In dieser Woche untersucht CTI eine neue Malware vom Typ „Remote Access Trojan“ (RAT) namens StilachiRAT. Als Nächstes untersucht CTI, wie Infostealer über Reddit-Beiträge verbreitet werden. Abschließend wirft CTI einen Blick auf die Daten von Cloudflare und stellt fest, dass bei 41 % der erfolgreichen Anmeldungen kompromittierte Passwörter verwendet wurden.
Die neue Malware „StilachiRAT“ ermöglicht den Diebstahl von Kryptowährungen und Aufklärungsmaßnahmen
Microsoft hat unter (wird in einem neuen Tab geöffnet) eine neue RAT-Malware namens StilachiRAT entdeckt, die über verschiedene Methoden verfügt, um Browser-Anmeldedaten, Daten aus digitalen Geldbörsen, Informationen aus der Zwischenablage sowie Systeminformationen zu stehlen.
Obwohl die Urheberschaft derzeit nicht bekannt ist, nutzt StilachiRAT ausgefeilte Techniken, um der Erkennung zu entgehen, eine dauerhafte Präsenz aufzubauen und Daten zu exfiltrieren.
Systemaufklärung
StilachiRAT führt grundlegende Erkundungsmaßnahmen durch, um Informationen über ein Zielsystem zu sammeln. Das Programm erfasst verschiedene Details, darunter BIOS-Seriennummern, das Vorhandensein einer Kamera, Systeminformationen und vieles mehr, wobei es in erster Linie die WMI-Abfragesprache nutzt.
Fokus auf digitale Geldbörsen
StilachiRAT zielt auf eine umfangreiche Liste von Erweiterungen für Kryptowährungs-Wallets im Chrome-Browser ab. Zu diesem Zweck greift das Programm auf die Einstellungen in einem bestimmten Registrierungsschlüssel zu und prüft, ob bestimmte Erweiterungen installiert sind. Die vollständige Liste der von „ “ ins Visier genommenen Wallet-Erweiterungen finden Sie in Microsofts Bericht „ “ (wird in einem neuen Tab geöffnet) unter.
Diebstahl von Zugangsdaten
Wie viele andere RATs ist auch StilachiRAT in der Lage, Anmeldedaten zu stehlen ( ) (wird in einem neuen Tab geöffnet). Microsoft stellte fest, dass die Malware den „encryption_key“ von Chrome aus dem lokalen Status in einem Benutzerverzeichnis extrahierte.
Dieser Schlüssel wird während der Installation verschlüsselt und muss mithilfe von Windows-APIs entschlüsselt werden. Dadurch kann der Akteur auf die im Passwort-Tresor gespeicherten Anmeldedaten zugreifen, um diese zu extrahieren. Die Malware erfasst zudem Informationen, darunter Aufzeichnungen über Softwareinstallationen und aktiv laufende Anwendungen.
Beharrlichkeit
Microsoft berichtet, dass StilachiRAT als Windows-Dienst oder eigenständig als eigenständige Komponente ausgeführt werden kann. Ein Überwachungs-Thread überwacht die von der Malware verwendeten Dateien, um sicherzustellen, dass diese nicht gelöscht werden, und erstellt sie neu, falls sie zu irgendeinem Zeitpunkt fehlen sollten.
Überwachung des Remote-Desktop-Protokolls (RDP)
StilachiRAT überwacht zudem RDP-Sitzungen, um sich als Benutzer auszugeben – eine Technik, die erhebliche Risiken für Server mit sich bringt, auf denen Administratorsitzungen gehostet werden.
Die Malware übernimmt die aktuelle Sitzung, öffnet Fenster im Vordergrund und listet alle RDP-Sitzungen auf. Für jede identifizierte Sitzung werden deren Berechtigungen oder ihr Sicherheitstoken repliziert, wodurch die Ausführung von Anwendungen ermöglicht wird.
Überwachung der Zwischenablage
Die Malware verfügt zudem über eine Funktion, mit der sie Daten aus der Zwischenablage überwachen kann. Es liest in regelmäßigen Abständen die Zwischenablage aus und extrahiert dabei relevante Textinhalte zur Exfiltration. Um relevante Textstellen zu identifizieren, verwendet das Programm reguläre Ausdrücke für Begriffe wie Passwörter, Schlüssel, personenbezogene Daten usw.
Maßnahmen zur Verhinderung forensischer Untersuchungen
Wie die meisten Schadprogramme versucht auch StilachiRAT, seine Spuren zu verwischen und die Analyse zu erschweren. Es löscht Ereignisprotokolle, überprüft bestimmte Systemzustände hinsichtlich Elemente wie Sandbox-Timer und verschleiert seine API-Aufrufe.
Befehle
Für den Command-and-Control-Server (C2) sind zwei unterschiedliche Adressen konfiguriert: Eine Adresse ist verschleiert, während die andere in ein binäres Format umgewandelt wird. Die Malware nutzt die TCP-Ports 53, 443 oder 16000 , um ihren Kommunikationskanal aufzubauen. Anschließend kann es verschiedene Befehle ausführen, um einen Systemneustart durchzuführen, Protokolle zu löschen, Anwendungen zu starten, Fenster zu bearbeiten und vieles mehr.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Derzeit liegen nur wenige Informationen darüber vor, auf welche Weise StilachiRAT auf Geräte gelangt. Allerdings kann RAT-Malware auf vielfältige Weise eingeschleust werden, und grundlegende Überwachungs- und Erkennungsmaßnahmen (öffnet in einem neuen Tab) sind von entscheidender Bedeutung, um diese gängigen Erstzugriffsvektoren zu verhindern. Auch wenn die Malware bislang noch nicht in großem Umfang verbreitet wird, ist es aufgrund ihrer Funktionen dennoch ratsam, sie im Auge zu behalten.
Microsoft hat zudem einige von „ “ empfohlene Abhilfemaßnahmen (wird in einem neuen Tab geöffnet), Suchabfragen sowie Defender-Warnmeldungen veröffentlicht, die bei der Identifizierung von Aktivitäten im Zusammenhang mit dieser Bedrohung hilfreich sein können.
AMOS- und Lumma-Stealer verbreiten sich über Reddit-Beiträge
Laut Malwarebytes (wird in einem neuen Tab geöffnet) werden der macOS-Infostealer AMOS und der Windows-Stealer Lumma derzeit über Reddit-Beiträge verbreitet. Bei den Lockangeboten dieser Kampagne handelt es sich häufig um geknackte Software.
Was beinhalten die Reddit-Beiträge?
Die Initiatoren dieser Kampagne suchen gezielt nach Subreddits, die von Kryptowährungshändlern frequentiert werden, und veröffentlichen dort Beiträge über den kostenlosen Zugang zu einem beliebten Handelstool namens TradingView.
Mit diesem Beitrag erhalten Sie lebenslangen Zugang zu einer Premium-Version der Plattform. Was diesen Thread noch interessanter macht, ist ein Kommentar des Verfassers des ursprünglichen Beitrags, in dem er bei Bedarf Unterstützung anbietet und feststellt, dass „ein echter Virus auf einem Mac schon etwas ganz Besonderes wäre“.
Downloads
Malwarebytes hat beide Links untersucht und festgestellt, dass die Malware auf einer Website gehostet wird, die einem Reinigungsunternehmen aus Dubai gehört. Es wurde festgestellt, dass die Website die PHP-Version 7,3,33 verwendet, die, wie Malwarebytes feststellt, bereits im Jahr 2021 das Ende ihrer Lebensdauer erreicht hat und somit anfällig für Angriffe ist.
Malware mit doppeltem Reißverschluss
Sowohl AMOS als auch Lumma waren doppelt verschlüsselt, wobei für den zweiten Reißverschluss ein Passwort erforderlich ist. Dies sollte bei einigen Opfern Alarmglocken läuten lassen, da legitime Software-Downloads häufig nicht doppelt gezippt sind.
Malwarebytes hat sich zudem den AMOS- -macOS-Stealer (öffnet in einem neuen Tab) genauer angesehen und festgestellt, dass die neueste Version Überprüfungen auf das Vorhandensein virtueller Maschinen enthält und sich bei einer Erkennung selbst beendet.
Die Windows-Malware wird über eine BAT-Datei geladen, die ein schädliches AutoIt-Skript ausführt. Der C2 -Server für diese Malware ist eine Domain, die erst kürzlich registriert wurde.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Urheber dieser Kampagne geht bei der Social-Engineering-Methode „ “ (öffnet in einem neuen Tab) noch einen Schritt weiter als viele Kampagnen mit geknackter Software, indem er einen Kommentar einfügt, der jeglichen Verdacht des Opfers zerstreuen soll.
Der Kommentar versucht nicht nur zu erklären, warum das Gerät beim Herunterladen der Software möglicherweise Warnmeldungen ausgibt, sondern bietet auch direkte Unterstützung, falls Sie Probleme bei der Ausführung haben sollten. Dieser Kommentar könnte ausreichen, um im Vergleich zu Kampagnen ohne das Angebot von „Tipps“ mehr Opfer zu täuschen.
Bei fast 41 % der Benutzeranmeldungen wurden kompromittierte Passwörter verwendet
Laut dem aktuellen Telemetrie- us von Cloudflare (wird in einem neuen Tab geöffnet) werden bei 41 % der erfolgreichen Anmeldungen kompromittierte Passwörter verwendet.
Dies ist größtenteils auf die Wiederverwendung von Passwörtern zurückzuführen, da viele Nutzer dasselbe Passwort für mehrere Konten verwenden, was „einen Kettenreaktionseffekt bei Risiken auslöst, wenn ihre Zugangsdaten offengelegt werden“.
Umfang der Analyse
Cloudflare hat den Anmeldeverkehr von Websites, die durch Cloudflare geschützt sind, im Zeitraum September–November 2024 analysiert.
Bei Websites, die durch Cloudflare geschützt sind, werden eingegebene Passwörter gehasht und mit einer Datenbank bekannter, durch Datenlecks offengelegter oder kompromittierter Zugangsdaten abgeglichen. Wenn Cloudflare von „durchgesickerten Anmeldedaten“ spricht, sind damit „Benutzernamen und Passwörter gemeint, die bei bekannten Datenlecks oder in Anmeldedaten-Dumps offengelegt wurden“.
41 % der Anmeldungen sind gefährdet
Die erste Herausforderung für Cloudflare bestand darin, zwischen legitimen Anmeldungen und solchen zu unterscheiden, die von böswilligen Akteuren stammten.
Dazu musste es menschliches Verhalten verstehen und sich dabei auf erfolgreiche Anmeldeversuche konzentrieren. Aus diesen Daten ging hervor, dass bei rund 41 % der erfolgreichen Authentifizierungsversuche durch Menschen gestohlene Zugangsdaten verwendet wurden. Cloudflare erweiterte daraufhin seine Analyse auf den von Menschen und Bots generierten Datenverkehr und erhöhte den Anteil der Daten, die durchgesickerte Passwörter enthielten, von 41 % auf 52 %.
Verwendung von durchgesickerten Passwörtern
Cloudflare stellte fest, dass 95 % der Anmeldeversuche bei Credential-Stuffing-Angriffen, bei denen durchgesickerte Passwörter zum Einsatz kamen, von Bots stammten.
Bots nutzen insbesondere gestohlene Zugangsdaten aus und können Websites in großem Umfang ins Visier nehmen. Häufig nutzt ein Bot nach dem erfolgreichen Einbruch in ein einzelnes Konto diese Zugangsdaten für mehrere andere Dienste, was erneut das Risiko der Wiederverwendung von Passwörtern verdeutlicht.
Brute-Force-Angriffe auf WordPress
Cloudflare untersuchte gezielt Brute-Force-Angriffe auf WordPress-Websites, die häufig Ziel solcher Angriffe sind. Es wurde festgestellt, dass 76 % der Anmeldeversuche mit durchgesickerten Passwörtern bei WordPress-Websites erfolgreich waren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Obwohl sich die Analyse von Cloudflare auf Websites beschränkt, die dessen Dienste nutzen (etwa 20 % aller Websites), spiegeln diese Ergebnisse wahrscheinlich Trends im gesamten Internet wider.
Dies verdeutlicht eine wichtige Tatsache: Das Risiko, dass Zugangsdaten in die falschen Hände geraten, ist erheblich, und die Wiederverwendung von Passwörtern verstärkt dieses Risiko noch. Das regelmäßige Ändern von Passwörtern, insbesondere nach einem Sicherheitsvorfall, ist sinnvoll, doch die Multi-Faktor-Authentifizierung (MFA) (öffnet in einem neuen Tab) sowie die Erkennung offengelegter Anmeldedaten sind, wie von Cloudflare empfohlen, unerlässlich für eine verbesserte Echtzeitüberwachung.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter (wird in einem neuen Tab geöffnet),und .
