Diese Woche befasst sich CTI mit „Vortax“ – einer kürzlich identifizierten, selbsternannten Software für virtuelle Besprechungen, die Infostealer verbreitet. Als Nächstes untersucht CTI eine Kampagne, bei der Malware über gefälschte Fehlermeldungen von Chrome, Word und OneDrive verbreitet wird. CTI wraps up with an overview of DISGOMOJI, a Linux malware that uses Discord for its C2 and leverages emojis to execute commands on infected devices.
1. Vortax verbreitet Infostealer-Malware
Recorded Future hat eine virtuelle Konferenzsoftware namens Vortax identifiziert, die bei der Installation drei Infostealer verbreitet. Die groß angelegte Kampagne wird von einem Angreifer namens „markopolo“ durchgeführt und verbreitet die Schadprogramme Rhadamanthys, Stealc und den Atomic macOS Stealer (AMOS).
AMOS ist in freier Wildbahn nur selten zu sehen, was diese Kampagne zu etwas Besonderem macht. Recorded Future’s investigation into the Vortax application led them to the discovery of 23 other malicious macOS applications that all use the same C2 infrastructure.
Was ist Vortax?
Vortax ist eine selbsternannte Software für virtuelle Besprechungen, die als „plattformübergreifende und browserbasierte, auf Unternehmen ausgerichtete Alternative“ beworben wird. Das Unternehmen gibt an, künstliche Intelligenz zu nutzen, um Sitzungszusammenfassungen zu erstellen und Fragen vorzuschlagen.
- Vortax wird derzeit von allen großen Suchmaschinen indexiert, ist in den sozialen Medien aktiv und unterhält einen Blog auf Medium.
- Die Software gibt zudem an, über einen physischen Standort in Toronto zu verfügen, doch die angegebene Adresse ist die eines Mehrfamilienhauses.
- Auf den ersten Blick scheint Vortax ein seriöses Softwareunternehmen zu sein, insbesondere angesichts der Behauptung, Auszeichnungen von Forbes erhalten und Empfehlungen von namhaften Unternehmen wie Uber erhalten zu haben. Eine Untersuchung der Software ergab keine Hinweise, die diese Behauptungen stützen würden.
- Die offiziellen Websites sind voller grammatikalischer Fehler.
Vortax-Marketing
Wie bereits erwähnt, vermarktet sich Vortax in den sozialen Medien und auf seinen eigenen Websites. Das Unternehmen gibt an, über Anwendungen für Windows, Linux, macOS, iOS und Android zu verfügen.
Um die Software herunterzuladen, benötigen Nutzer eine „Raum-ID“, die sie über eine Einladung zu einer Besprechung erhalten müssen. Diese IDs werden in der Regel auf vier verschiedene Arten verbreitet, darunter Direktnachrichten, die über Social-Media-Konten versendet werden, Antworten an das Vortax-Konto in den sozialen Medien, Beiträge in Telegram-Kanälen zum Thema Kryptowährungen sowie Beiträge in Discord-Kanälen zum Thema Kryptowährungen.
Vortax herunterladen
Wenn ein Benutzer die Raum-ID auf einer Vortax-Website eingibt, wird er unter Windows auf eine Dropbox-Seite und unter macOS auf eine externe Website weitergeleitet. In jedem Fall wird das Vortax-Installationsprogramm heruntergeladen.
Das Installationsprogramm installiert bei Windows-Nutzern die Malware „Rhadamanthys“ und „ “ (Stealc) sowie bei macOS-Nutzern die Malware „AMOS“. Die App zeigt dem Nutzer zudem ein Popup-Fenster an, in dem behauptet wird, dass ein „kritischer Fehler“ aufgetreten sei und die App nicht ausgeführt werden könne. Unterdessen laufen im Hintergrund mehrere schädliche Prozesse.
Überlappungen bösartiger Netzwerke
Recorded Future hat Domains, die auf derselben IP-Adresse gehostet werden, genauer unter die Lupe genommen und dabei weitere Domains entdeckt, auf denen bösartige Anwendungen gehostet werden, die ebenfalls AMOS verbreiten.
Weitere Untersuchungen zu diesen Anwendungen brachten ähnliche Betrugsmaschen wie bei Vortax ans Licht, was zu der Annahme führte, dass markopolo mehrere Betrugsmaschen betreibt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne ist eine Abwandlung der Kampagnen für geknackte Software, die es bereits seit geraumer Zeit gibt. Anstatt legitime und bekannte Software zu imitieren, entwickelt dieser Akteur eigene Software und hofft, dass Nutzer daran interessiert sind, diese zu installieren. Die falschen Behauptungen des Schauspielers könnten Nutzer leicht zu der Annahme verleiten, dass Vortax seriös sei. Jede weitere Untersuchung würde jedoch wahrscheinlich eine gewisse Skepsis hervorrufen.
Wie dieses Beispiel zeigt, ist es wichtig, dass Mitarbeiter ausschließlich genehmigte Software installieren. Und wenn es um private Software geht, müssen Endnutzer verstehen, was sie installieren, und sich die Zeit nehmen, sich zu informieren und die Legitimität zu überprüfen.
Recorded Future weist darauf hin, dass die im Rahmen dieser Kampagne verbreitete Malware namens AMOS in der Praxis nur selten zum Einsatz kommt. Diese Maßnahme macht zudem deutlich, wie schwierig es ist, solche Infostealer-Kampagnen nachzuverfolgen.
2. Malware-Kampagne verbreitet gefälschte Fehlermeldungen
Im Rahmen einer neuen Kampagne wird Malware über gefälschte Fehlermeldungen von Google Chrome, Microsoft Word und OneDrive unter dem Vorwand von „ “ verbreitet. Jede Fehlermeldung zielt darauf ab, Nutzer dazu zu verleiten, ein bösartiges Skript auszuführen, das Malware auf ihrem Computer installiert.
Aktivitäten von ClearFake
Proofpoint hat diese Technik erstmals in „ April 2024 “ entdeckt und seitdem in jeder „“-ClearFake-Kampagne festgestellt. Zum Hintergrund: ClearFake ist ein Aktivitätscluster, der in der Regel gefälschte Browser-Updates nutzt, um Websites zu kompromittieren. Bei diesen Kampagnen lädt die Website, sobald ein Nutzer eine dieser kompromittierten Seiten aufruft, über EtherHiding ein bösartiges Skript, das wiederum ein sekundäres Skript ausführt. Bleibt der Nutzer auf der Website, wird ihm eine gefälschte Warnmeldung angezeigt, in der er aufgefordert wird, ein Stammzertifikat zu installieren, um die Website fehlerfrei anzeigen zu können.
Die Meldung, die dem Benutzer angezeigt wird, weist ihn an, ein Skript auf seinem Rechner manuell auszuführen. Dieses Skript leert den DNS-Cache, löscht den Inhalt der Zwischenablage und lädt ein PowerShell-Skript herunter, um es im Arbeitsspeicher auszuführen.
Das zweite Skript lädt ein drittes Skript herunter, das prüft, ob es in einer virtuellen Umgebung ausgeführt wird. Sofern sich das Programm nicht in einer virtuellen Umgebung befindet, lädt es eine ZIP-Datei herunter, führt deren Inhalt aus und teilt ClearFake C2 mit, dass die Installation erfolgreich war. Im Rahmen dieses Vorgangs wird eine mit einem Trojaner infizierte DLL seitlich geladen, um die Malware „Lumma Stealer“ zu starten, die ihre Diebstahlaktivitäten ausführt und zusätzliche Payloads herunterlädt.
ClickFix-Aktivität
Im April identifizierte Proofpoint mehrere kompromittierte Websites, die zu einem Iframe führten. Der Iframe wird den Nutzern als Meldung angezeigt, dass ein Fehler aufgetreten ist und dass der Browser aktualisiert werden muss, damit das Problem behoben werden kann. Diese Aktivität wurde „ClickFix“ genannt.
Auch hier versucht die dem Nutzer angezeigte Meldung, ihn dazu zu verleiten, ein bösartiges Skript zu kopieren und einzufügen. In diesem Fall würde dies zur Installation von Vidar Stealer führen. Einige Tage nach dieser ersten Entdeckung stellten die Forscher fest, dass der Inhalt des iframe durch den zuvor erwähnten ClearFake-Inject ersetzt worden war.
Aktivität TA571
Ein Akteur mit der Kennung TA571 wendet diese Technik bereits seit mindestens dem 1. März 2024 an. Im Rahmen dieser Kampagne wurden über 100 000 E-Mails versendet. Die E-Mails enthalten einen HTML-Anhang, der wie ein Microsoft Word-Dokument aussieht. Beim Öffnen wird dem Benutzer eine Fehlermeldung angezeigt, dass die Erweiterung „Word Online“ nicht installiert ist, und es werden ihm Optionen zur Behebung des Problems angeboten.
Wählt der Benutzer die Option „So beheben“ aus, wird ein PowerShell-Skript in die Zwischenablage kopiert, und die Meldung wechselt zu einer Anleitung, wie dieses Skript manuell ausgeführt werden kann. Wählt der Benutzer die Option „Automatisch korrigieren“ aus, wird der Windows Explorer geöffnet, und dem Benutzer wird eine auf einem WebDAV-Server gehostete Datei angezeigt.
Dieser Akteur wendet diese Technik bereits seit einigen Monaten an und wechselt dabei die visuellen Köder ab. In einigen Fällen verwendete der Angreifer einen HTML-Anhang, der wie ein auf OneDrive gehostetes Dokument aussah und eine andere gefälschte Fehlermeldung enthielt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist nicht das erste Mal, dass wir beobachten, wie ein Angreifer eine Technik einsetzt, bei der er den Nutzer im Wesentlichen dazu auffordert, ein Skript zu kopieren und einzufügen, um dessen eigenen Rechner zu infizieren.
Diese Technik scheint zunehmend an Beliebtheit zu gewinnen und Cyberkriminellen dabei zu helfen, eine Vielzahl von Schadprogrammen zu verbreiten. Diese Beliebtheit ist durchaus nachvollziehbar, da der Angreifer nicht besonders erfahren oder raffiniert sein muss, sondern sich stattdessen darauf verlässt, dass das Opfer die Hauptarbeit übernimmt.
Sicherheitsteams sollten Endbenutzer schulen und darauf hinweisen, dass sie keine Skripte ausführen sollten, es sei denn, sie werden von einem legitimen IT-Helpdesk dazu aufgefordert.
3. Linux-Malware nutzt Emojis, um Befehle auszuführen
According to Volexity, a newly discovered Linux malware called DISGOMOJI uses Discord for its C2 and leverages emojis to execute commands on infected devices.
Diese Malware ist speziell für Linux-Systeme konzipiert und zielt auf Organisationen ab, von denen bekannt ist, dass sie Linux-Distributionen verwenden. Es wird vermutet, dass die Malware mit einem in Pakistan ansässigen Akteur in Verbindung steht, der unter den Bezeichnungen „ “ und „UTA0137“ erfasst wurde.
Die Analyse von Volexity begann mit einer in Golang geschriebenen ELF-Binärdatei, die in einer ZIP-Datei bereitgestellt wurde. Die ausführbare Datei beginnt damit, eine harmlose PDF-Datei als Köder herunterzuladen, damit das Opfer etwas zum Ansehen hat, das auf den ersten Blick legitim erscheint.
Im Hintergrund lädt die Malware eine Instanz von DISGOMOJI, der Payload der nächsten Stufe, von einem Remote-Server herunter. Diese Nutzlast wird in einem versteckten Ordner abgelegt und erstellt einen eigenen Kanal auf dem Discord-Server, sodass jedes Opfer über einen eigenen Kanal verfügt. Das Programm wird Informationen über das Opfer sammeln und an den Kanal senden sowie die Persistenz über Cron aufrechterhalten.
Diese Malware führt zudem ein Skript aus, das nach angeschlossenen USB-Geräten sucht und Dateien von diesen Geräten kopiert.
In den erstellten Kanälen werden Emojis versendet, um Befehle an die Malware zu übermitteln. Daraufhin wird ein Uhr-Emoji gesendet, um zu bestätigen, dass der Befehl bearbeitet wird, und ein Häkchen-Emoji, sobald der Vorgang abgeschlossen ist.
Verhalten nach einer Infektion
Nach der Verbreitung der DISGOMOJI-Malware führt UTA0137 verschiedene Aktivitäten nach der Infektion durch. Der Angreifer nutzt Nmap zum Scannen des Netzwerks, Chisel und Ligolo für die Einrichtung von Netzwerktunneln sowie den Dateifreigabedienst oshi[.]at, um weitere Tools bereitzustellen.
In mehr als einem Fall gab der Angreifer Befehle ein, die ein Dialogfeld für den Benutzer öffneten, das vorgab, es handele sich um ein Firefox-Update, und in dem das Passwort des Benutzers zur Fortsetzung der Aktion abgefragt wurde. Im Rahmen einer kürzlich durchgeführten Kampagne nutzte dieser Akteur „ CVE-2922-0847“, einen Exploit zur Ausweitung von Berechtigungen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Da es sich hierbei nicht um eine gängige Angriffsmethode handelt, könnte dies eine Herausforderung für Sicherheitssoftware darstellen, die ausschließlich auf stringbasierte Erkennungsmechanismen setzt.
Derzeit richtet sich diese Aktivität gegen indische Regierungsstellen und scheint noch nicht weit verbreitet zu sein. Angesichts der zunehmenden Angriffe auf Linux-Geräte und der neuartigen Emoji-Technik könnte sich der Schadensumfang ausweiten, sollten weitere Akteure die Erfolgsquote dieser Methode für sich nutzen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
