In dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit „Shanya“, einem neuen „Packer-as-a-Service“ (PaaS), der sich unter Ransomware-Gruppen rasch verbreitet. Anschließend untersucht das Team „GrayBravo“, einen raffinierten Angreifer, der Branchen wie die Logistik- und die Gastgewerbebranche gezielt angreift – unter anderem durch Phishing-Angriffe vom Typ „ “, Malvertising und gefälschte Software-Updates. Abschließend bieten wir unter einen Überblick über Storm-0249’s aktuelle Angriffe, bei denen Endpoint Detection and Response (EDR)-Tools ausgenutzt werden .
Shanya PaaS verbreitet sich unter Ransomware-Gruppen
Sophos veröffentlicht unter Einzelheiten zu „Shanya“, einem neuen PaaS-Tool, das offenbar ältere Dienste wie „HeartCrypt“ im Ökosystem der Cyberkriminellen ablöst.
Packer-Dienste sind Tools, die Malware verschlüsseln oder verschleiern, um einer Erkennung zu entgehen. Angreifer nutzen Shanya mittlerweile dazu, Ransomware mit einer Verschleierungsschicht namens „ “ () zu umhüllen, wodurch diese die Abwehrmaßnahmen gegen Malware umgehen kann.
Untergrund-Werbeaktionen
Gegen Ende des Jahres 2024 entdeckte Sophos in Untergrundforen Hinweise auf ein Angebot namens „VX Crypt“. Die Spende wurde „Shanya“ gutgeschrieben, obwohl die ID des Autors in keinem Zusammenhang damit stand. Der Telegram-Nutzername des Urhebers enthielt jedoch „shanya“.
In dem Beitrag wird behauptet, das Angebot habe Funktionen zur Umgehung von AMSI, zum Laufzeitschutz und zum Sideloading enthalten. Die Eigenschaften dieses Packers stimmen mit denen eines anderen Packers überein, den Sophos beobachtet hat, was den Schluss nahelegt, dass es sich um dasselbe PaaS handelt.
In frühen Proben stellte Sophos fest, dass die Namen von ausführbaren Dateien und DLLs die Zeichenfolge „shanya“ oder eine Variante davon enthielten. Sie stellten zudem Fälle fest, in denen sowohl ein EDR-Killer als auch die CastleRAT-Malware schädliche Dateien verwendeten, die vom Shanya-Dienst erstellt worden waren.
Shanya wurde im Laufe des Jahres 2025 weltweit beobachtet.
Die komprimierten ausführbaren Dateien
Sophos analysierte eine Probe, bei der es sich um eine Variante eines EDR-Killers handelte, die zwar eine große Menge an unbrauchbarem Code enthielt, bei der jedoch letztendlich festgestellt wurde, dass sie „einen Entschlüsseler und einen Loader in einem Speicherbereich erstellte, die anschließend die Nutzlast entschlüsseln würden“.
- Zunächst erstellt Shanya eine Tabelle, die wichtige Laufzeitdaten enthält.
- Der Zeiger auf diese Tabelle ist im Prozessumgebungsblock (PEB) im Feld „GdiHandleBuffer“ verborgen.
- Von dort aus kann jede Stufe der Malware einfach das PEB abrufen, um den Zeiger auf die Konfigurationstabelle wiederherzustellen, wodurch der Speicherbedarf verringert wird.
- Shanya kann zudem die benötigten Windows-API-Funktionen dynamisch auflösen und Maßnahmen zur Verhinderung von Analysen durchführen.
Bedeutende Anwendungsfälle
Laut Sophos wurde der durch Shanya geschützte EDR-Killer bei Fällen von DLL-Sideloading eingesetzt.
Sophos weist zudem darauf hin, dass der „EDR-Killer“ zwei Kernel-Treiber ablegt, darunter einen legitimen, aber anfälligen sowie einen bösartigen und nicht signierten.
Der Bericht enthält eine umfangreiche Liste der betroffenen Dienste und Prozesse. Wird eines dieser Elemente auf dem Gerät gefunden, wird es beendet.
Sophos beschreibt zudem eine reale Kampagne, bei der Shanya gezielt gegen Hotels eingesetzt wurde. Diese Kampagne stammt von September 2025 und war eine ClickFix-Kampagne, bei der Booking.com zum Einsatz kam.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Shanya PaaS formalisiert durch die Beeinträchtigung der Abwehrmaßnahmen den Weg vom EDR-Killer bis hin zur Ransomware. Im Wesentlichen wird hier ausgefeilte Umgehung in ein Abonnement für Akteure umgewandelt, die die Zuverlässigkeit ihrer Angriffe steigern möchten.
In Übereinstimmung mit Sophos ist davon auszugehen, dass dieses Problem in absehbarer Zeit nicht verschwinden wird und sich vielmehr weiterentwickeln wird.
GrayBravo baut seine Präsenz aus
Laut dem Bericht „“ von Recorded Future arbeitet GrayBravo (ehemals TAG-150) vermutlich nach einem „Malware-as-a-Service“-Modell und verbreitet CastleLoader über mehrere Cluster hinweg, wobei die Branchen Logistik und Gastgewerbe mittels Phishing, Malvertising und gefälschter Software-Updates ins Visier genommen werden.
Die Infrastruktur und die Werkzeuge der Gruppe zeichnen sich durch eine hohe Anpassungsfähigkeit aus und verfügen über fortschrittliche Funktionen wie den Diebstahl von Zugangsdaten, Fernzugriff und mehrschichtige Command-and-Control-Systeme (C2).
Wer ist GrayBravo?
GrayBravo (ehemals TAG-150) ist ein hochentwickelter Angreifer, der mindestens seit dem Jahr „ März 2025“ aktiv ist. Der Akteur ist bekannt für seine Fähigkeiten zur schnellen Entwicklung sowie für maßgeschneiderte Malware-Familien, zu denen CastleLoader, CastleBot und CastleRAT gehören.
Recorded Future geht davon aus, dass die Gruppe ein „Malware-as-a-Service“-Ökosystem (MaaS) betreibt, das sich einer mehrstufigen Infrastruktur und fortschrittlicher Techniken zur Umgehung von Erkennungsmaßnahmen bedient und vier unterschiedliche Aktivitätscluster aufweist.
GrayBravo betreibt eine komplexe, mehrstufige Infrastruktur zur Unterstützung seines Malware-Ökosystems. Server der Stufe 1 fungieren als Command-and-Control-Knoten für die jeweiligen Malware-Familien, die sich direkt an die Opfer richten, während weitere Stufen mehrschichtige Funktionen bereitstellen.
Varianten von CastleRAT
Der Bericht von Recorded Future enthält Einzelheiten zur Malware „CastleRAT“, von der es sowohl eine C- als auch eine Python-Variante gibt. Unabhängig von der Variante ist es in der Lage, Befehle aus der Ferne auszuführen, Dateien herunterzuladen und auszuführen sowie eine interaktive Remote-Shell herzustellen. Die C-Variante verfügt über einige zusätzliche Funktionen.
Was die Infrastruktur betrifft, so stellte Recorded Future erhebliche betriebliche Überschneidungen zwischen mehreren Knoten fest, die sich den Schlüssel „NanuchkaUpyachka“ ( RC4 ) teilen. Zudem stellten sie einen Grad an Vernetzung fest, der möglicherweise auf ein gemeinsames Bereitstellungsframework für CastleRAT und CastleLoader hindeutet.
Aktivitätscluster
Recorded Future hat vier Aktivitätscluster im Zusammenhang mit dem Einsatz von CastleLoader identifiziert:
- Cluster 1: Der erste Aktivitätscluster, der von Recorded Future als TAG-160 erfasst wird, zielt aktiv auf den Logistiksektor ab. Es wurde beobachtet, dass der Cluster die „ClickFix“-Technik einsetzt, um CastleLoader zu installieren und Sicherheitslücken auszunutzen, wobei er legitime Plattformen zur Frachtvermittlung nutzt, darunter DAT Freight & Analytics und Loadlink Technologies.
- Cluster 2: Es ist bekannt, dass sich Cluster 2 (TAG-161) als Booking.com ausgibt. Diese Gruppe nutzt ebenfalls die „ClickFix“-Technik, um CastleLoader und Matanbuchus zu verbreiten.
- Cluster 3: Auch dieser Cluster gibt sich als Booking.com aus, nutzt ClickFix-Techniken und verwendet Steam-Seiten, um sowohl CastleRAT als auch CastleLoader zu verbreiten. Bislang hat Recorded Future keine technischen Überschneidungen zwischen dem zweiten und dem dritten Cluster festgestellt.
- Cluster 4: Der letzte Cluster nutzt Malvertising und gefälschte Software-Installationsprogramme, um CastleLoader und NetSupport RAT zu verbreiten. Es nutzt gefälschte GitHub-Repos, um CastleLoader-Payloads zu verbreiten, die üblicherweise als digital signierte MSI-Installationsprogramme bereitgestellt werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
GrayBravo ist ein Paradebeispiel für die Industrialisierung der Cyberkriminalität, bei der Akteure ihren Partnern modulare Malware und Infrastruktur zur Verfügung stellen.
Die Rolle von CastleLoader als flexibler Verbreitungsmechanismus steht im Einklang mit dem allgemeinen Trend weg von Malware mit einem einzigen Zweck hin zu mehrstufigen Loadern, die den Einsatz von Ransomware, Infostealern und RATs ermöglichen.
Durch den Einsatz mehrstufiger und redundanter C2 -Systeme ist die Gruppe in der Lage, ihren Betrieb fortzusetzen, falls eine Domain oder IP-Adresse entdeckt und gesperrt wird.
Storm-0249 nutzt EDR-Prozesse aus, um böswillige Aktivitäten zu verschleiern
Laut ReliaQuest hat der Initial-Access-Broker „Storm-0249“ seinen Schwerpunkt von breit angelegten Phishing-Kampagnen auf die Ausnutzung von EDR-Tools verlagert. Die Gruppe nutzt Techniken wie das Sideloading von DLLs und den Missbrauch vertrauenswürdiger Prozesse, um eine verdeckte Persistenz zu etablieren.
Diese Entwicklung ermöglicht es Ransomware-Partnern, herkömmliche Abwehrmaßnahmen zu umgehen und sich langfristigen Zugriff zu sichern, während sie böswillige Aktivitäten in legitime Sicherheitsmaßnahmen einbinden.
Storm-0249’s neue Taktiken
Storm-0249’s der jüngsten Angriffe wurden über ClickFix initiiert. Zudem nutzt es verschiedene Techniken, darunter das Fälschen von Microsoft-Domänen und das Piping von Curl nach PowerShell sowie das Sideloading von DLLs, um SentinelOne-Agenten anzugreifen.
Sobald sich „Storm-0249“ Zugriff verschafft hat, wird die Gruppe das Tool „ “ verwenden: `curl.exe ` (ein bei IT-Teams bewährtes Tool). Das schädliche Skript wird unter einer URL gehostet, die eine Microsoft-Domäne imitiert, um den Nutzern vorzugaukeln, es stamme aus einer legitimen Quelle.
Curl lädt schädliche Skripte von gefälschten Microsoft-Domänen herunter und leitet diese in den PowerShell-Speicher weiter, um eine signaturbasierte Erkennung zu umgehen. Wie ReliaQuest hervorhebt: „Da herkömmliche signaturbasierte Erkennungsmechanismen vollständig im Arbeitsspeicher ausgeführt werden, erkennen sie diese Aktivität überhaupt nicht.“
Sicherheitssoftware gegen sich selbst richten
Laut ReliaQuest hat „Storm-0249“ gezeigt, dass es in der Lage ist, seinen Schadcode durch Manipulation einer legitimen ausführbaren Datei von SentinelOne einzuschleusen.
Bei diesem Angriff muss der Benutzer dazu verleitet werden, ein schädliches MSI-Paket auszuführen, das er von der gefälschten Microsoft-Website herunterlädt. Das heruntergeladene Paket erfordert Systemrechte, wodurch der Angreifer die erforderlichen Berechtigungen erhält, um den eigentlichen Schadcode auszuführen.
Das MSI-Paket enthält eine DLL, die vorgibt, eine SentinelOne-EDR-Komponente zu sein, und diese im „AppData“-Ordner des Benutzers ablegt. Mithilfe des DLL-Sideloadings wird beim Start von SentinelOne anstelle der legitimen DLL die schädliche DLL geladen.
Verschleierte Kommunikationskanäle
In addition to updating some of their tactics, the group has also changed its C2 communication approach.
Die Malware stellte zuvor direkte C2 -Verbindungen her, wodurch ausgehender Datenverkehr entstand, der leicht zu erkennen war. Nun missbraucht die Gruppe vertrauenswürdige Komponenten der SentinelOne-Software, um ihre C2 -Kommunikation aufzubauen, was, wie ReliaQuest hervorhebt, besorgniserregend ist, da dies in Software geschieht, die auf der Whitelist steht.
Verdeckte Aufklärung
ReliaQuest beobachtete zudem, dass der Akteur Aufklärungsmaßnahmen durchführte, wobei er legitime Windows-Dienstprogramme nutzte, die „nahezu unmöglich zu blockieren sind, ohne den IT-Betrieb zu stören“.
Sobald die ausführbare Datei „ SentinelAgentWorker.exe“ ( ) kompromittiert war, konnte der Angreifer die Befehle „“ und „reg.exe“ ( ) sowie weitere Befehle ausführen, um Systemkennungen zu erlangen. ReliaQuest weist darauf hin, dass dies als Vorbereitung auf Ransomware-Partner erfolgen könnte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie dieses Beispiel zeigt, nutzen Angreifer zunehmend vertrauenswürdige Sicherheitstools als Waffe, um einer Entdeckung zu entgehen.
Der Missbrauch legitimer EDR-Prozesse verdeutlicht, wie das Vertrauen in Software zu einem Risiko werden kann und wie Angriffe nach dem Prinzip „ “ () immer kreativer werden. Dies ist ein weiteres Beispiel dafür, dass Verhaltensanalysen gegenüber signaturbasierten Abwehrmaßnahmen vorzuziehen sind.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
