In dieser Woche berichtet CTI über Einzelheiten einer Phishing-Kampagne, bei der Mitarbeiter mit einer Nachricht der Personalabteilung geködert wurden, die eine gefälschte Mitteilung über eine obligatorische Freistellung enthielt. Als Nächstes befasst sich CTI mit der neuesten Version von Zloader und deren jüngsten Aktualisierungen. Schließlich liefert CTI die neuesten Informationen zu dem als „Secret Blizzard“ bekannten russischen staatlich gestützten Akteur.
Angreifer geben sich in einer Phishing-Kampagne als Mitarbeiter der Personalabteilung aus
Cofense (wird in einem neuen Tab geöffnet) hat kürzlich eine Phishing-E-Mail von abgefangen (wird in einem neuen Tab geöffnet) , die vorgab, von der Personalabteilung einer Organisation zu stammen. Die E-Mail, die eine gefälschte Mitteilung über eine obligatorische Freistellung enthält, zielt darauf ab, die Opfer dazu zu verleiten, auf einen schädlichen Link zu klicken, über den die Malware „FormBook“ heruntergeladen wird.
Technische Details
- Laut Cofense haben 55 von 72 Anbietern auf VirusTotal die Malware-Probe als schädlich eingestuft. Diese Anbieter weisen darauf hin, dass es sich bei der Probe entweder um den „AutoIt Injector“ oder um „FormBook“-Malware handelt.
- Nachdem das Opfer auf den schädlichen Link in der E-Mail geklickt hat, wird eine ZIP-Datei in sein Standard-Download-Verzeichnis heruntergeladen. Die Datei verwendet eine doppelte Dateiendung –
.xls.zip–, um das Opfer glauben zu machen, es handele sich lediglich um eine Tabellenkalkulation mit Informationen, die es öffnen sollte. - Die ZIP-Datei enthält eine mit AutoIt kompilierte ausführbare Datei. In diesem Beispiel wird AutoIt als übergeordneter Prozess verwendet, um ein Skript in den Zielprozess einzuschleusen.
- In dem von Cofense analysierten Fall handelte es sich bei dem betroffenen Prozess um „
UtilMan.exe“. Dies wird anschließend dazu verwendet, die FormBook-Malware im Arbeitsspeicher auszuführen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie diese Kampagne zeigt, wählen Angreifer ihre Köder häufig entsprechend den aktuellen weltweiten Ereignissen aus. Cofense bezeichnet dieses konkrete Beispiel als „saisonale Relevanz“.
Diese Art von Köder ist weit verbreitet und verspricht gute Erfolgsaussichten. Daher ist es wichtig, sich über die neuesten Phishing-Techniken auf dem Laufenden zu halten, um kostspielige Fehler zu vermeiden.
Zloader erhält neue Funktionen und Möglichkeiten
Forscher bei Zscaler (wird in einem neuen Tab geöffnet) haben eine neue Version von Zloader mit zusätzlichen Funktionen entdeckt. Die neueste Variante verfügt über neue Funktionen zur Umgehung von Analysen, eine interaktive Shell sowie einen DNS-Tunnel für die Kommunikation über Port C2 .
Was ist Zloader?
Zloader wurde ursprünglich für Bankbetrug entwickelt. Inzwischen hat sich seine Verwendung für den Erstzugang weiterentwickelt.
Im vergangenen Jahr tauchte die Malware „ “ nach einer zweijährigen Pause erneut auf (wird in einem neuen Tab geöffnet) – und zwar mit neuen Funktionen. Zscaler hat inzwischen eine aktualisierte Version der Malware, Version 2,9,4,0, identifiziert, die über noch mehr Funktionen verfügt – darunter ein neues DNS-Tunneling-Protokoll.
Übertragungsweg
Laut Zscaler erfolgt die Verbreitung von Zloader zunehmend in kleinerem Maßstab und gezielter – ein Trend, der bei Initial-Access-Brokern immer beliebter wird.
Forscher haben beobachtet, dass Zloader im Rahmen einer Infektionskette verbreitet wird, die mit Tools zur Fernüberwachung und -verwaltung (RMM) wie , AnyDesk (wird in einem neuen Tab geöffnet),, und Microsoft Quick Assist beginnt. Zscaler hat während des Angriffs zudem eine weitere Schadsoftware namens „GhostSocks“ festgestellt.
Zloader-Konfiguration
Zscaler stellte fest, dass sich die statische Konfiguration der Malware in dieser Version geändert hat und nicht mehr über einen fest programmierten Schlüssel im Klartext verschlüsselt wird. In dieser Version muss der Schlüssel mittels einer XOR-Operation berechnet werden.
Zscaler entschlüsselt die Konfiguration und legt dabei zwei neue Abschnitte offen, die sich auf die neue DNS-Tunneling-Funktion beziehen.
Die Anti-Analyse-Fähigkeiten von Zloader
Diese neue Version von Zloader verfügt über einige Funktionen zum Schutz vor Analysen:
- Der erste Schritt ist eine Umgebungsprüfung, die wir in vielen Malware-Beispielen beobachten.
- Der zweite Punkt betrifft die API-Auflösung, die in dieser Version aktualisiert wurde. Das Ergebnis der API-Auflösung wird nun mithilfe einer XOR-Operation berechnet.
Interaktive Shell
Zscaler hat zudem eine neue interaktive Shell identifiziert, die es dem Angreifer ermöglicht, Binärdateien und Shellcode auszuführen, Daten zu stehlen, Prozesse zu beenden und vieles mehr. Dies ermöglicht es dem Angreifer, selbst Eingaben über die Tastatur vorzunehmen.
Netzwerkkommunikation
The malware still uses HTTPS with POST as its primary C2 communication method. Die bedeutendste Änderung an der C2 -Kommunikation ist die Einführung einer DNS-Tunneling-Technik. Die Malware nutzt ein benutzerdefiniertes Protokoll auf Basis von DNS und IPv4 , um verschlüsselten TLS-Datenverkehr zu tunneln. Zloader kann DNS-Pakete erstellen und analysieren und ist dabei nicht auf Bibliotheken von Drittanbietern oder die Windows-API angewiesen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Zloader hat sich seit seinem ersten Auftreten im Jahr 2015 im Zusammenhang mit Bankbetrug erheblich weiterentwickelt. Die neueste Version lässt erkennen, dass der Schwerpunkt verstärkt auf der Umgehung von Erkennungsmechanismen liegt, was dem Trend vieler anderer Malware-Familien in diesem Jahr entspricht.
Durch diese neuen Funktionen eignet sich Zloader für Angreifer, die einen „Initial Access Broker“ suchen. Wie Zscaler im Zusammenhang mit diesen neuesten Updates feststellt: „Unternehmen müssen sicherstellen, dass sie nicht nur den webbasierten Datenverkehr, sondern auch den DNS-basierten Netzwerkdatenverkehr überprüfen.“
Es werden neue Details zu „Secret Blizzard“ bekannt
Es sind weitere Details unter (wird in einem neuen Tab geöffnet),und über den als „Secret Blizzard“ bekannten russischen staatlich gestützten Akteur bekannt geworden.
Microsoft hat kürzlich festgestellt (wird in einem neuen Tab geöffnet) , dass „Secret Blizzard“ die Tools und die Infrastruktur von mindestens sechs Bedrohungsakteuren genutzt hat. Darüber hinaus zielt „Secret Blizzard“ auf Infrastruktur ab, die andere Angreifer zur Zwischenlagerung entwendeter Daten nutzen.
Was ist „Secret Blizzard“?
„Secret Blizzard“ wurde mit dem „ Center 16 “ des russischen Föderalen Sicherheitsdienstes (FSB) in Verbindung gebracht: (wird in einem neuen Tab geöffnet). Der Akteur ist dafür bekannt, eine Vielzahl von Branchen weltweit ins Visier zu nehmen, wobei sein Schwerpunkt darauf liegt, sich langfristigen Zugang zu Spionageaktivitäten zu verschaffen. Es gab bereits Kampagnen, bei denen beobachtet wurde, dass der Akteur Tools oder kompromittierte Infrastruktur anderer Angreifer nutzte.
Kompromittierung und Maßnahmen nach einer Kompromittierung
Microsoft has been observing Secret Blizzard using another actor’s C2 infrastructure since November 2022. Bei dem anderen Akteur handelt es sich um eine in Pakistan ansässige Spionagegruppe, die unter der Bezeichnung „Storm-0156“ erfasst wurde.
„Secret Blizzard“ hat Storm-0156’s Hintertüren genutzt, um seine Backdoors zu installieren, und seine Tools auf virtuellen privaten Servern (VPS) bereitgestellt, über die Storm-0156’s exfiltrierte Daten weitergeleitet wurden. Derzeit ist nicht bekannt, welchen Mechanismus für den Erstzugang „Secret Blizzard“ nutzt, um sich Zugang zur Infrastruktur von Storm-0156’s zu verschaffen.
Geheime Hintertüren bei Blizzard
„Secret Blizzard“ hat mehrere verschiedene Hintertüren in der Infrastruktur von Storm-0156’s installiert. Dazu gehören eine Variante der TinyTurla-Backdoor, ein maßgeschneiderter Downloader namens „TwoDash“, ein maßgeschneiderter Trojaner namens „Statuezy“ sowie ein maßgeschneiderter Downloader namens „MiniPocket“.
In der von Microsoft analysierten Kampagne wurde beobachtet, dass Storm-0156 mehrere Backdoors, darunter Varianten von Wainscot, einsetzte, um Angriffe auf Windows, Linux und CrimsonRAT zu verüben.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Während die meisten Angreifer Einzelpersonen oder Organisationen ins Visier nehmen, zielt „Secret Blizzard“ auf die Infrastruktur und die Werkzeuge anderer Angreifer ab. Der Akteur versucht im Wesentlichen, von der Arbeit anderer Angreifer zu profitieren, und sucht nach einem einfachen Weg, Daten zu stehlen, ohne an der ursprünglichen Kompromittierung beteiligt zu sein.
Wie Microsoft hervorhebt, stimmen die Daten des Akteurs möglicherweise nicht mit dessen Spionageinteressen überein. Dies wirft die Frage auf, warum der Akteur nicht den Weg über einen Initial Access Broker (IAB) einschlägt.
Microsoft hat inzwischen einen zweiten Beitrag unter dem Titel „ “ veröffentlicht: (wird in einem neuen Tab geöffnet) , der lesenswert ist.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
