In dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium, wie Cyberkriminelle gefälschte Websites erstellen, die seriöse KI-Dienste imitieren, um Malware zu verbreiten. Der Überblick enthält zudem aktuelle Informationen zu „ APT41“, einem äußerst raffinierten, vom chinesischen Staat unterstützten Akteur. Abschließend untersucht unser CTI-Team einen neuen, mit Russland in Verbindung stehenden Bedrohungsakteur namens „Void Blizzard“.
UNC6032 erstellt gefälschte Websites zum Thema KI
Laut Mandiant (wird in einem neuen Tab geöffnet) erstellen Cyberkriminelle mittlerweile gefälschte KI-Websites und nutzen diese, um Malware über irreführende Anzeigen zu verbreiten.
Diese Kampagne, die der Gruppe „ UNC6032“ zugeschrieben wird, richtet sich an Nutzer weltweit und verdeutlicht den zunehmenden Trend, dass Angreifer neue Technologien für den groß angelegten Diebstahl von Zugangsdaten und zur Überwachung missbrauchen.
Inwiefern nutzen Angreifer KI und soziale Medien, um Malware zu verbreiten?
Wie Mandiant erläutert, haben es die Angreifer schnell erkannt, die rasant steigende Beliebtheit der KI auszunutzen. Dies hat dazu geführt, dass Kampagnen von Websites ausgehen, die sich als beliebte KI-Tools ausgeben und über Facebook- und LinkedIn-Anzeigen beworben werden.
Mandiant hat über 30 Websites identifiziert, auf denen in Tausenden von Anzeigen ähnliche Inhalte angezeigt werden. Der Akteur scheint die in den Anzeigen genannten Domains ständig zu wechseln, um einer Entdeckung zu entgehen; die meisten davon sind nur von kurzer Dauer, und täglich werden neue erstellt.
Was passiert, wenn Sie auf eine gefälschte KI-Anzeige klicken?
Im Rahmen dieser Kampagne gab sich die Facebook-Anzeige als ein bekanntes KI-Tool zur Umwandlung von Text in Video namens „Luma AI“ aus. Die Anzeige leitet die Opfer auf eine vom Angreifer erstellte Website weiter, auf der sie auf die Schaltfläche „Jetzt kostenlos starten“ klicken und verschiedene gewünschte Funktionen auswählen können.
- Wenn das Opfer auf die Schaltfläche klickt, um den Inhalt zu generieren, wird ein Ladebalken angezeigt, der den Eindruck vermittelt, dass das KI-Modell die Anfrage gerade bearbeitet.
- Nach einigen Sekunden erhalten sie ein Video zum Herunterladen. Dadurch wird eine ZIP-Datei auf das Gerät heruntergeladen.
- Die heruntergeladene ZIP-Datei enthält eine ausführbare Datei mit doppelter Dateiendung, die sich als .mp4 -Datei tarnt, tatsächlich jedoch eine .exe-Datei ist.
[Lesen Sie auch: Was ist agentische KI? Was Sie über diese neue Art von KI wissen sollten]
Was ist der STARKVEIL-Tropfer?
Die ausführbare Datei, die von Mandiant als „STARKVEIL“ erfasst wird, ist eine in Rust geschriebene Dropper-Malware. Es entpackt das eingebettete Archiv und dessen Malware-Komponenten, die später im Verlauf der Infektion dazu verwendet werden, bösartigen Code in legitime Prozesse einzuschleusen.
Mandiant stellte fest, dass die ausführbare Datei zweimal ausgeführt werden muss, damit ein Angriff erfolgreich ist. Um dies zu erreichen, zeigt die Malware bei der ersten Ausführung ein Fehlerfenster an, wodurch die Nutzer möglicherweise dazu verleitet werden, einen erneuten Startversuch zu unternehmen.
Bei der zweiten Ausführung wird ein Python-Launcher gestartet, der einen Python-Befehl enthält. Es stellte sich heraus, dass es sich um den COILHATCH-Tropfer handelte. Weitere Informationen zu COILHATCH sowie technische Details zur Malware „STARKVEIL“ finden Sie im Bericht von Mandiant.
Wichtige ausführbare Dateien
Die Kampagne enthält drei ausführbare Dateien, darunter GRIMPULL, XWORM und FROSTRIFT:
- GRIMPULL is a downloader that uses anti-VM capabilities and Tor for its C2 communications.
- XWORM wird als Zweites ausgeführt und in einen legitimen Windows-Prozess injiziert. Es handelt sich hierbei um eine Backdoor, deren Funktionen durch Plugins erweitert werden können.
- FROSTRIFT wird in einen legitimen Windows-Prozess eingeschleust und sammelt Informationen über das System. Es empfängt Module vom C2 , die zum späteren Laden in den Speicher abgelegt werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne ist ein Paradebeispiel dafür, wie sich Angreifer rasch anpassen, um aktuelle Technologien auszunutzen. In diesem Fall dient der KI-Hype als perfekter Köder für „ “-Social-Engineering-Angriffe.
Darüber hinaus verdeutlicht der Missbrauch von Werbeplattformen wie Facebook und LinkedIn eine zunehmende Lücke bei der Erkennung von Bedrohungen. Derzeit wird auf der Grundlage legitimer Ökosysteme eine böswillige Infrastruktur aufgebaut.
Dies soll Ihnen verdeutlichen, dass die Überwachung von Malware-Nutzdaten allein nicht ausreicht. Der Identifizierung und Überwachung von Übertragungswegen muss ebenso große Aufmerksamkeit gewidmet werden.
APT41 nutzt Google Kalender für die Steuerung und Koordination
Der neueste Bericht der Google Threat Intelligence Group mit dem Titel „ “ (wird in einem neuen Tab geöffnet) befasst sich mit „ APT41“, einem vom chinesischen Staat unterstützten Angreifer, der kürzlich eine kompromittierte Regierungswebsite nutzte, um eine ausgeklügelte, dreistufige Malware namens „TOUGHPROGRESS“ zu verbreiten.
Bei dem Angriff wurden irreführende Dateistrukturen sowie Google Kalender für die Befehls- und Kontrollfunktionen genutzt. Google gelang es, die Kampagne zu vereiteln, indem es maßgeschneiderte Erkennungsmechanismen einsetzte und die Infrastruktur der Angreifer außer Betrieb setzte.
Wie hat APT41 gefälschte PDF-Dateien genutzt, um Malware zu verbreiten?
APT41 leitete den Angriff ein, indem es Spear-Phishing-E-Mails an die vorgesehenen Opfer versandte. Die E-Mails enthielten einen Link zu einem ZIP-Archiv, das auf einer gehackten Regierungswebsite gehostet wurde.
Das Archiv enthielt sieben JPG-Bilder und eine LNK-Datei, die als PDF-Datei getarnt war. Die Schadsoftware wurde über die .lnk-Datei ausgeführt; anschließend wurde die .lnk-Datei gelöscht und durch eine als Köder dienende .pdf-Datei ersetzt.
Die Infektionskette von Malware verstehen
Die Malware enthält drei Module, die jeweils eine eigene Funktion haben und nacheinander ausgeführt werden:
- PLUSDROP ist eine DLL, die dazu dient, die Daten zu entschlüsseln und die nächste Stufe des Angriffs auszuführen.
- PLUSINJECT führt die Prozessaushöhlung durch und injiziert die endgültige Nutzlast.
- TOUGHPROGRESS führt die eigentlichen Aktionen auf dem kompromittierten Gerät aus und missbraucht Google Kalender für die Befehls- und Kontrollfunktionen (C2).
Wie APT41 Google Kalender in einen C2 -Kanal verwandelte
Wie bereits erwähnt, nutzt TOUGHPROGRESS Google Kalender in missbräuchlicher Weise. Es kann mithilfe eines vom Angreifer kontrollierten Google-Kalenders Ereignisse lesen und schreiben. Bei der Ausführung wird ein Kalendertermin erstellt, der auf das festgelegte Datum „ 30. Mai 2023“ mit einer Uhrzeit von null Minuten gesetzt ist.
Die Meldung enthält Daten, die von dem kompromittierten Gerät erfasst und in der Meldungsbeschreibung aufgeführt wurden. Der Angreifer fügt zudem verschlüsselte Befehle in weitere Kalendertermine ein, deren Daten fest in der Malware hinterlegt sind.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
APT41’s : Die Nutzung von Google Kalender für Kommando- und Kontrollzwecke macht deutlich, dass Angreifer zunehmend legitime Cloud-Dienste nutzen, um böswillige Aktivitäten zu verschleiern.
Diese Taktik erschwert die Erkennung und unterstreicht die Notwendigkeit von Verhaltensanalysen, die über die herkömmliche, auf IOCs (abgekürzt von „“ – , d. h. „Indikatoren für Kompromittierung“;) basierende Erkennung hinausgehen, bei der Bedrohungen anhand bekannter Merkmale wie bösartiger IP-Adressen, Datei-Hashes oder Domainnamen identifiziert werden, die mit früheren Angriffen in Verbindung stehen.
Die dreistufige Architektur von TOUGHPROGRESS spiegelt einen zunehmenden Trend im modularen Malware-Design wider, der es Angreifern ermöglicht, ihre Payloads dynamisch anzupassen und statische Abwehrmaßnahmen zu umgehen. Diese Modularität erleichtert zudem die Wiederverwendung über verschiedene Kampagnen hinweg, was die Zuordnung und die Risikominderung komplexer macht.
„Void Blizzard“: eine neue Bedrohung für kritische Sektoren
Microsoft hat (wird in einem neuen Tab geöffnet) einen neuen, mit Russland in Verbindung stehenden Akteur namens „Void Blizzard“ identifiziert, der aktiv Cyberspionagekampagnen gegen kritische Sektoren durchführt. Die Gruppe nutzt gestohlene Zugangsdaten und Spear-Phishing-Taktiken, um in Netzwerke einzudringen und große Mengen sensibler Daten zu entwenden.
An welche Zielgruppe richtet sich „Void Blizzard“?
Es wurde beobachtet, dass „Void Blizzard“ Organisationen aus verschiedenen Branchen ins Visier nahm, darunter Kommunikation/Telekommunikation, Verteidigung, Gesundheitswesen, Bildungswesen, Behörden und öffentliche Dienste, Informationstechnologie, zwischenstaatliche Organisationen, Medien, Nichtregierungsorganisationen sowie den Verkehrssektor.
In den meisten Fällen zielt die Gruppe auf Regierungsorganisationen und Strafverfolgungsbehörden ab, insbesondere auf solche in NATO-Mitgliedstaaten.
Wie verschafft sich „Void Blizzard“ den ersten Zugang?
Die Gruppe nutzt für den Erstzugang in erster Linie einfache Techniken, darunter „Password Spraying“ und den Diebstahl von Zugangsdaten. Microsoft geht davon aus, dass die Gruppe sich über das Ökosystem der Cyberkriminellen Cookies und Anmeldedaten beschafft und diese anschließend nutzt, um auf Dienste wie Exchange und SharePoint Online zuzugreifen.
In dem Bericht „ April 2025“ hat Microsoft eine Spear-Phishing-Kampagne namens „Void Blizzard“ identifiziert, bei der die „Adversary-in-the-Middle“-Technik (AiTM) zum Einsatz kam. Diese Kampagne richtete sich an mehr als 20 Nichtregierungsorganisationen in den Vereinigten Staaten und Europa.
Die Phishing-E-Mails „ “ ( ) gaben vor, vom „European Defense and Security Summit“ zu stammen, und enthielten PDF-Dateien mit einer gefälschten Einladung zu der Veranstaltung. Die PDF-Datei enthielt einen QR-Code, der zu einer Typosquatting-Domain führte, die sich als Microsoft Online ausgab. Die Phishing-Seite ahmte das Microsoft Entra-Authentifizierungsportal sehr genau nach. Microsoft geht zudem davon aus, dass „Void Blizzard“ wahrscheinlich das „Evilginx“-Framework nutzt, um Kampagnen dieser Art durchzuführen.
Was geschieht nach dem erstmaligen Zugriff?
Sobald die Gruppe sich einen ersten Zugriff auf eine Umgebung verschafft hat, wird sie legitime Cloud-APIs, darunter Exchange Online und Microsoft Graph, missbrauchen. Dadurch sind sie in der Lage, die Postfächer der Zielpersonen sowie verschiedene in der Cloud gehostete Dateien zu erfassen.
Bei einigen Kampagnen griffen die Akteure zudem auf Microsoft-Teams-Unterhaltungen zu, insbesondere im Web-Client.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es kommt nicht oft vor, dass wir von einem neuen Angreifer oder einer neuen Gruppe hören. Void Blizzard mag zwar weniger ausgefeilte Techniken einsetzen, doch ihre Fähigkeit, Organisationen erfolgreich zu kompromittieren, macht deutlich, dass auch „einfachere“ Strategien nach wie vor eine echte Bedrohung darstellen können. Dennoch kann es von entscheidender Bedeutung sein, einige der grundlegenderen Taktiken, Techniken und Vorgehensweisen (TTPs) zu erkennen und zu kennen.
Wie üblich hat Microsoft unter Leitlinien zur Risikominderung und zum Schutz bereitgestellt: (wird in einem neuen Tab geöffnet) . Diese beziehen sich auf Identitäts- und Authentifizierungsfragen, E-Mail-Sicherheit sowie Maßnahmen nach einer Kompromittierung. Microsoft hat zudem verschiedene Defender-Erkennungen und Suchabfragen bereitgestellt, um das Aufspüren entsprechender Aktivitäten von „Void Blizzard“ zu erleichtern.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
