In der Zusammenfassung dieser Woche untersucht CTI eine Kampagne im Zusammenhang mit Microsoft Teams, über die die Malware „DarkGate Loader“ verbreitet wird. Als Nächstes folgt ein Überblick über eine Phishing-Kampagne unter dem Namen „ “ ( ), die eine neue Variante von Agent Tesla verbreitet. Abschließend befasst sich CTI mit einer fortgeschrittenen Variante der Chaes-Malware, die eine eigene Implementierung des Google DevTools-Protokolls nutzt, um direkten Zugriff auf Browserfunktionen zu erlangen.
1. Hacker greifen Microsoft Teams mit der „DarkGate Loader“-Malware an
Truesec hat kürzlich eine Microsoft-Teams-Kampagne untersucht, die den Opfern die Malware „ “ sowie den „DarkGate Loader“ übermittelt. Im Rahmen dieser Kampagne versenden die Angreifer manipulierte Chat-Nachrichten an externe Office 365 -Konten und nutzen Social-Engineering-Techniken, um die Opfer dazu zu verleiten, schädliche Dateien herunterzuladen und zu öffnen.
Wer versendet den DarkGate Loader?
Truesec nutzte das eDiscovery-Tool von Microsoft Purview, um in Microsoft Teams nach den Absendern zu suchen. Sie identifizierten die beiden Absender wie folgt:
- Akkaravit Tattamanas (63090101@my.buu.ac[.]th)
- ABNER DAVID RIVERA ROJAS (adriverar@unadvirtual.edu[.]co).
Forscher bestätigten, dass diese beiden Konten durch unbekannte Malware kompromittiert und im Dark Web unter August 2023 zum Verkauf angeboten wurden. Sie änderten ihren Ansatz, um weitere Informationen über den Mieter mit der Nummer O365 zu sammeln, dem die Konten gehörten, und nutzten die aufgeführten Domains, um nach weiteren Nachrichten zu suchen.
Beide Absender verwendeten einen identischen Köder, der einen Link zu einer Datei enthielt. Die Datei heißt „Änderungen am Urlaubsplan.zip“ und ist auf SharePoint hinterlegt. Wenn das Opfer auf die URL in der Teams-Nachricht klickt, wird es zu der SharePoint-Website weitergeleitet, auf der die Datei zum Herunterladen bereitsteht. Microsoft Defender hat die Datei inzwischen als „BAT/Tisifi.A#“ identifiziert.
Analyse der Schadsoftware
Die ZIP-Datei enthält eine schädliche LNK-Datei, die sich als PDF-Dokument tarnt. Truesec extrahierte die Befehlszeile, die ausgeführt werden sollte, und stellte fest, dass diese den Download und die Ausführung einer weiteren Datei auslösen würde.
Die Befehle verwenden eine Windows-Version von cURL, die in „wbza“ umbenannt wurde, um die Datei „ Autoit3.exe“ und das mitgelieferte Skript „eszexz.au3“ herunterzuladen und auszuführen. Das vorkompilierte AutoIT-Skript verbirgt den Code in der Mitte der Datei, indem es nach den „magischen Bytes“ sucht.
AutoIT legt eine neue Datei ab, die einen Shellcode enthält, und prüft vor der Ausführung, ob das Sophos-Antivirenprogramm installiert ist. Falls Sophos nicht vorhanden ist, wird zusätzlicher Code im AutoIT-Skript entschlüsselt, um den Shellcode auszuführen. Wenn der Shellcode ausgeführt wird, lädt er sich Byte für Byte mithilfe der „Stacked Strings“-Technik, um eine neue Datei zu erstellen. Die Nutzlast kann anschließend aus dem Speicher extrahiert und analysiert werden. Die Nutzlast wurde auf VirusTotal als „DarkGate Loader“ identifiziert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Dies ist nicht das erste Mal, dass Angreifer Microsoft Teams für böswillige Aktivitäten missbraucht haben.“ „So hat Microsoft beispielsweise kürzlich eine Kampagne aufgedeckt, bei der russische Angreifer über Teams Organisationen ins Visier nahmen, um die Opfer mittels Social Engineering dazu zu verleiten, MFA-Anfragen zu genehmigen.“
„Microsoft hat bereits einige Empfehlungen dazu veröffentlicht, wie man sich vor diesen Angriffen schützen kann. „Letztendlich läuft dies jedoch wieder auf die Bedeutung von Schulungen und Aufklärung zum Thema Sicherheitsbewusstsein hinaus.“
2. Phishing-Kampagne nutzt die neue Variante von „Agent Tesla“ aus
Fortinet hat kürzlich eine Phishing-Kampagne beobachtet, die eine neue Variante des „ “-Agent-Tesla verbreitet: (wird in einem neuen Tab geöffnet). Die Kampagne nutzt zwei ältere Sicherheitslücken aus den Berichten 2017 und 2018 aus.
Obwohl bereits vor einigen Jahren Korrekturen für diese Sicherheitslücken veröffentlicht wurden, sind sie bei Angreifern nach wie vor beliebt – was darauf hindeutet, dass es auch Jahre später noch ungeschützte Geräte im Umlauf gibt.
Die Phishing-E-Mail
Die beiden Schwachstellen, die im Rahmen dieser Kampagne ausgenutzt wurden, sind CVE-2017-11882 (wird in einem neuen Tab geöffnet) sowie CVE-2018-0802 (wird in einem neuen Tab geöffnet). Bei beiden handelt es sich um Sicherheitslücken, die eine Remote-Code-Ausführung (RCE) ermöglichen und beim Parsen der manipulierten Gleichungsdaten zu einer Speicherbeschädigung innerhalb des Prozesses „ EQNEDT32.exe“ führen. Die Ausnutzung dieser Schwachstellen kann zur Ausführung von beliebigem Code führen.
Die in der Phishing-E-Mail angehängte Excel-Datei liegt im OLE-Format (Object Linking and Embedding) vor und enthält speziell gestaltete Equation-Daten, die diese Sicherheitslücken ausnutzen und letztendlich einen schädlichen Shellcode ausführen.
Wenn das Opfer die angehängte Datei öffnet, zeigt Excel dem Benutzer eine irreführende Meldung an, während im Hintergrund der Shellcode innerhalb der manipulierten Equation-Daten ausgeführt wird. Die schädlichen Gleichungsdaten werden automatisch von einem MS-Office-Prozess, „ EQNEDT32.exe“, analysiert, wodurch die Sicherheitslücke CVE-2017-11882/CVE-2018-0802 ausgelöst und in der Folge der schädliche Shellcode ausgeführt wird.
Nach der Selbstentschlüsselung besteht die Hauptaufgabe des Shellcodes darin, eine weitere Malware-Datei herunterzuladen und auszuführen. Zu diesem Zweck ruft es mehrere APIs auf, um die Malware in einen lokalen Ordner herunterzuladen und sie auf dem Gerät des Opfers auszuführen.
Die heruntergeladene Datei
Die heruntergeladene Datei „dasHost.exe“ ist ein .NET-Programm, das durch zwei Packer geschützt ist. Es extrahiert zwei dateilose Ausführungsmodule – zum einen das Payload-Modul von Agent Tesla und zum anderen ein Lademodul für die Payload-Datei von Agent Tesla.
Agent Tesla – Nutzlast
Die Hauptfunktion dieser Nutzlast besteht – abgesehen von der Persistenz – darin, ein „Process Hollowing“ durchzuführen, bevor eine entschlüsselte ausführbare Datei in den ausgehöhlten Prozess eingefügt und dort ausgeführt wird. Diese entschlüsselte ausführbare Datei ist das Kernmodul von Agent Tesla.
Die Malware führt innerhalb des Payload-Moduls einen Befehl aus, um eine Aufgabe im System-TaskScheduler zu erstellen. Die Aufgabe soll bei der Anmeldung gestartet werden. Das Kernmodul fügt zudem einen Eintrag für die automatische Ausführung in der Systemregistrierung hinzu, der beim Systemstart automatisch gestartet wird.
Das Agent-Tesla-Kernmodul sammelt Informationen vom Gerät, darunter gespeicherte Anmeldedaten bestimmter Software, die vom Keylogger erfassten Eingaben des Opfers sowie Screenshots des Geräts. Es kann Anmeldedaten aus bestimmten, auf dem Gerät installierten Programmen stehlen, darunter unter anderem Webbrowser, E-Mail-Clients und FTP-Clients.
Agent Tesla verfügt über mehrere Möglichkeiten, die gestohlenen Daten zu übermitteln, darunter die Verwendung der HTTP-POST-Methode oder die Übermittlung als E-Mail-Text über SMTP. Diese Variante wählt die Exfiltration der Daten per E-Mail. Die Adresse und der Port des SMTP-Servers sind in dieser Variante fest programmiert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Diese Kampagne ist nur deshalb erfolgreich, weil sie zwei Sicherheitslücken ausnutzt. „Jeden Tag registriert und wehrt Fortinet etwa 3 000 Angriffe und rund 1 300 anfällige Geräte ab – ein Beleg dafür, wie wichtig die rechtzeitige Installation von Patches sein kann.“
„Diese Vorgehensweise verdeutlicht zudem, dass Angreifer eine Sicherheitslücke nicht einfach außer Acht lassen, sobald ein Patch veröffentlicht wurde, sondern möglicherweise noch über Jahre hinweg versuchen, diese auszunutzen.“
3. Die Malware „Chaes“ nutzt das Chrome-DevTools-Protokoll, um Daten zu stehlen
Es ist eine neue, hochentwickelte Variante der Malware „ “ aufgetaucht (öffnet sich in einem neuen Tab) , die eine maßgeschneiderte Implementierung des Chrome-DevTools-Protokolls nutzt, um direkt auf die Browserfunktionen des Opfers zuzugreifen und Daten über WebSockets zu stehlen. Die Infektionskette umfasst betrügerische MSI-Installationsprogramme, die eine mehrstufige Infektion auslösen, wobei sieben verschiedene Module zum Einsatz kommen, um unterschiedliche Funktionen auszuführen.
Was ist die Chaes-Malware?
Chaes gibt es bereits seit mindestens dem Jahr „ November 2020“, wobei der erste Aufschwung im vierten Quartal des Jahres 2021 zu verzeichnen war. Es zeichnete sich durch seine Fähigkeit aus, Finanzdaten im Zusammenhang mit MercadoLibre zu stehlen, sowie durch die Verwendung mehrerer Programmiersprachen.
Im Jahr 2022 wurde die Malware mit einer verfeinerten Infektionskette, verbesserter Kommunikation C2 , neuen Modulen und der Nutzung von WMI zur Datenerfassung aktualisiert. Die vierte und aktuellste Version von Chaes enthält wesentliche Verbesserungen, darunter eine optimierte Code-Architektur und eine verbesserte Modularität, zusätzliche Verschlüsselungsebenen, eine vorrangige Umstellung auf Python, WebSockets für die Kommunikation und vieles mehr.
Initialisierung und Beaconing von Chaes
Die Initialisierungsphase der Malware dient dazu, die Persistenz auf dem System sicherzustellen und die Ausführung in den Speicher legitimer Prozesse zu verlagern. Ein Skript ermöglicht es der Malware, auf der Festplatte verschlüsselt zu bleiben, und sorgt dafür, dass Module erst zur Laufzeit entschlüsselt und geladen werden. Die Initialisierung findet nur statt, wenn die aktuell ausgeführte Instanz einzigartig ist, das Implantat nicht ausgeführt wird und der ausführende Prozess Python (oder eine seiner Kopien) ist, was darauf hindeutet, dass die Malware auf dem System initialisiert werden muss.
Nach der Initialisierungsphase beendet die Malware den aktuellen Prozess, und die weitere Ausführung wird von einem der eingeschleusten Prozesse fortgesetzt. Das Implantat läuft in einer Endlosschleife und führt C2 Kommunikationsvorgänge durch. Das Implantat löst die WebSocket-URL „ C2’s “ mithilfe einer DNS-TXT-Abfrage an eine fest programmierte Adresse auf.
Zusätzliche Module
Es wurden sieben Module identifiziert, die unabhängig voneinander aktualisiert werden können, ohne die Kernfunktionalität zu verändern. Jede dieser Funktionen kann vom Angreifer gesendet werden, um auf dem infizierten System ausgeführt zu werden.
Zwar waren viele der Module bereits in früheren Versionen enthalten, doch bietet diese Version eine Neuimplementierung dieser Module mit verbesserten Funktionen, einer anderen Codebasis und einzigartigen Techniken.
- Init: Dies ist das erste Modul, das vom Angreifer gesendet wurde. Dies dient der Identifizierung bzw. der Registrierung neuer Opfer. Es wird Daten über das infizierte System erfassen.
- Online: Dieses Modul sendet eine „Online“-Meldung an den Angreifer zurück und fungiert als Signalmodul, um zu überwachen, welche der Opfer noch aktiv sind.
- Chronod: Hierbei handelt es sich um einen Stealer und Clipper für Anmeldedaten. Es dient dazu, Browseraktivitäten abzufangen, um Informationen vom Nutzer zu stehlen.
- Appita: Dieses Modul ähnelt dem vorherigen sowohl hinsichtlich seines Aufbaus als auch seines Zwecks. Es zielt speziell auf den Antrag der Itau Bank ab.
- Chrautos: Hierbei handelt es sich um ein verbessertes Modul auf Basis von Chronod und Appita mit einer optimierten Code-Architektur. Es ist in der Lage, die Zielgruppen und Aufgabenbereiche zu erweitern, und konzentriert sich derzeit auf Bankdaten und WhatsApp-Daten.
- Stealer: Dieses Modul ist dafür zuständig, Daten aus Chromium-basierten Browsern zu stehlen, darunter Anmeldedaten, Kreditkartendaten, Cookies und automatisch ausgefüllte Daten.
- Datei-Upload: Dieses Modul ist in der Lage, Dateien auf dem infizierten System zu suchen und auf den C2 -Server hochzuladen. In der aktuellen Version übermittelt das Modul ausschließlich Daten, die sich auf die Chrome-Erweiterung von MetaMask beziehen.
Missbrauch des Google DevTools-Protokolls
Die Malware nutzt das DevTools-Protokoll von Google, um eine Verbindung zur aktuellen Browser-Instanz herzustellen. Dieses Protokoll ermöglicht die direkte Kommunikation mit den internen Funktionen des Browsers über WebSockets. Dadurch ist es dem Angreifer möglich, Skripte auszuführen, Netzwerkanfragen abzufangen, POST-Inhalte vor ihrer Verschlüsselung auszulesen und vieles mehr.
Das Chrautos-Modul nutzt das DevTools-Protokoll von Google, um die Website eines Dienstes aktiv zu öffnen und alle relevanten Daten zu stehlen, anstatt darauf zu warten, dass der betreffende Dienst vom Nutzer geöffnet wird.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Chaes-Malware entwickelt sich bereits seit einigen Jahren weiter.“ „Die jüngste Nutzung des DevTools-Protokolls von Google untermauert dies zusätzlich.“
„Nach Angaben der Forscher handelt es sich hierbei um den ersten nennenswerten Fall von Malware, die eine maßgeschneiderte Implementierung dieses DevTools-Protokolls nutzt, um böswillige Aktionen auszuführen.“ „Dennoch wird es interessant sein zu beobachten, ob auch andere Malware-Familien diese Methode künftig nutzen werden.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
