Diese Woche untersucht CTI eine neue Remote Access Trojan (RAT)-Malware namens StilachiRAT. Als Nächstes untersucht CTI, wie Infostealer über Reddit-Posts verteilt werden. Zum Schluss schließt CTI mit einem Blick auf Cloudflare-Daten ab, was zeigt, dass 41 % der erfolgreichen Anmeldungen kompromittierte Passwörter verwenden.
Neue StilachiRAT-Malware ermöglicht Kryptodiebstahl und Aufklärung
Microsoft hat eine neue RAT-Malware namens StilachiRAT entdeckt (öffnet sich in einer neuen Registerkarte), die verschiedene Möglichkeiten zum Diebstahl von Browser-Anmeldedaten, digitalen Wallet-Daten, Zwischenablageinformationen und Systeminformationen bietet.
StilachiRAT verwendet zwar derzeit keine Zuordnung, aber ausgeklügelte Techniken, um Erkennung zu umgehen, Persistenz zu etablieren und Daten zu exfiltrieren.
Systemaufklärung
StilachiRAT führt eine grundlegende Aufklärung durch, um Informationen über ein Zielsystem zu sammeln. Er sammelt verschiedene Details, einschließlich BIOS-Seriennummern, Kamerapräsenz, Systeminformationen und mehr, hauptsächlich unter Verwendung der WMI-Abfragesprache.
Digitale Geldbörsen anvisieren
StilachiRAT zielt auf eine umfangreiche Liste von Kryptowährungs-Wallet-Erweiterungen im Chrome-Browser ab. Dazu greift er auf Einstellungen in einem bestimmten Registrierungsschlüssel zu und überprüft, ob bestimmte Erweiterungen installiert sind. Die vollständige Liste der gezielten Wallet-Erweiterungen finden Sie im Microsoft-Bericht (wird in einer neuen Registerkarte geöffnet).
Identitätsdiebstahl
Wie viele RATs ist auch StilachiRAT in der Lage, Berechtigungsdiebstahl (öffnet sich in einer neuen Registerkarte) zu ermöglichen. Microsoft beobachtete die Malware, die den „encryption_key“ von Chrome aus dem lokalen Zustand in einem Benutzerverzeichnis extrahierte.
Dieser Schlüssel wird während der Installation verschlüsselt und muss mit Windows APIs entschlüsselt werden. Dies ermöglicht es dem Akteur, auf gespeicherte Anmeldedaten im Passworttresor für die Extraktion zuzugreifen. Die Malware sammelt auch Informationen, einschließlich Softwareinstallationsaufzeichnungen und aktiver Anwendungen.
Persistenz
Microsoft berichtet, dass StilachiRAT als Windows-Dienst oder unabhängig als eigenständige Komponente betrieben werden kann. Ein Watchdog-Thread überwacht die Dateien, die von der Malware verwendet werden, um sicherzustellen, dass sie nicht gelöscht werden, und erstellt sie neu, wenn sie zu irgendeinem Zeitpunkt fehlen.
Remote Desktop Protocol (RDP)-Überwachung
StilachiRAT überwacht auch RDP-Sitzungen, um Benutzer zu imitieren, eine Technik, die erhebliche Risiken für Server darstellt, die administrative Sitzungen hosten.
Die Malware erfasst die aktuelle Sitzung, initiiert Vordergrundfenster und zählt alle RDP-Sitzungen auf. Für jede identifizierte Sitzung repliziert sie ihre Berechtigungen oder Sicherheitstoken, sodass sie Anwendungen starten kann.
Überwachung der Zwischenablage
Die Malware verfügt auch über eine Funktion, die es ihr ermöglicht, Zwischenablagedaten zu überwachen. Es liest regelmäßig die Zwischenablage und extrahiert den Text von Interesse für die Exfiltration. Um relevanten Text zu identifizieren, verwendet er regelmäßige Suchbegriffe für Dinge wie Passwörter, Schlüssel, PII usw.
Antiforensik
Wie die meisten Malware versucht auch StilachiRAT, seine Spuren zu verdecken und die Analyse zu erschweren. Die Lösung löscht Ereignisprotokolle, prüft bestimmte Systembedingungen auf Elemente wie Sandbox-Timer und verschleiert ihre API-Aufrufe.
Befehle
Für den Befehls- und Steuerungsserver (C2) sind zwei verschiedene Adressen konfiguriert: eine Adresse wird verschleiert, während die andere in ein Binärformat konvertiert wird. Die Malware verwendet TCP-Ports 53, 443 oder 16000 , um ihren Kommunikationskanal einzurichten. Sie kann dann verschiedene Befehle ausführen, um einen Systemneustart durchzuführen, Protokolle zu löschen, Anwendungen auszuführen, Fenster zu manipulieren und vieles mehr.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Derzeit gibt es nur wenige Informationen darüber, wie StilachiRAT auf Geräte übergeht. Allerdings kann RAT-Malware auf viele Arten bereitgestellt werden, und grundlegende Überwachung und Erkennung (öffnet sich in einer neuen Registerkarte) sind entscheidend, um diese gemeinsamen anfänglichen Zugriffsvektoren zu verhindern. Während die Malware noch nicht im großen Maßstab verteilt wird, machen ihre Funktionen es wert, überwacht zu werden.
Microsoft hat auch einige empfohlene Minderungsmaßnahmen (öffnet sich in einer neuen Registerkarte), Jagdanfragen und Defender-Warnungen mitgeteilt, die bei der Identifizierung von Aktivitäten im Zusammenhang mit dieser Bedrohung hilfreich sein können.
AMOS- und Lumma-Stealer verbreiten sich über Reddit-Posts
Laut Malwarebytes (öffnet sich in einer neuen Registerkarte) werden der macOS-Infostealer AMOS und der Windows-Stealer Lumma derzeit über Reddit-Posts verteilt. Die Lures in dieser Kampagne sind oft gesprungene Software.
Was beinhalten die Reddit-Posts?
Die Akteure hinter dieser Kampagne suchen speziell nach Subreddits, die von Kryptowährungshändlern häufig besucht werden, und erstellen Beiträge über den kostenlosen Zugriff auf ein beliebtes Handelstool namens TradingView.
Der Beitrag bietet lebenslangen Zugriff auf eine Premium-Version der Plattform. Was diesen Thread interessanter macht, ist ein Kommentar, der vom ursprünglichen Poster hinterlassen wird, das bei Bedarf Unterstützung bietet und angibt, dass „ein echter Virus auf einem Mac wild wäre“.
Downloads
Malwarebytes untersuchte beide Links und fand heraus, dass die Malware auf einer Website gehostet wird, die sich im Besitz eines Reinigungsunternehmens in Dubai befindet. Die Website wurde als PHP-Version 7,3,33 festgelegt, die Malwarebytes-Notizen im Jahr 2021 das Ende ihrer Lebensdauer erreichten und sie anfällig für Kompromisse machten.
Malwar mit Doppelreißverschluss
Sowohl AMOS als auch Lumma wurden doppelt gezippt, und der zweite Reißverschluss erfordert ein Passwort. Dies sollte für einige Opfer ein Warnsignal auslösen, da legitime Software-Downloads oft nicht doppelt gezippt werden.
Malwarebytes hat sich auch den AMOS macOS-Stealer näher angesehen (öffnet sich in einer neuen Registerkarte) und festgestellt, dass die neueste Version Überprüfungen auf das Vorhandensein virtueller Maschinen enthält und beendet, wenn sie erkannt werden.
Die Windows-Malware wird von einer Fledermausdatei geladen, die ein bösartiges AutoIt-Skript ausführt. Der C2 -Server für diese Malware ist eine Domain, die kürzlich registriert wurde.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Der Schauspieler hinter dieser Kampagne geht Social Engineering (öffnet sich in einer neuen Registerkarte) einen Schritt weiter als viele gesprungene Softwarekampagnen, indem er einen Kommentar einfügt, der versucht, jeden Verdacht des Opfers zu beruhigen.
Der Kommentar versucht nicht nur zu erklären, warum das Gerät beim Herunterladen der Software Warnungen auslösen kann, sondern bietet auch direkten Support, wenn Sie Probleme beim Ausführen haben. Dieser Kommentar kann gerade ausreichen, um mehr Opfer im Vergleich zu Kampagnen ohne das Angebot von „Tipps“ zu täuschen.
Fast 41 % der Benutzeranmeldungen verwendeten kompromittierte Passwörter
Laut der neuesten Telemetrie von Cloudflare (wird in einer neuen Registerkarte geöffnet) verwenden 41 % der erfolgreichen Anmeldungen kompromittierte Passwörter.
Dies ist größtenteils das Ergebnis der Passwortwiederverwendung, wobei viele Benutzer dasselbe Passwort für mehrere Konten verwenden und „eine Wellle-Effekt-Risikowirkung erzeugen, wenn ihre Zugangsdaten weitergegeben werden“.
Analyseumfang
Cloudflare analysierte den Anmeldeverkehr von Websites, die im September mit Cloudflare geschützt wurdenNovember 2024.
Für Websites, die mit Cloudflare geschützt sind, werden eingegebene Kennwörter gehasht und mit einer Datenbank bekannter ungeschützter/kompromittierter Anmeldedaten verglichen. Wenn Cloudflare ungeschützte Anmeldedaten angibt, bezieht sich dies auf „Benutzernamen und Passwörter, die bei bekannten Datenschutzverletzungen oder Anmeldedaten-Dumps offengelegt wurden“.
41 % der Anmeldungen gefährdet
Die erste Herausforderung von Cloudflare bestand darin, zwischen legitimen Anmeldungen und Anmeldungen von bösartigen Akteuren zu unterscheiden.
Dazu musste sie menschliches Verhalten verstehen und sich auf erfolgreiche Anmeldeversuche konzentrieren. Aus diesen Daten wurde festgestellt, dass etwa 41 % der erfolgreichen Versuche der menschlichen Authentifizierung geleckte Anmeldedaten verwendeten. Cloudflare erweiterte dann seine Analyse auf menschlichen und bot-gesteuerten Datenverkehr und erhöhte diesen von 41 % auf 52 %, der undichte Passwörter enthielt.
Verwenden von Passwortlecks
Cloudflare stellte fest, dass 95 % der Anmeldeversuche während der Angriffe auf Anmeldedaten-Suffing, bei denen geleckte Passwörter verwendet werden, von Bots stammen.
Bots nutzen gestohlene Anmeldedaten gezielt aus und können Websites in großem Umfang anvisieren. Oft verwendet ein Bot nach erfolgreicher Verletzung eines einzigen Kontos diese Anmeldedaten für mehrere andere Dienste, was wiederum das Risiko der Passwortwiederverwendung hervorhebt.
Brute-Force-Angriffe auf WordPress
Cloudflare untersuchte gezielt Brute-Force-Angriffe auf WordPress-Websites, die häufige Ziele solcher Angriffe sind. Es wurde festgestellt, dass 76 % der Anmeldeversuche mit ausgebrannten Passwörtern für WordPress-Websites erfolgreich waren.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Obwohl die Analyse von Cloudflare auf Websites beschränkt ist, die seine Dienste nutzen (ungefähr 20 % aller Websites), werden diese Ergebnisse wahrscheinlich Trends im gesamten Internet widerspiegeln.
Dies weist auf eine wichtige Tatsache hin: Das Risiko von ungeschützten Zugangsdaten ist signifikant, und die Wiederverwendung von Passwörtern verschlimmert dieses Risiko. Häufiges Ändern von Passwörtern, insbesondere nach einer Verletzung, ist vorteilhaft, aber Multifaktorauthentifizierung (MFA) (öffnet sich in einer neuen Registerkarte) und Erkennung von undichten Anmeldedaten sind, wie Cloudflare empfiehlt, unerlässlich für die Verbesserung der Echtzeitüberwachung.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium (öffnet sich in einer neuen Registerkarte), um eine Konversation zu beginnen.
Für weitere Lektüre können Sie unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen nachholen (öffnet sich in einer neuen Registerkarte).
