdateien (LOLBins) – dabei handelt es sich um vorinstallierte Tools, die ausgenutzt werden können, um böswillige Aktionen auszuführen, ohne dass zusätzliche Software heruntergeladen oder installiert werden muss. Da diese Tools bereits in Betriebssystemen installiert sind und üblicherweise für legitime Zwecke genutzt werden, ist es schwierig, einen böswilligen Missbrauch aufzudecken.
Auch außerhalb von LOLBins missbrauchen Akteure kommerzielle und Open-Source-Tools. Ein Beispiel hierfür ist DonPAPI, ein Open-Source-Tool, das zur Automatisierung des Remote-Dumpings von Anmeldedaten verwendet wird. Dies wurde bei mehreren Einsätzen beobachtet.
Arten von Werkzeugen, die häufig missbräuchlich verwendet werden
Der Cisco Talos-Bericht gibt einen Überblick über die derzeit am häufigsten missbrauchten Tools, darunter:
- PsExec ist Teil der Sysinternals-Toolsuite von Microsoft und ermöglicht es Benutzern, Befehle sowohl auf lokalen als auch auf Remote-Systemen auszuführen. Ransomware-Gruppen nutzen häufig PsExec, um Schadcode auf mehreren Systemen innerhalb einer Domäne auszuführen.
- Impacket ist eine Open-Source-Python-Bibliothek für Netzwerkprüfungen. Angreifer nutzen Impacket häufig, um in Systeme einzudringen und sich dort lateral zu bewegen.
- Mimikatz ist ein Dienstprogramm zum Auslesen von Anmeldedaten, mit dem Passwörter im Klartext extrahiert werden können. Es wird häufig von Penetrationstestern und Red Teams verwendet. Cyberkriminelle nutzen Mimikatz jedoch häufig, um Anmeldedaten für Konten und andere Zugangsdaten zu entwenden, um so eine laterale Bewegung innerhalb des Netzwerks ( ) zu ermöglichen.
Wenn Tools zur Fernzugriffsverwaltung zu Angriffsvektoren werden
Cisco Talos stellte zudem fest, dass der Missbrauch von Tools zur Fernüberwachung und -verwaltung (RMM) zugenommen hat.
Diese Tools werden in der Regel von IT-Teams oder MSPs eingesetzt, um den Fernzugriff auf Systeme zu Supportzwecken zu ermöglichen; es liegt jedoch auf der Hand, warum Angreifer an einem einfachen Fernzugriff interessiert sein könnten. Angreifer nutzen diese Tools mittlerweile, um ihre Präsenz aufrechtzuerhalten und einer Entdeckung zu entgehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es wird immer schwieriger, zwischen legitimen Verwaltungsvorgängen und böswilligem Verhalten zu unterscheiden. Diese Verwischung der Grenzen führt dazu, dass die herkömmliche, auf Signaturen basierende Erkennung an Wirksamkeit verliert, während die verhaltensbasierte Erkennung und die Erkennung von Anomalien an Bedeutung gewinnen.
Um sich gegen diese Bedrohung zu schützen, ist es von entscheidender Bedeutung, stets über die neuesten Missbrauchsfälle im Zusammenhang mit Open-Source- und kommerziellen Tools auf dem Laufenden zu bleiben.
Die ClickFix-Kampagnen gewinnen weiter an Fahrt
Elastic Security Labs berichtet unter von einer Zunahme von ClickFix-Kampagnen, insbesondere solcher, die den Malware-Loader „GHOSTPULSE“ nutzen, um Fernzugriffstrojaner (RATs) und Infostealer zu verbreiten. Obwohl ClickFix bereits seit Anfang 2024 aktiv ist, haben sich seine Aktivitäten in letzter Zeit verstärkt.
Elastic stellte eine Kampagne vor, die die gesamte Angriffskette veranschaulichte – dabei wurden die beteiligten Komponenten, die eingesetzten Techniken und die letztendlich eingeschleuste Malware hervorgehoben.
Was sind ClickFix-Angriffe?
Angriffe nach dem „ClickFix“-Prinzip basieren auf Social-Engineering-Techniken vom Typ „ “, bei denen Nutzer dazu verleitet werden, unsichere Handlungen durchzuführen, indem legitime Prozesse nachgeahmt werden, um Vertrauen aufzubauen und die Abwehrmechanismen zu schwächen.
Beispielsweise kann sich diese Art von Angriff in Form einer gefälschten CAPTCHA-Aufforderung äußern, bei der der Nutzer aufgefordert wird, Code einzufügen und auf seinem Gerät auszuführen.
Wie funktionieren ClickFix-Angriffe?
Wie Elastic hervorhebt, ist ClickFix häufig der Einstiegspunkt in eine mehrstufige Angriffskette. In einer der analysierten Kampagnen verlief der Angriffsablauf wie folgt:
Schritt 1: Phishing mit ClickFix
- Der Angriff „ “ beginnt mit einer Phishing-Seite unter, die eine Cloudflare-Captcha-Abfrage imitiert.
- Die Opfer werden dazu verleitet, PowerShell-Code einzufügen und auszuführen
- Dieser Code lädt eine ZIP-Datei herunter, die Komponenten für den GHOSTPULSE-Loader enthält
Schritt 2: Aktivierung des GHOSTPULSE-Loaders
- Entschlüsselt eine Datei, die zusammen mit der Malware für Stufe 1 gesendet wurde
- Ruft den Code von „Stage 2 “ ab, der auf bestimmte laufende Prozesse prüft
Schritt 3: ARECHCLIENT2 – Bereitstellung
- Zielt auf im Browser gespeicherte Passwörter, Cookies und Automatisierungsdaten ab
- Führt Systemprofilierungen und Erkundungen durch
- Führt Befehle aus
Elastic stellte fest, dass die ursprüngliche Captcha-Seite unter zwei Domains gehostet wurde, die beide mit einer Agentur für digitale Werbung in Verbindung standen. Sie gehen davon aus, dass der Angreifer den Server, auf dem die Domains gehostet werden, kompromittiert haben muss, um seine Aktivitäten zu ermöglichen.
Verwandte CTI-Berichte zu ClickFix
Weitere Informationen darüber, wie sich ClickFix im Rahmen der jüngsten Kampagnen weiterentwickelt hat, finden Sie in diesen früheren CTI-Zusammenfassungen:
- Veröffentlicht unter 30. April 2025: Untersucht, wie staatliche Akteure aus Nordkorea, dem Iran und Russland in jüngster Zeit die „ClickFix“-Technik eingesetzt haben, um Malware mittels Social Engineering zu verbreiten
- Veröffentlicht unter 12. März 2025: Beschreibt eine Phishing-Kampagne im „ClickFix“-Stil, bei der SharePoint und die Microsoft Graph-API genutzt werden, um heimlich einen modifizierten „Havoc Demon“-Agenten zu installieren
- Veröffentlicht unter 26. Juni 2024: Enthält Einblicke in den Einsatz von ClickFix in groß angelegten Phishing-Kampagnen zur Verbreitung von Malware wie Vidar Stealer, wobei TA571 über 100 000 E-Mails mit gefälschten Dokumenten als Köder versendet wurden
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser sprunghafte Anstieg der ClickFix-Angriffe verdeutlicht, wie sich die Taktiken im Bereich Social Engineering und der Verbreitung von Malware weiterentwickeln. Diese Technik stützt sich auf das Vertrauen und die Neugier des Opfers, was nicht nur ihre Aufdeckung erschwert, sondern auch die Wahrscheinlichkeit erhöht, dass Opfer damit getäuscht werden, im Vergleich zu Methoden, über die sie bereits aufgeklärt und geschult wurden.
Es ist erwähnenswert, dass ClickFix nicht nur von Cyberkriminellen auf niedriger Ebene genutzt wird, sondern auch von raffinierteren, staatlich geförderten Gruppen. Sicherheitsteams werden dazu angehalten, den Schwerpunkt auf die Schulung der Benutzer zu legen und mithilfe von Verhaltenserkennung verdächtige Aktivitäten zu identifizieren.
BlueNoroff zielt auf macOS-Geräte ab
Forscher von Huntress haben kürzlich eine ausgeklügelte Angriffskampagne analysiert, die sich gegen macOS-Nutzer im Web3 -Gebiet richtete. Huntress führt die Kampagne auf die BlueNoroff-Gruppe zurück.
Bei dem Angriff wurden Social-Engineering-Techniken und eine mit einem Trojaner infizierte Anwendung genutzt, um Malware zu verbreiten, die zum Diebstahl von Zugangsdaten, zur Überwachung und zur Aufrechterhaltung der Präsenz im System fähig ist. Es begann damit, dass ein Angreifer einen Mitarbeiter dazu verleitet hatte, an einem gefälschten Zoom-Meeting teilzunehmen, an dem Deepfakes der Führungskräfte des Unternehmens zu sehen waren.
[Lesen Sie auch: Stellen Sie IT-Mitarbeiter im Homeoffice ein? Hüten Sie sich vor Deepfake-Betrug]
Missbrauch von Vertrauen: Zugang verschaffen durch eine gefälschte Einladung zu einem Treffen
Der erste Kontakt erfolgte über Telegram, wo der Angreifer – der sich als externer Ansprechpartner ausgab – den Mitarbeiter zu einem Live-Gespräch einlud. Die Nachricht enthielt einen Calendly-Link, der scheinbar zur Planung einer Google-Meet-Sitzung diente, jedoch stattdessen auf eine gefälschte Zoom-Domain weiterleitete.
Einige Wochen später, als der Mitarbeiter an der Besprechung teilnahm, wurde ihm neben dem externen Ansprechpartner auch eine Reihe von Deepfakes von Führungskräften seines eigenen Unternehmens präsentiert. Die Deepfakes wiesen den Mitarbeiter an, eine Zoom-Erweiterung herunterzuladen, da sein Mikrofon nicht funktionierte. Bei der heruntergeladenen Datei handelte es sich um ein AppleScript, das die legitime Zoom-SDK-Webseite öffnete und gleichzeitig unbemerkt eine Schadlast von einer bösartigen Website herunterlud.
Laut Huntress deaktiviert dieses Skript die Protokollierung des Bash-Verlaufs, stellt sicher, dass Rosetta 2 installiert ist, und versucht, das Passwort des Benutzers abzurufen und zu überprüfen. Am Ende wird der Shell-Verlauf gelöscht, um die Analyse zu erschweren.
Malware im Überblick: Werkzeuge, Taktiken und Implantate
Huntress hat mehrere schädliche Binärdateien auf dem Rechner des Opfers identifiziert. Weitere Einzelheiten zu jeder dieser Binärdateien finden Sie unter im Huntress-Bericht.
- Persistentes Implantat
Eine in Nim geschriebene Binärdatei namens „Telegram 2“ dient als Persistenzmechanismus und aktiviert die Hintertür. Es ist ressourcenschonend und verfügt über eingeschränkte Funktionen: Es kann „echo“-Befehle ausführen, Befehle über „“ und „/bin/bash“ ausführen, „“ ausführen, eine interaktive Shell starten und eine dauerhafte Präsenz im System herstellen. - Backdoor „“
Die in Go geschriebene Backdoor „Root Troy V4 “ (RTV) führt eine AppleScript-Nutzlast aus, um ein zusätzliches Implantat herunterzuladen. Huntress stellte fest, dass dieser Befehl zwischen der Einbindung des Geräts und der Isolierung des Hosts sechsmal ausgeführt wurde. RTV unterstützt die Ausführung von Code aus der Ferne, auch während des Ruhezustands des Systems. - Loader mit zwei zusätzlichen Payloads Eine Binärdatei mit dem Namen „a“ wird über die AppleScript-Payload heruntergeladen. Das Programm akzeptiert eine weitere Binärdatei und ein Passwort als Argumente, entschlüsselt zwei eingebettete Nutzdaten und kann alle Dateien im aktuellen Verzeichnis mit Nullen überschreiben. Insbesondere hob Huntress die unter macOS eher selten anzutreffende Funktion der zweistufigen Prozessinjektion als herausragendes Merkmal hervor:
1. Bei der ersten entschlüsselten Nutzlast handelt es sich um ein auf Nim basierendes Implantat, das für die Command-and-Control-Kommunikation verwendet wird.2. Die zweite ist eine minimalistische, auf Swift basierende Anwendung, die vermutlich zur Unterstützung der Funktionen des Implantats dient. - Keylogger
Der Angreifer setzte XScreen ein, ein Tool zum Aufzeichnen von Tastatureingaben, zur Bildschirmaufzeichnung und zur Erfassung von Zwischenablage-Daten. - Infostealer
Der Infostealer „airmond“ zielt auf Kryptowährungs-Wallets ab, indem er installierte Browser-Erweiterungen scannt und die damit verbundenen Daten extrahiert. - Täuschungs-Binärdatei
Die endgültige Binärdatei, NetChk, ist nahezu leer. Es generiert kontinuierlich Zufallszahlen – wahrscheinlich als Ablenkungsmanöver, um die Analysten während der Untersuchung abzulenken.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
BlueNoroff hat seine Vorgehensweise weiterentwickelt, um das Web3 -Ökosystem optimal zu nutzen. Die Fähigkeit der Gruppe, komplexe macOS-Malware zu entwickeln und einzusetzen, unterstreicht einmal mehr ihre Raffinesse und ihr Engagement im Bereich plattformübergreifender Fähigkeiten.
Es ist offensichtlich, dass macOS zunehmend zu einem beliebten Angriffsziel wird, insbesondere für erfahrene Angreifer. Abgesehen von ihren ausgeklügelten technischen Vorgehensweisen hält die Gruppe durch den Einsatz von Deepfakes und fortgeschrittenen Social-Engineering-Methoden auch mit den aktuellen Trends in der Cyberlandschaft Schritt.
Der Bericht von Huntress unter ist für diejenigen, die eine detailliertere technische Analyse suchen, wesentlich ausführlicher.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
