In dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium „SantaStealer“, einen neuen Malware-as-a-Service-Infostealer, der kürzlich auf den Markt gebracht wurde und nun im Umlauf ist. Als Nächstes befasst sich das Team mit BlackForce, einem hochentwickelten Phishing-Kit, das auf große Marken abzielt. Abschließend geben wir Ihnen einen Überblick über „Ink Dragon“, eine mit China in Verbindung stehende Cyberspionagegruppe.
SantaStealer verbreitet sich über Telegram und Untergrundforen
Rapid7 veröffentlicht unter Einzelheiten zu „SantaStealer“, einem neuen Malware-as-a-Service-Infostealer, der darauf ausgelegt ist, Anmeldedaten, Browserdaten, Wallets und mehr mithilfe modularer Plugins und speicherresidenter Techniken zu stehlen. Laut Rapid7 ist „SantaStealer“ nun einsatzbereit und verbreitet sich in freier Wildbahn.
Obwohl das Produkt als äußerst unauffällig vermarktet wird, ist Rapid7 der Ansicht, dass die aktuellen Exemplare eine mangelhafte Verschleierung und operative Sicherheit aufweisen, wodurch sie trotz ehrgeiziger Behauptungen leichter zu erkennen sind.
Entdeckung
Rapid7 entdeckte zunächst, dass die Malware „SantaStealer“ in Untergrundforen beworben wurde.
Die Forscher von Rapid7 analysierten eine ausführbare Windows-Datei, die eine generische Regel für Infostealer auslöste. Ihre Analyse deckte eine DLL auf, die über 500 exportierte Symbole sowie zahlreiche unverschlüsselte Zeichenfolgen im Zusammenhang mit dem Diebstahl von Anmeldedaten enthielt. Einige der Symbole in der DLL führten sie zu einer Zeichenkette, die eine JSON-kodierte Konfiguration enthielt. Diese Konfiguration umfasste ein Banner mit der Aufschrift „SANTA STEALER“ sowie einen Link zum entsprechenden Telegram-Kanal.
Um noch einen Schritt weiter zu gehen, hat Rapid7 den Telegram-Kanal von SantaStealer unter die Lupe genommen. Die Forscher entdeckten das Affiliate-Webpanel und richteten ein Konto ein, um mehr über die Malware zu erfahren. Im Web-Panel wird eine Liste der Funktionen aufgeführt, die den Partnern je nachdem, ob sie den Basis- oder den Premium-Tarif nutzen, zur Verfügung stehen.
Die von Rapid7 analysierten „SantaStealer“-Beispiele scheinen sich von vielen der von den Betreibern beworbenen Behauptungen zu unterscheiden. Dies veranlasste die Forscher zu der Annahme, dass sich die Malware wahrscheinlich noch in der Entwicklung befindet und frühe Exemplare möglicherweise versehentlich veröffentlicht wurden.
Technische Details
Rapid7 hat sich eines der ausführbaren Beispiele genauer aus technischer Sicht angesehen. Die Forscher stellten fest, dass das System zwar versucht, die DLL-Builds auszuführen, dabei jedoch letztendlich auf Probleme stößt.
Sie erklären, dass „das Erkennen und Verfolgen dieser Payloads unkompliziert ist, da sowohl die Malware-Konfiguration als auch die IP-Adresse des C2 -Servers im Klartext in die ausführbare Datei eingebettet sind.“ Dies könnte sich ändern, sollten viele der für SantaStealer angekündigten Funktionen tatsächlich umgesetzt werden.
Zunächst überprüft die Malware die für folgende Parameter eingegebenen Werte: „ “, „anti_cis“, „ “ und „“, „exec_delay_seconds“, „ “ und reagiert entsprechend. Anschließend wird auf die Anti-VM-Funktion eingegangen, die je nach Sample unterschiedlich ausfällt. Rapid7 stellte fest, dass einige Samples nach Prozessen und Computernamen suchten, die auf einer Sperrliste standen, während andere Samples lediglich die Anzahl der laufenden Prozesse, die Betriebszeit des Systems und das Vorhandensein von VirtualBox überprüften.
Die Payload versucht letztendlich, Anmeldedaten aus dem Browser zu stehlen. Rapid7 geht auf näher darauf ein; weitere technische Details finden Sie in dem Bericht von zu diesem Thema.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
SantaStealer stellt eine hochmoderne MaaS-Bedrohung dar, die sich durch modulare Funktionen und eine stetig zunehmende Raffinesse auszeichnet. Allerdings bieten die vorzeitige Veröffentlichung und die technische Einfachheit den Verteidigern wichtige Möglichkeiten zur Erkennung und Analyse.
Dieser Infostealer steht im Einklang mit mehreren übergeordneten Trends, die derzeit die Bedrohungslandschaft prägen, darunter der Aufstieg von MaaS-Ökosystemen, die die Eintrittsbarrieren senken, sowie das Entwenden von Anmeldedaten und das Übernehmen von Sitzungen als primäre Angriffsvektoren.
Viele MaaS-Angebote, die anfangs nur über eine unzureichende Betriebssicherheit verfügen, werden im Laufe der Zeit mit steigenden Umsätzen sicherer. Sollte sich „SantaStealer“ diesem Trend anschließen, ist davon auszugehen, dass es sich weiterentwickeln und immer ausgefeilter werden wird.
Das Phishing-Kit „BlackForce“ zielt auf große Marken ab
Ein kürzlich veröffentlichter Beitrag von Zscaler unter beleuchtet „BlackForce“, ein ausgeklügeltes Phishing-Kit, das es auf große Marken abgesehen hat und mithilfe realistischer Anmeldeseiten sowie „Man-in-the-Browser“-Techniken Zugangsdaten stiehlt und die Multi-Faktor-Authentifizierung (MFA) von umgeht.
Laut Zscaler wendet BlackForce ausgefeilte Tarnstrategien an, nutzt die Exfiltration von Daten in Echtzeit über Telegram und entwickelt sich durch Verschleierungstechniken und eine hybride Client-Server-Logik kontinuierlich weiter.
Erkennung und Code-Analyse von BlackForce
Zscaler stieß bei der Suche nach Phishing-Kampagnen unter dem Namen „ “ auf ein auffälliges Muster. Das Muster lautete: „Domains verwendeten durchweg JavaScript-Dateien, deren Namen Hash-Werte enthielten, die den Cache umgingen.“
Anhand dieses Musters gelang es dem Unternehmen, den Einstiegspunkt des BlackForce-Phishing-Kits zu identifizieren, bei dem es sich um eine einzelne Zeile im HTML-Code der Seite handelte, über die die Plattform geladen wurde. Zscaler stellte fest, dass mehr als 99 % des Inhalts der schädlichen JavaScript-Datei Produktionsversionen von React und React Router enthält, was dazu beitrug, das Kit als legitim erscheinen zu lassen.
BlackForce-Angriffskette
Ein BlackForce-Angriff beginnt, wenn ein Opfer auf den Phishing-Link klickt und auf die Phishing-Seite des Angreifers weitergeleitet wird. Es wird eine serverseitige Sperrliste von Internetdienstanbietern und Anbietern verwendet, um sicherzustellen, dass kein Datenverkehr auf die Seite von einem Forscher oder Scanner stammt. Sobald diese Überprüfung abgeschlossen ist, wird dem Opfer die Phishing-Seite angezeigt, und es wird aufgefordert, seine Zugangsdaten einzugeben.
Zu diesem Zeitpunkt erhält der Angreifer eine Benachrichtigung, dass die Anmeldedaten an seinen C2 -Kanal und seinen Telegram-Kanal gesendet wurden. Der Angreifer versucht daraufhin, sich mit den gestohlenen Zugangsdaten anzumelden.
In vielen Fällen löst dies die MFA aus, und der Angreifer muss dem Opfer über BlackForce eine gefälschte MFA-Authentifizierungsseite zusenden. Sollte das Opfer auf diese gefälschte Seite hereinfallen und den MFA-Code eingeben, erhält der Angreifer erfolgreich Zugriff auf das Konto. Ganz am Ende des Angriffs wird das Opfer auf die legitime Website weitergeleitet.
Exfiltration
Zscaler hat festgestellt, dass BlackForce Axios zur Verwaltung seiner Kommunikation nutzt. Es gibt zwei clientseitige Axios-Instanzen: Die erste dient der Kommunikation mit C2 , die andere dem Abfluss von Daten an den Telegram-Kanal des Angreifers.
Anti-Analyse
Wie viele Phishing-Kits nutzt auch BlackForce verschiedene Techniken zur Verhinderung von Analysen. Zscaler hat dies mithilfe eines proaktiven clientseitigen Filters festgestellt, der dafür sorgt, dass Sandboxen und Bots nicht auf die Phishing-Seite gelangen können.
Version 4 geht noch einen Schritt weiter und wendet eine ausschließlich auf Mobilgeräte ausgerichtete Richtlinie an, die alle Desktop-User-Agents ablehnt. Das Kit enthält zudem eine Liste der zugelassenen Länder, um sicherzustellen, dass ausschließlich die beabsichtigten Opfer auf die Phishing-Seite weitergeleitet werden.
Zustandsabhängigkeit
Spätere Versionen von BlackForce unterschieden sich von früheren Versionen durch den Übergang von zustandslosen zu zustandsbehafteten Angriffsmodellen. In den Versionen 4 und 5 nutzt das Kit die Browser-Funktionen „ “ und „sessionStorage“ , um eine zustandsbehaftete Sitzung zu erstellen, wodurch das Kit in der Lage ist, sich während des gesamten Angriffs die Anmeldedaten zu merken.
C2 Kommunikation
Das C2 -Panel dient dazu, die Vorgänge zu steuern, nachdem das Opfer auf der Phishing-Seite gelandet ist, bis zu dem Zeitpunkt, an dem die Daten gestohlen werden. Das Bedienfeld verfügt über einige Funktionen, darunter Funktionen zur Identifizierung des Besuchers, zum Diebstahl von Opferdaten, zur Steuerung des Ablaufs der Phishing-Sitzung sowie zur Steuerung des Angriffs.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Das BlackForce-Kit verdeutlicht, wie sich Phishing zu einem hochprofessionellen Dienstleistungsmodell entwickelt hat, das über Versionsverwaltung, Funktionserweiterungen und Kundensupport verfügt.
Dieses Beispiel verdeutlicht zudem, wie Angreifer mittlerweile aktiv gegen automatisierte Erkennung und die Analysen von Forschern vorgehen, wodurch die Anforderungen an „ “-Bedrohungsinformationen und automatisierte Abwehrmaßnahmen steigen.
Ink Dragon startet neue Angriffe
Check Point Research gibt Einblicke in eine neue Angriffswelle der Gruppe „Ink Dragon“, einer mit China in Verbindung stehenden Cyberspionagegruppe, die öffentlich zugängliche Server mithilfe von Schwachstellen in IIS und SharePoint kompromittiert und sich anschließend lateral ausbreitet, um Anmeldedaten zu sammeln und Berechtigungen zu erweitern.
Es wurde beobachtet, dass „Ink Dragon“ mithilfe maßgeschneiderter ShadowPad-Module verdeckte Relaisnetzwerke auf der Infrastruktur der Opfer aufbaut, wodurch eine unauffällige Befehls- und Kontrollkommunikation sowie ein langfristiger Zugriff über mehrere Umgebungen hinweg ermöglicht wird.
Erstzugang
Laut Check Point nutzt der Angreifer in der Regel eine ASP.NET-Deserialisierungsschwachstelle aus, wobei er öffentlich bekannt gewordene Maschinenschlüssel verwendet.
Es wurde zudem beobachtet, dass der Angreifer die SharePoint-ToolShell-Sicherheitslücke für den Erstzugriff ausnutzt.
Seitliche Bewegung
Ink Dragon nutzt nach der Kompromittierung eines Webservers zwei wesentliche Vorteile aus: den Zugriff auf privilegierte IIS-Anmeldedaten und den Einblick in aktive Administratorsitzungen.
Mit IIS-Anmeldedaten kann der Angreifer von der Ausführung im IIS-Arbeitsprozess auf die vollständige Systemkontrolle eskalieren, über RDP-Tunnel oder geplante Aufgaben eine Persistenz herstellen und sich mit minimaler Erkennung lateral auf andere Server ausbreiten. Sobald sie sich Zugang verschafft haben, werden sie Implantate wie ShadowPad oder FinalDraft unter Verwendung nativer Protokolle (z. B. SMB) einsetzen und die Dienste unter legitimen Namen tarnen, um unentdeckt zu bleiben.
Beharrlichkeit
Check Point hat im Hinblick auf die Persistenz zwei Muster festgestellt, darunter die Verwendung von geplanten Aufgaben mit harmlos anmutenden Namen sowie die Installation von Diensten auf mehreren Rechnern zum Starten von Loadern.
Erweiterung von Berechtigungen
Ink Dragon nutzt eine Kombination aus Ausnutzung von Sicherheitslücken und dem Diebstahl von Anmeldedaten, um sich lateral auszubreiten und die vollständige Kontrolle über die Domäne zu erlangen. Es wurde beobachtet, dass der Akteur lokal Berechtigungen erweitert, LSASS- und Registrierungs-Hives ablegt und inaktive Administrator-RDP-Sitzungen kapert, um Tokens wiederzuverwenden.
Ausgangsverkehr aktivieren
Wie Check Point feststellt, hat Ink Dragon „die Firewall-Regeln der Hosts so geändert, dass ein umfangreicher ausgehender Datenverkehr zugelassen wurde, und hat die kompromittierten Hosts damit praktisch in uneingeschränkte Exfiltrations- bzw. Proxy-Knoten verwandelt.“
Aufbau des Relaisnetzwerks
Check Point hat festgestellt, dass dieser Angreifer „kompromittierte Organisationen aktiv in funktionsfähige Kommunikationsknoten innerhalb eines verteilten ShadowPad-Relay-Netzwerks umwandelt“.
Ink Dragon nutzt ein eigens entwickeltes ShadowPad-IIS-Listener-Modul, um kompromittierte Server in verdeckte Kommunikationsknoten innerhalb eines verteilten Relaisnetzwerks zu verwandeln. By dynamically registering hidden HTTP(S) endpoints that blend with normal IIS traffic, the implant intercepts requests, decrypts payloads, and relays commands between external and internal nodes—effectively creating a multi-hop mesh of victim infrastructure that hides the true C2 origin, enables lateral pivoting, and makes detection extremely difficult.
Tools und Nachverwertung
Laut Check Point nutzt Ink Dragon eine Vielzahl weiterer Tools, darunter:
- ShadowPad-Loader
- CBDLoader zur Ausführung von im Speicher befindlichen Payloads
- LalsDumper zur Extraktion von LSASS-Dumps
- 032Loader als hostabhängiger Payload-Loader
- FinalDraft which is a long-term espionage and cloud C2
Viktimologie
Ink Dragon zielt in erster Linie auf staatliche Organisationen ab, hat jedoch auch andere Sektoren ins Visier genommen.
Ink Dragon ist weltweit tätig, hat Opfer in Südostasien und Afrika im Visier und hat kürzlich seine Aktivitäten auf Europa ausgeweitet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Ink Dragon steht für einen äußerst disziplinierten, staatlich unterstützten Angreifer, der nicht nur Daten stiehlt, sondern sich mithilfe verdeckter Techniken, die legitimes Verhalten imitieren, tief in Unternehmensumgebungen einnistet.
Indem sie die Server der Opfer in verdeckte Relaisknoten verwandeln und vertrauenswürdige Cloud-APIs missbrauchen, erschweren sie die Erkennung und Eindämmung erheblich, was bedeutet, dass sich ein einziger Einstiegspunkt zu einer langfristigen, netzwerkübergreifenden Kompromittierung ausweiten kann. Dieser Akteur veranschaulicht die Verschmelzung traditioneller APT-Aktivitäten mit den modernen Gegebenheiten in Unternehmen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
