In der Zusammenfassung dieser Woche befasst sich CTI mit einer modifizierten Version eines Standard-Plug-ins für Notepad++ namens „mimeTools.dll“, das derzeit im Umlauf ist. Als Nächstes untersucht CTI eine neue Welle kostengünstiger, eigenständig entwickelter „Junk-Gun“-Ransomware, die vom traditionellen „Ransomware-as-a-Service“-Modell (RaaS) abweicht. Abschließend analysiert CTI die jüngste Malvertising-Kampagne von Google, bei der Typosquatting-Domains, die seriöse IP-Scanner-Software imitieren, an die Spitze der Suchmaschinenergebnisse gedrängt werden.
1. Forscher entdecken ein modifiziertes Notepad++-Plugin
Forscher haben eine modifizierte Version eines Standard-Plug-ins für Notepad++ von namens „ “ () entdeckt, die unter dem Namen „mimeTools.dll“ im Umlauf ist.
„MimeTools.dll“ ist ein Standard-Plugin, das in der Installationsdatei des Notepad++-Pakets enthalten ist. Aus diesem Grund wird die Datei „mimeTools.dll“ beim Start des Programms automatisch geladen, sodass keine weiteren Maßnahmen seitens des Benutzers erforderlich sind. Der Angreifer hat vermutlich die DLL-Hijacking-Technik genutzt, um die bösartige, modifizierte Variante auszuführen.
Ein verschlüsselter schädlicher Shellcode sowie der Code zu dessen Entschlüsselung wurden der schädlichen Version von mimeTools.dll hinzugefügt. Innerhalb des Notepad++-Pakets trägt die betreffende schädliche Datei den Namen „certificate.pem“.
ASEC hat die Funktionen der Datei „mimeTools.dll“ in beiden Versionen genauer unter die Lupe genommen und festgestellt, dass der einzige Unterschied im Code der „DllEntryPoint“ ist.
Wie Angreifer die Datei „mimeTools.dll“ zur Verbreitung von Malware nutzen
Da die Datei „mimeTools.dll“ als Notepad++ geladen wird, beginnen die böswilligen Aktivitäten sofort.
- Die Malware nutzt bei ihrer Ausführung verschiedene indirekte Syscall-Techniken, um einer Erkennung durch Anti-Malware-Produkte zu entgehen.
- Anschließend wird die Datei „certificate.pem“ entschlüsselt und ausgeführt. Der in der Funktion „GetBingMapsFactory()“ der Datei „BingMaps.dll“ gespeicherte Code wird anschließend durch den schädlichen Shellcode überschrieben, was zu einer Thread-Injektion in die Datei „explorer.exe“ führt.
- Anschließend wird ein weiterer Shellcode vom C2 -Server heruntergeladen und ausgeführt.
- Die Zeichenfolge, die für die Kommunikation mit dem C2 verwendet wird, wird zu einer URL, nachdem sie eine bestimmte Funktion durchlaufen hat. Um Informationen an C2 zu senden, werden diese zunächst in Base64 kodiert und anschließend dem Header hinzugefügt.
- Im Rahmen ihrer Analyse stellten die Forscher fest, dass die Seite „ C2 “ so gestaltet war, dass sie wie eine WordPress-Anmeldeseite aussah. Als die Malware jedoch erstmals verbreitet wurde, sah sie wie eine Wiki-Seite aus.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist offensichtlich, dass der Angreifer, der hinter diesen Aktivitäten steht, es aufgrund der großen Beliebtheit auf Notepad++ abgesehen hat.
Da der Angreifer das Vertrauen der Benutzer in das legitime Programm „Notepad++“ ausnutzt und keine zusätzlichen manuellen Eingriffe seitens des Benutzers erforderlich sind, ist es äußerst schwierig, dies zu verhindern.
Allerdings bietet die Nutzung von DLL-Hijacking durch den Angreifer eine Möglichkeit zur Erkennung, wodurch Sicherheitsverantwortliche dazu beitragen können, diese Art von Angriff zu identifizieren.
2. In Cyberkriminalitätsforen taucht eine neue „Junk-Gun“-Ransomware auf
Sophos hat eine Welle der Ransomware „ “ () aufgedeckt, bei der es sich um „unabhängig entwickelte, kostengünstige und grob konstruierte“ Ransomware handelt.
Laut Sophos weicht diese Welle vom herkömmlichen „Ransomware-as-a-Service“-Modell (RaaS) ab, das die Bedrohungslandschaft bereits seit geraumer Zeit überschwemmt. Dennoch stellt es nach wie vor ein attraktives Angebot für Cyberkriminelle dar, die in die Ransomware-Szene einsteigen möchten.
„Junk Gun“-Ransomware: Ein Überblick
Sophos hat zwischen dem Juni 2023 und dem Februar 2024 19 verschiedene Varianten der „Junk Gun“-Ransomware entdeckt.
Von den 19 Mustern sind viele derzeit im Verkauf, während andere als in der Entwicklung befindlich aufgeführt sind. Zu den einzelnen identifizierten Varianten der „Junk Gun“-Ransomware liegen nicht viele Details vor, doch mindestens drei davon wurden angeblich bei tatsächlichen Angriffen eingesetzt.
Da diese Informationen ausschließlich von Cyberkriminellen veröffentlicht werden, sollten Sie bedenken, dass es möglich ist, dass es sich bei einigen dieser Varianten lediglich um einen Betrugsversuch handelt, der darauf abzielt, andere Cyberkriminelle zu täuschen.
Wie viel kostet die „Junk Gun“-Ransomware?
Diese „Junk-Gun“-Ransomware-Varianten sind im Vergleich zu herkömmlichen RaaS-Angeboten alle relativ kostengünstig.
Von den Objekten, für die ein Preis angegeben war, lag der Medianpreis bei lediglich 375 Dollar. Und nur drei dieser Varianten wurden im Rahmen einer Art Abonnementmodell angeboten, während die übrigen gegen eine einmalige Gebühr erhältlich waren, was wiederum eine Abweichung vom RaaS-Modell darstellt.
Funktionen der „Junk Gun“-Ransomware
Die einzelnen Varianten der „Junk Gun“-Ransomware unterscheiden sich in der Regel hinsichtlich ihrer Funktionen. Angreifer nutzen eine Vielzahl von Verschlüsselungsverfahren, darunter auch einige seltene Algorithmen wie XTEA und Salsa20. Einige Varianten verfügen über Funktionen, die über die herkömmlichen Ransomware-Funktionen hinausgehen, wie beispielsweise das Stehlen von Daten und Keylogging, während andere Varianten sich auf typische Ransomware-Funktionen konzentrieren, wie das Löschen von Volume-Schattenkopien und die multithreaded-Verschlüsselung.
Sophos hat versucht, den Entwicklern hinter der Ransomware auf den Grund zu gehen, und dabei einige entdeckt, die bestrebt sind, ihr Produktangebot weiterzuentwickeln und im Wesentlichen ihr Geschäft auszubauen. Ein Beispiel hierfür ist der Entwickler der Ransomware „Loni“, der sein Produkt als den RaaS-Angeboten überlegen anpreist und darauf hinweist, dass er beabsichtigt, seine Infrastruktur zu erweitern und eine Website zur Veröffentlichung gestohlener Daten einzurichten, sobald ausreichend Mittel zur Verfügung stehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Da die „Junk Gun“-Ransomware-Varianten über keine Websites zum Datenleck verfügen, ist es für Forscher schwierig, deren tatsächliche Verbreitung in der Praxis zu ermitteln.
Dieses Angebot im „Junk-Gun“-Stil unterscheidet sich erheblich vom RaaS-Modell, verfolgt jedoch ein ähnliches Ziel, nämlich die Senkung der Einstiegskosten. Diese Angebote ermöglichen es Cyberkriminellen unterschiedlicher Erfahrungsstufen nach wie vor, in die Ransomware-Szene einzusteigen, ohne dass sie über umfassende technische Kenntnisse oder Zugang zu kriminellen Netzwerken verfügen müssen.
Dieses Angebot könnte für manche Cyberkriminelle attraktiver sein, da es im Gegensatz zu RaaS-Angeboten keine Gewinnbeteiligung vorsieht. Wie Sophos zusammenfasst, „ermöglicht dies Kriminellen, kostengünstig, einfach und eigenständig in das Geschäft einzusteigen“.
3. Neue Malvertising-Kampagne zielt auf IT-Teams ab
Die neueste „ “-Malvertising-Kampagne von Google unter drängt mehrere Typosquatting-Domains, die legitime IP-Scanner-Software imitieren, an die Spitze der Suchmaschinenergebnisse.
The campaign seeks to deliver a new backdoor, MadMxShell, which uses DLL sideloading in multiple stages, abuses the DNS protocol for C2 communications, and is capable of evading memory forensics security solutions.
Über die Kampagne
Der Angreifer hinter dieser Kampagne hat mehrere Domains registriert, die legitime IP-Scanner-Software wie „Advanced IP Scanner“, „Angry IP Scanner“, „PRTG IP Scanner“ und „Manage Engine“ vortäuschen.
Diese Domains wurden alle im März bei Malvertising-Angriffen genutzt. Der Quellcode der betrügerischen Websites ist fast identisch mit dem der legitimen Website, abgesehen von einer Änderung, die den Nutzer dazu veranlasst, eine schädliche Datei herunterzuladen.
Die Hintertür
Zscaler hat eine Datei namens „Advanced-ip-scanner.zip“ analysiert, die zwei Dateien enthielt: eine ausführbare Datei, bei der es sich um eine umbenannte Kopie der legitimen Datei „oleview.exe“ handelt, sowie eine DLL-Datei.
Wenn die ausführbare Datei ausgeführt wird, lädt sie die DLL seitlich ein und führt eine Reihe von Shellcode-Befehlen aus. Im nächsten Schritt wird eine ordnungsgemäß signierte Microsoft-EXE-Datei, „OneDrive.exe“, abgelegt. Diese Schwachstelle wird anschließend ausgenutzt, um eine zusätzliche DLL per Sideloading einzuspielen und so eine Persistenz herzustellen.
Die Malware versucht, Windows Defender zu deaktivieren, eine geplante Aufgabe einzurichten und Anti-Dumping-Techniken anzuwenden, bevor sie typische Dateimanipulationen durchführt.
Die Malware kommuniziert zudem mit ihrem „ C2 “, indem sie Befehle sendet und empfängt, die in DNS-MX-Abfragen verschlüsselt sind. The malware is configured with three-second intervals between requests which is rather short and therefore much nosier than malware that is using HTTP for C2 communications.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Cyberkriminelle greifen zunehmend auf Malvertising zurück, um ahnungslosen Nutzern Malware zuzuschleusen, was deutlich macht, wie wichtig es ist, Links in Suchmaschinenergebnissen zu überprüfen, bevor man blindlings darauf klickt.
Das Besondere an dieser Malvertising-Kampagne ist die Verwendung von DNS-MX-Abfragen für die Kommunikation im Rahmen von „ C2 “. Auf den ersten Blick scheint dies eine ausgeklügelte Technik zu sein, doch der Abstand von nur drei Sekunden zwischen den Anfragen führt dazu, dass sie ziemlich störend wirkt.
Angesichts der Software, die hier nachgeahmt wird, scheint sich diese Kampagne an IT-Anwender zu richten. Allerdings scheinen regelmäßig neue Malvertising-Kampagnen aufzutauchen, die sich an ein sehr breites Spektrum von Nutzern mit unterschiedlicher Software richten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
