In dieser Woche befasst sich das Tanium-CTI-Team mit neuen Erkenntnissen von Cofense über den anhaltenden Einsatz von SMS-basiertem Phishing, um Unternehmen anzugreifen und Zugangsdaten zu stehlen. Als Nächstes befasst sich das Team mit mehreren Kampagnen, die Node.js nutzen, um Malware und andere schädliche Payloads zu verbreiten. Abschließend untersuchen wir, wie betrügerische Dateikonverter zur Verbreitung von Malware genutzt werden.
Angreifer nutzen weiterhin SMS unter Einsatz von Social Engineering aus
Cofense berichtet unter (wird in einem neuen Tab geöffnet) über anhaltende SMS-basierte Phishing-Angriffe, die auf Unternehmen abzielen, um Zugangsdaten zu stehlen.
Im Rahmen seiner Untersuchung stellte Cofense einen Anstieg dieser Angriffe fest, bei denen ein falsches Gefühl der Dringlichkeit oder Angst erzeugt wird, um die Empfänger dazu zu verleiten, zu handeln und so zum Opfer zu werden.
Was steht in den SMS-Nachrichten?
Diese Angriffe beginnen mit einer SMS-Nachricht, die an einen bestimmten Empfänger gesendet wird. Die Nachrichten sind so verfasst, dass sie ein Gefühl der Dringlichkeit oder Angst hervorrufen, wobei Formulierungen wie „Achtung“ und „Bitte beachten Sie die Änderungen“ verwendet werden.
Laut Cofense fügte der Angreifer den Satz „Falls Sie dies nicht waren, melden Sie sich bitte an, um ein Ticket zu erstellen“ hinzu, um den Empfänger zu einer Reaktion zu bewegen.
Wie funktioniert die bösartige Website?
Wenn der Empfänger auf den Link in der SMS-Nachricht klickt, wird er über Google weitergeleitet, um den Eindruck zu erwecken, dass es sich um eine seriöse Nachricht handelt. Dort angekommen, müssen sie auf einen weiteren Link klicken, der zur endgültigen Zielseite führt.
Die endgültige Zielseite ist eine Phishing-Seite unter (wird in einem neuen Tab geöffnet) , die sich als Anmeldeseite von ServiceNow ausgibt und die Nutzer auffordert, ihre Anmeldedaten einzugeben. Werden Anmeldedaten eingegeben, wird dem Opfer eine gefälschte Aufforderung zur Multi-Faktor-Authentifizierung (MFA) angezeigt, wodurch der Angreifer sowohl die Anmeldedaten als auch die MFA-Informationen erhält.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Untersuchung mahnt dazu, nicht nur bei E-Mails, sondern auch bei SMS-Nachrichten auf Phishing zu achten.
Viele Anzeichen sind dieselben, darunter das falsche Gefühl der Dringlichkeit, die Verlockung, auf etwas zu klicken, und die unerwartete Nachricht. In beiden Fällen wird der Täter häufig versuchen, Vertrauen aufzubauen und mit menschlichen Emotionen zu spielen.
Der Missbrauch von Node.js führt zur Verbreitung von Malware und schädlichen Payloads
Microsoft hat unter (wird in einem neuen Tab geöffnet) mehrere Kampagnen identifiziert, bei denen Node.js zur Verbreitung von Malware und anderen schädlichen Payloads genutzt wird.
Zuletzt hat es einen Malvertising-Angriff entdeckt, der bis heute andauert und bei dem Node.js im Rahmen einer Kampagne zum Handel mit Kryptowährungen eingesetzt wird. Die Kampagne zielt darauf ab, Nutzer dazu zu verleiten, ein bösartiges Installationsprogramm herunterzuladen, das als legitime Software getarnt ist.
Was ist Node.js?
Node.js ist eine Open-Source-JavaScript-Laufzeitumgebung, die JavaScript-Code außerhalb eines Webbrowsers ausführt. Entwickler nutzen Node.js häufig für serverseitige Skripte und zur Erstellung skalierbarer Netzwerkanwendungen.
Malvertising verstehen
Microsoft hat in den Umgebungen seiner Kunden festgestellt, dass die Verbreitung von Node.js-bezogener Malware über Malvertising nach wie vor weit verbreitet ist. Diese bösartigen Werbeanzeigen verleiten die Opfer dazu, Websites aufzurufen, auf denen sie als legitime Software getarnte Malware herunterladen und installieren.
Im Rahmen der Kryptowährungs-Kampagne wurden die Anzeigen so gestaltet, dass sie den Anschein erweckten, von einer seriösen Handelsplattform zu stammen, mit dem Ziel, die Opfer dazu zu verleiten, ein schädliches Installationsprogramm herunterzuladen. Dieses Installationsprogramm enthielt jedoch eine schädliche DLL, die dazu diente, Systeminformationen zu erfassen und die Persistenz des Programms aufrechtzuerhalten.
Beim Start lädt das mit Wix erstellte Installationsprogramm eine DLL, die über eine WMI-Abfrage Informationen erfasst. Zudem wird eine geplante PowerShell-Befehlsaufgabe erstellt, um die Persistenz sicherzustellen. Dem Opfer wird zudem ein gefälschtes Fenster angezeigt, in dem die legitime Website zu sehen ist.
Wie die Malware der Erkennung entgeht
Die zuvor erwähnte geplante Aufgabe führt PowerShell-Befehle aus, um PowerShell und das aktuelle Verzeichnis von der Überprüfung auszuschließen, wodurch verhindert wird, dass zukünftige PowerShell-Ausführungen als Warnung gemeldet werden.
Wie sammelt und exfiltriert diese Art von Malware Daten?
Es wird ein PowerShell-Befehl ausgeführt, um Skripte von Remote-URLs abzurufen und auszuführen. Diese Skripte erfassen Informationen zu Windows, zum BIOS, zum System sowie Daten zum Betriebssystem.
Laut Microsoft werden die Daten „in eine verschachtelte Hash-Tabelle strukturiert, in das JSON-Format konvertiert und anschließend per HTTP-POST an den Command-and-Control-Server (C2) des Angreifers gesendet.“
Ein weiteres PowerShell-Skript wird ausgeführt, um eine Archivdatei von der C2 herunterzuladen und zu entpacken. Anschließend werden die Proxy-Einstellungen deaktiviert und eine JavaScript-Datei aus dem Archiv gestartet.
Wie wird Node.js zur Verbreitung der Malware genutzt?
Die zuvor aus dem Archiv heruntergeladene ausführbare Node.js-Datei startet die JavaScript-Datei. Dadurch werden Bibliotheksmodule geladen, Verbindungen hergestellt und Zertifikate auf dem Gerät hinzugefügt.
Microsoft hat zudem eine Technik festgestellt, die sich in Node.js-Kampagnen abzeichnet und die die Ausführung von Inline-JavaScript beinhaltet. Bei dieser Technik werden die schädlichen Skripte über Node.js ausgeführt, um Malware zu verbreiten.
Microsoft hat einen solchen Fall im Rahmen eines „ “-ClickFix-Angriffs beobachtet: (wird in einem neuen Tab geöffnet) . Dabei wird der Benutzer dazu verleitet, schädlichen Code zu kopieren, einzufügen und auszuführen. Dieser Code hat mehrere Komponenten heruntergeladen, darunter die Node.js-Binärdatei. Ein Skript könnte dann die Node.js-Umgebung nutzen, um JavaScript über die Befehlszeile statt über eine Datei auszuführen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Erkenntnis bedeutet nicht, dass Entwickler die Verwendung anderer beliebter Skriptsprachen gänzlich eingestellt haben – sondern lediglich, dass sie nun gelegentlich auf kompiliertes JavaScript zurückgreifen.
Microsoft wies darauf hin, dass eine zunehmende Verbreitung von Node.js-Malware auf eine Verlagerung der Präferenzen der Angreifer hindeuten könnte. Dies ist zudem ein weiteres Beispiel dafür, wie Angreifer häufig legitim genutzte Anwendungen ausfindig machen und ausnutzen, um sich in den normalen Datenverkehr einzufügen.
Wie immer hat Microsoft Empfehlungen bereitgestellt: (wird in einem neuen Tab geöffnet), Erkennungsmeldungen: (wird in einem neuen Tab geöffnet) sowie Suchabfragen: (wird in einem neuen Tab geöffnet) , um Unternehmen bei der Identifizierung dieser Bedrohung zu unterstützen.
Gefälschte PDF-Konverter dienen der Verbreitung von Schadsoftware
Nach einer Warnung des FBI bezüglich bösartiger Dateikonverter, die Malware verbreiten, untersuchte CloudSEK die Bedrohung unter (wird in einem neuen Tab geöffnet). In dem Bericht wird ein Angriff analysiert, bei dem ein bösartiger Dokumentkonverter zum Einsatz kommt, der sich als vertrauenswürdiger Dienst ausgibt, jedoch darauf abzielt, die Malware „ ArechClient2 “ zu verbreiten.
CloudSEK hat mehrere bösartige Websites zur Dateikonvertierung identifiziert, die „pdfcandy.com“, einen seriösen Dateikonverter, imitieren. Diese Websites sind nahezu identisch mit der seriösen Website und fordern Besucher dazu auf, eine PDF-Datei hochzuladen, die in das Word-Format konvertiert werden soll.
Wie funktioniert die Malware, die sich als PDF-Konverter tarnt?
Wenn eine PDF-Datei hochgeladen wird, zeigt die Website zunächst eine animierte Ladeanzeige an, um dem Opfer vorzugaukeln, dass die Datei gerade verarbeitet wird. Anschließend wird dem Opfer auf der Website ein CAPTCHA-Verifizierungsfeld angezeigt. Nach Abschluss dieses Schritts fordert ein Dialogfeld das Opfer auf, Code zu kopieren, einzufügen und auszuführen, um die schädliche Nutzlast auszulösen.
Darüber hinaus haben Forscher von CloudSEK den Befehl entschlüsselt und eine Umleitungskette identifiziert, die den Prozess der Malware-Verbreitung verschleiert. Dies erfolgt in zwei Schritten:
- Die erste Verbindung zielt auf eine URL ab, die als verkürzter Link getarnt ist. Dies führt zu einer bösartigen URL, über die die schädliche Nutzlast „adobe.zip“ bereitgestellt wird.
- Die schädliche Nutzlast wird auf einer IP-Adresse gehostet, die zuvor als schädlich gekennzeichnet wurde. Eine in der ZIP-Datei enthaltene schädliche ausführbare Datei namens „audiobit[.]exe“ löst eine Angriffskette aus, die zur Ausführung des Informationsdiebstahlprogramms „ ArechClient2 “ führt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Angriff setzt in erheblichem Maße auf manuelle Interaktion seitens des Opfers, da dieses aufgefordert wird, den Schadcode zu kopieren, einzufügen und auszuführen. Diese Technik erfreut sich zunehmender Beliebtheit; sie muss also einen gewissen Erfolg haben, wenn Schauspieler sie weiterhin anwenden.
Die Aufklärung über einige der typischen Anzeichen dieser weit verbreiteten Bedrohung lässt sich problemlos in die Sicherheitsschulung „ “ für Mitarbeiter integrieren: (wird in einem neuen Tab geöffnet). CloudSEK enthält in seinem Bericht „ “ (wird in einem neuen Tab geöffnet) auch einige Empfehlungen zum Schutz von , die hilfreich sein könnten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
