In unserem aktuellen Informationsüberblick untersucht CTI die jüngste Welle von Cyberkriminalität, die darauf abzielt, die beliebte ChatGPT-Anwendung von OpenAI zu monetarisieren. Die beobachteten böswilligen Aktivitäten reichen von der Verbreitung von Windows- und Android-Malware bis hin zu Phishing und betrügerischen Zahlungsseiten. Anschließend untersucht CTI eine weitere Bedrohung für ein Open-Source-Software-Repository in Form einer Kampagne, bei der Angreifer Automatisierungstechniken nutzen, um innerhalb weniger Stunden Tausende von Spam-Paketen zu generieren. Abschließend analysiert CTI einen neuen Informationsdieb namens „Stealc“, der kürzlich im Dark Web zum Verkauf angeboten wurde und von seinen Entwicklern als voll ausgestatteter, einsatzbereiter Informationsdieb beschrieben wird.
1. Hacker nutzen gefälschte ChatGPT-Apps, um Malware für Windows und Android zu verbreiten
Angreifer haben damit begonnen, , den ChatGPT-Chatbot von OpenAI (wird in einem neuen Tab geöffnet) , zu missbrauchen, um Malware für Windows und Android zu verbreiten. Zudem nutzen sie gefälschte Social-Media-Seiten zu dieser vielbeachteten Technologie, um Opfer auf Phishing-Seiten umzuleiten.
ChatGPT: Eine Auffrischung
ChatGPT wurde im November 2022 eingeführt und hat seitdem enorm an Beliebtheit gewonnen; es hat sich zu dem entwickelt, was BleepingComputer als die am schnellsten wachsende Verbraucheranwendung der jüngeren Geschichte bezeichnet, mit mehr als 100 Millionen Nutzern (Stand: Januar 2023). ChatGPT wurde von OpenAI, einem Forschungs- und Entwicklungsunternehmen im Bereich der künstlichen Intelligenz (KI), entwickelt und veröffentlicht und ist ein Chatbot, der auf einem äußerst effektiven Modell des maschinellen Lernens basiert.
Nahezu unmittelbar nach der öffentlichen Einführung tauchten erste Berichte auf, in denen Fälle beschrieben wurden, in denen ChatGPT von Cyberkriminellen für böswillige Zwecke missbraucht wurde. Sicherheitsforscher berichteten über böswillige Aktivitäten, bei denen ChatGPT dazu genutzt wurde, Malware und Verschlüsselungstools zu erstellen, betrügerische Handlungen zu erleichtern, überzeugende Phishing-E-Mails vom Typ „ “ zu verfassen und vieles mehr.
OpenAI seinerseits schien solche Aktivitäten bereits vorausgesehen zu haben. Ein Blogbeitrag von „ 20. Februar 2018“ auf der Website von OpenAI mit dem Titel „: Vorbereitung auf den missbräuchlichen Einsatz von KI (wird in einem neuen Tab geöffnet)“ beschreibt eine Forschungsarbeit, an deren Erstellung das Unternehmen mitgewirkt hat:
Wir haben gemeinsam einen Artikel verfasst, der prognostiziert, wie böswillige Akteure KI-Technologie missbrauchen könnten, und mögliche Wege aufzeigt, wie wir diese Bedrohungen verhindern und abmildern können... Künstliche Intelligenz stellt eine Herausforderung für die globale Sicherheit dar, da sie die Kosten für die Durchführung vieler bestehender Angriffe senkt, neue Bedrohungen und Schwachstellen schafft und die Zuordnung bestimmter Angriffe weiter erschwert.
Das beispiellose Wachstum von ChatGPT veranlasste OpenAI schließlich dazu, die Nutzung des Tools zu drosseln und eine Abonnementstufe für 20 US-Dollar pro Monat einzuführen – für Nutzer, die den Chatbot ohne Verfügbarkeitsprobleme nutzen möchten.
Die ständige Erreichbarkeit bringt neue Probleme mit sich
Diese neue Einschränkung des uneingeschränkten Zugangs zu ChatGPT führte zu einer unerwarteten Situation – sie schuf ideale Voraussetzungen für Angreifer, die die Beliebtheit des Tools ausnutzen wollten, indem sie ihren Opfern (fälschlicherweise) einen ununterbrochenen und kostenlosen Zugang zur neu geschaffenen Premium-Stufe von ChatGPT versprachen.
Diese Angebote zielen letztendlich darauf ab, Malware an ahnungslose Opfer zu verbreiten oder diese dazu zu bewegen, den Angreifern ihre Zugangsdaten mitzuteilen.
Zu den Ersten, die ein Beispiel für diese Vorgehensweise entdeckten, gehörte der Sicherheitsforscher Dominic Alvieri, der feststellte, dass die Domain „chat-gpt-pc.online“ dazu genutzt wurde, Besucher mit der Malware „Redline“ zu infizieren, die Daten stiehlt und sich als Download für einen ChatGPT-Desktop-Client für Windows tarnt. Diese Website wurde über eine Facebook-Seite beworben, die mit offiziellen ChatGPT-Logos übersät war, um Nutzer dazu zu verleiten, sich auf die betrügerische Website weiterleiten zu lassen. Ähnliche Werbeaktionen wurden bei Google Play und in Android-App-Stores von Drittanbietern beobachtet, über die jeweils Schadsoftware verbreitet wurde.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Mit zunehmender Bekanntheit des Chatbots steigt auch die Zahl der Angreifer, die versuchen, die Anwendung zu nutzen, um Malware- und Phishing-Angriffe zu starten.“ Auch die Zahl der Beiträge auf Schwarzmärkten, in denen ChatGPT-Schnittstellen zum Verkauf angeboten werden, die darauf ausgelegt sind, unerfahrenen Hackern dabei zu helfen, überzeugende Phishing-Kampagnen zu starten oder ihre Malware zu verbessern, ist als Reaktion auf den Erfolg von ChatGPT ebenfalls exponentiell gestiegen. „Dies trägt lediglich dazu bei, die Eintrittsbarriere für weniger versierte Hacker, die versuchen, in die Welt der Cyberkriminalität einzusteigen, weiter zu senken.“
2. Angreifer überschwemmen das NPM-Repository mit über 15 000 Spam-Paketen, die Phishing-Links enthalten
Forscher von Checkmarx stellten fest, dass innerhalb weniger Stunden Tausende von Spam-Paketen mit dem Namen „ “ von mehreren Benutzerkonten aus in das Open-Source-Repository „NPM“ unter (wird in einem neuen Tab geöffnet) hochgeladen wurden.
Die Untersuchung ergab, dass die Pakete mithilfe automatisierter Prozesse erstellt wurden. Die Pakete enthalten denselben Automatisierungscode, der zu ihrer Erstellung verwendet wurde; die Forscher gehen davon aus, dass dieser vom Angreifer versehentlich hochgeladen wurde.
Über die Entdeckung
Checkmarx hat beim Abgleich neuer Informationen mit seinen Datenbanken eine Anomalie im NPM-Ökosystem auf 20. Februar 2023 festgestellt. Den Forschern fiel auf, dass große Mengen neuer Pakete auf NPM veröffentlicht worden waren. Es stellte sich heraus, dass diese Pakete Teil eines weit verbreiteten Angriffsvektors waren, bei dem Angreifer Open-Source-Repositorys mit Paketen überschwemmen, die Links zu Phishing-Kampagnen enthalten. Automatisierte Prozesse scheinen über 15 000 Pakete in NPM und zugehörigen Konten erstellt zu haben.
Phishing-Websites
Zur Bewerbung der Phishing-Kampagne „ “ () verwendeten die Angreifer Pakete mit Namen, die sich auf Hacking, Cheats und kostenlose Ressourcen bezogen. Zu den Namen der Pakete gehören unter anderem „free-tiktok-followers“ und „free-xbox-codes“, um Nutzer mit dem Versprechen von Spiel-Cheats und mehr Followern dazu zu verleiten, auf die Phishing-Links zu klicken. Der Beschreibungsteil der Pakete enthielt Links zu verschiedenen Phishing-Websites.
Die Phishing-Kampagne war mit mehreren eindeutigen URLs über verschiedene Domains hinweg verknüpft, wobei jede Domain mehrere Phishing-Webseiten unter unterschiedlichen Pfaden hostete. Die Phishing-Seiten wirken recht überzeugend und enthalten in einigen Fällen sogar gefälschte interaktive Chat-Funktionen, die auf Nachrichten antworten, wenn das Opfer sich zur Interaktion entschließt.
Die Phishing-Seiten enthalten einen vorgetäuschten Ablauf, der vorgibt, Daten zu verarbeiten und das versprochene Geschenk zu generieren. Dieser Vorgang schlug in den meisten Fällen fehl, woraufhin das Opfer aufgefordert wurde, eine Reihe von Schritten zur manuellen Verifizierung durchzuführen. Dabei wurden die Nutzer von einer Website zur nächsten weitergeleitet und gebeten, verschiedene Fragen zu beantworten und an Umfragen teilzunehmen. In vielen Fällen wird der Nutzer auf eine seriöse E-Commerce-Website weitergeleitet.
Empfehlungsprämien für den Angreifer
Forscher entdeckten ähnliche Python-Skripte mit vergleichbaren Funktionen, die offenbar für die automatische Erstellung und Veröffentlichung der Spam-Pakete verantwortlich sind.
Außerdem fanden sie weitere „helper.txt“-Dateien, die offenbar Teil der Automatisierung sind. Eine besonders erwähnenswerte Datei ist ein Python-Skript innerhalb der Pakete, das alle Schritte der Paketveröffentlichung umfasst.
Es scheint, als habe der Angreifer entweder mehrere nachrichtenähnliche Websites erstellt oder Zugriff darauf gehabt, auf denen er Inhalte veröffentlichen konnte. Die letzte Aufgabe im Python-Skript besteht darin, Links zu nicht themenbezogenen Beiträgen auf diesen nachrichtenähnlichen Websites anzuhängen. Diese Links führen zu den Webseiten der Pakete, die der Angreifer auf der NPM-Website veröffentlicht hat. Zu diesem Zweck nutzt der Angreifer das Python-Paket „Selenium“, um mit diesen WordPress-Websites zu interagieren. Sie müssen sich zunächst als Redakteur anmelden, bevor sie die Paket-Links veröffentlichen können.
Die Forscher gehen davon aus, dass das Hochladen dieser Skripte nicht beabsichtigt war. Das Hauptargument für diese Annahme ist die Tatsache, dass die Skripte die Anmeldedaten enthalten, die zur Authentifizierung bei der WordPress-Website verwendet werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Diese Geschichte verdeutlicht, wie schnell Angreifer ihre Vorgehensweise anpassen können, um mit den neuesten lukrativen Angriffsmodellen Schritt zu halten. Viele der bisherigen Angriffe, bei denen schädliche Pakete in Open-Source-Repositorys entdeckt wurden, scheinen von geringerem Ausmaß zu sein, was möglicherweise auf eine eher manuelle Verbreitungsmethode hindeutet. „Im Rahmen dieser Kampagne hat der Angreifer dies auf die nächste Stufe gehoben und Zeit und Mühe in die Automatisierung investiert, um innerhalb kurzer Zeit einen groß angelegten Angriff durchzuführen, von dem über 15 000 Pakete betroffen waren.“
3. Neue „Stealc“-Malware taucht mit einem breiten Spektrum an Funktionen zum Datendiebstahl auf
Ein kürzlich im Blog „ “ veröffentlichter Beitrag (wird in einem neuen Tab geöffnet) des Cybersicherheitsunternehmens SEKOIA.IO beschreibt detailliert die Identifizierung eines neuen Informationsdiebstahlprogramms namens „Stealc“.
Stealc wurde im Dark Web entdeckt und wird vom Angreifer als voll funktionsfähiger, einsatzbereiter Stealer präsentiert, der auf den Stealern Vidar, Raccoon, Mars und Redline basiert. Die Untersuchungen von SEKOIA.IO führten zur Entdeckung von mehreren Dutzend Stealc-Exemplaren, die in freier Wildbahn verbreitet waren, sowie von mehr als 40 Stealc-Befehls- und Kontrollservern.
Stealc im Dark Web
Der Informationsdieb „Stealc“ wurde erstmals in russischsprachigen Untergrundforen auf 9. Januar 2023 beworben. Der Angreifer, der dafür wirbt, tritt in diesen Foren unter dem Namen „Plymouth“ auf. Dieser Angreifer veröffentlichte eine ausführliche Beschreibung, in der er die neue Malware und deren vielfältige Funktionen zum Datendiebstahl detailliert darlegte. Nach dieser ersten Veröffentlichung setzte Plymouth die Werbung für „Stealc“ fort und versuchte, über weitere Kanäle ein größeres Publikum zu erreichen.
Um das Vertrauen potenzieller Kunden zu gewinnen, bot Plymouth den Nutzern von Cyberkriminalitätsforen „kostenlose“ Malware-Tests an. Plymouth benötigte einen Wert von 0,02 Eine Bitcoin-Einzahlung (die zu diesem Zeitpunkt etwa 400 US-Dollar entsprach) für einen wöchentlichen Test.
Plymouth veröffentlichte schließlich mehrere Versionen von Stealc und stellte die Änderungsprotokolle in verschiedenen Foren sowie auf einem eigens dafür eingerichteten Telegram-Kanal bereit. Die Chronologie der Veröffentlichungen von Plymouth zeigt, dass Stealc nach wie vor aktiv weiterentwickelt wird.
Angegebene Funktionen
Laut der Anzeige im Dark Web zielt Stealc auf sensible Daten ab, die in den meisten Webbrowser-Erweiterungen für Kryptowährungs-Wallets, in Desktop-Kryptowährungs-Wallets sowie in weiteren Anwendungen wie E-Mail- und Messenger-Programmen gespeichert sind. Die Konfiguration der Datenerfassung lässt sich offenbar anpassen, um die Malware auf die Bedürfnisse des Angreifers abzustimmen.
Stealc verfügt über einen anpassbaren Dateisammler, der es dem Angreifer ermöglicht, Dateien zu entwenden, die den Regeln des Dateisammlers entsprechen. Zudem verfügt es über Loader-Funktionen, wie sie für Informationsdiebe typisch sind, die als „Malware-as-a-Service“ (MaaS) verkauft werden. Stealc kann verschiedene Webbrowser angreifen, darunter Chrome, Opera und Firefox.
Über das Stealc-Verwaltungsportal können Angreifer die Konfiguration der Malware vornehmen, die gestohlenen Daten auswerten, anzeigen, filtern, sortieren und analysieren sowie die Protokolle herunterladen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es ist kein Wunder, dass Stealc ein Infostealer ist, der über ein beeindruckendes Spektrum an Funktionen verfügt.“ Schließlich befinden sich konkurrierende Malware-Entwickler in einem ständigen Wettstreit miteinander und wetteifern darum, wer am schnellsten den Stealer mit dem größten Funktionsumfang entwickeln kann. „Dies beinhaltet in der Regel die Entwicklung neuer Malware-Varianten auf der Grundlage von Code, der aus anderen hochkarätigen Malware-Familien kopiert wurde.“
„In diesem Zusammenhang weist der Entwickler von Stealc darauf hin, dass diese Malware auf einige namhafte Infostealer wie Raccoon und RedLine zurückgreift; die kontinuierliche Reihe von Updates, die seit dem Erscheinen von Stealc erst im vergangenen Monat auf die Malware angewendet wurden, zeugt vom Bestreben des Entwicklers, diese Malware auf Augenhöhe mit anderen konkurrierenden Infostealern – und zwar zügig – zu bringen.“
„SEKOIA.IO hat zudem mitgeteilt, dass seine eingehende technische Analyse von Stealc in Kürze veröffentlicht wird – weitere Informationen folgen.“
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
