In der Zusammenfassung dieser Woche untersucht CTI zwei separate Kampagnen, an denen nordkoreanische Angreifer beteiligt sind, die sich als Arbeitssuchende und Personalvermittler ausgeben. Als Nächstes folgt ein aktueller Bericht über den als „Telekopye“ bekannten bösartigen Telegram-Bot und dessen Betreiber. Abschließend untersucht CTI, wie nordkoreanisch orientierte Angreifer kürzlich zwei groß angelegte Kampagnen gegen macOS durchgeführt haben, darunter „RustBucket“ und „KandyKorn“.
1. Hacker geben sich als Arbeitssuchende und Personalvermittler aus
Forscher bringen die nordkoreanischen Akteure „ “ (öffnet in einem neuen Tab) mit zwei Kampagnen in Verbindung, bei denen diese sich sowohl als Arbeitssuchende als auch als Personalvermittler ausgeben, um Malware zu verbreiten.
Hier finden Sie einen genaueren Überblick über beide Kampagnen.
Die erste Kampagne: „Contagious“ – Ein Interview
In der ersten Kampagne mit dem Namen „ “ („Ansteckendes Vorstellungsgespräch“) (wird in einem neuen Tab geöffnet) geben sich Angreifer als Arbeitgeber aus und verleiten Softwareentwickler dazu, im Rahmen des Bewerbungsprozesses Malware zu installieren. Palo Alto hat bereits im Jahr März 2023 entsprechende verdächtige Aktivitäten entdeckt, wobei die Infrastruktur für die Kampagne bereits im Jahr Dezember 2022 aufgebaut wurde.
Aufgrund der Namen der mit dieser Kampagne in Verbindung stehenden Malware gehen die Forscher davon aus, dass der Angreifer dazu neigt, sich als legitime Unternehmen aus den Bereichen künstliche Intelligenz, Kryptowährungen und NFTs oder als Personalvermittlungsagenturen auszugeben.
Nach der Kontaktaufnahme lädt der Angreifer das Opfer zur Teilnahme an einem Online-Interview ein. Während des Vorstellungsgesprächs versuchen sie, das Opfer davon zu überzeugen, ein auf GitHub gehostetes, schädliches NPM-Paket herunterzuladen und zu installieren, das wahrscheinlich als Software präsentiert wird, die im Rahmen des Vorstellungsgesprächs geprüft oder analysiert werden soll. Das Paket enthält bösartiges JavaScript und infiziert den Rechner des Opfers mit einer Backdoor-Malware. Dieses schädliche NPM-Paket enthält JavaScript-Code für eine neu entdeckte Malware namens BeaverTail.
- Die Malware „BeaverTail“ ist sowohl ein Informationsdieb als auch ein Loader. Es zielt auf Kryptowährungs-Wallets und Kreditkartendaten ab, die im Webbrowser gespeichert sind. Außerdem wird die nächste Stufe der Malware, die unter dem Namen „InvisibleFerret“ bekannt ist, abgerufen und ausgeführt.
Da die Malware auf die Node.js-Umgebung angewiesen ist, erfordert ihre Ausführung eine manuelle Interaktion, wodurch sie der Erkennung entgehen kann. Nach der Installation unter Windows, Linux oder macOS erfasst das Programm grundlegende Systeminformationen und sucht nach Browser-Erweiterungen, die mit Kryptowährungs-Wallets in Verbindung stehen.
- Die Malware „InvisibleFerret“ wird von BeaverTail-NPM-Paketen abgerufen und ausgeführt. Es handelt sich um eine plattformübergreifende Python-Malware, die in der Lage ist, Fingerabdrücke zu erstellen, Fernsteuerung durchzuführen, Tastenanschläge aufzuzeichnen, Daten zu exfiltrieren, Daten aus Browsern zu stehlen und den AnyDesk-Client herunterzuladen.
Die zweite Kampagne: Wagemole
Im Rahmen der zweiten Kampagne bemühen sich die Angreifer um eine unbefugte Anstellung bei Organisationen, um finanziellen Gewinn zu erzielen und Spionage zu betreiben. Diese Kampagne, die den Namen „Wagemole“ trägt, soll bereits im Jahr August 2022 begonnen haben.
Die Forscher richteten ihr Augenmerk auf die GitHub-Infrastruktur im Zusammenhang mit der „Contagious Interview“-Kampagne und entdeckten dabei ein völlig anderes GitHub-Repository auf einem anderen Konto. Auf dem Konto befanden sich Dateien, darunter Lebensläufe mit falschen Identitäten, häufig gestellte Fragen und Antworten für Vorstellungsgespräche, Skripte zur Selbstvorstellung, Kopien von IT-Stellenanzeigen US-amerikanischer Unternehmen, eine gescannte Kopie einer gestohlenen US-Aufenthaltsgenehmigung sowie eine Liste mit nicht identifizierten Verkäuferkontakten.
Jeder gefälschte Lebenslauf im GitHub-Repository wies eine andere US-Telefonnummer für den persönlichen Kontakt auf; einige enthielten zudem Links zu einem LinkedIn-Profil und/oder GitHub-Inhalten, die regelmäßig gepflegt wurden und einen umfangreichen Aktivitätsverlauf aufwiesen. Die betrügerischen Arbeitssuchenden unterhalten mehrere Konten für E-Mail, Freelancer-Websites, Quellcode-Repositorien und Plattformen von Arbeitsvermittlungsagenturen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die „Contagious Interview“-Kampagne ähnelt vielen anderen Aktionen nordkoreanisch verbundener Angreifer, die sich als Personalvermittler ausgeben und versuchen, Arbeitssuchende mit Malware zu infizieren. Bei der letztgenannten Kampagne scheint sich das Szenario jedoch umzukehren: Hier versuchen die Angreifer, sich bei verschiedenen Unternehmen zu bewerben und Stellenangebote anzunehmen. Diese Kampagne ist weniger technisch ausgerichtet, sondern vermittelt den Angreifern vielmehr die Grundlagen dafür, wie sie gefälschte Lebensläufe einsetzen und auf Fragen im Vorstellungsgespräch reagieren können, um eine seriöse Anstellung zu erhalten und spionagebezogene Aktivitäten durchzuführen. Gefälschte Identitäten geben auf Plattformen wie LinkedIn zunehmend Anlass zur Sorge, da es sehr einfach ist, für die Arbeit im Homeoffice ein falsches Profil anzulegen.
2. Der Telegram-Bot „Telekopye“ ermöglicht groß angelegte Phishing-Betrugsaktionen
Es liegen neue Details zu „ “ vor: Telekopye (wird in einem neuen Tab geöffnet) – einem bösartigen Telegram-Bot, den Angreifer nutzen, um Phishing-E-Mails, Websites, SMS-Nachrichten und mehr zu erstellen.
Die Angreifer hinter der Operation mit dem Codenamen „Neanderthals“ (wird in einem neuen Tab geöffnet) führen die Operation als legitimes Unternehmen mit einer hierarchischen Struktur durch, in der die Mitglieder verschiedene Rollen übernehmen.
Wie Neandertaler sich einer Gruppe anschließen
Telekopye wirbt über verschiedene Kanäle, darunter auch Untergrundforen, um neue Neandertaler. Die Anzeigen sind sehr direkt und weisen darauf hin, dass der Zweck der Anstellung darin besteht, Nutzer von Online-Marktplätzen zu betrügen.
Angehende Neandertaler müssen ein Bewerbungsformular ausfüllen, in dem sie angeben, wo sie von Telekopye erfahren haben und über welche Erfahrungen sie verfügen. Nach Erhalt der Freigabe kann der Neandertaler „Telekopye“ nutzen und zwei Kanälen beitreten: einem Gruppenchat, in dem die Mitglieder miteinander kommunizieren sowie auf Regeln und Anleitungen zugreifen können, und einem separaten Kanal, in dem die Transaktionsprotokolle gespeichert sind.
Arten von „Telekopye“-Betrugsmaschen
Es gibt drei Hauptszenarien für Betrugsfälle, die von Telekopye begangen werden, darunter der Verkäuferbetrug, der Käuferbetrug und der Rückerstattungsbetrug.
- Verkäufer-Betrug „“: Bei dieser Betrugsmasche gibt sich der Täter als Verkäufer aus und versucht, Nutzer dazu zu verleiten, einen nicht existierenden Artikel zu kaufen und zu bezahlen. Der Nutzer erhält einen Link zu einer Phishing-Website, die von Telekopye erstellt wurde. Der Link ahmt eine Zahlungsseite des seriösen Online-Marktplatzes nach, fordert jedoch die Eingabe von Online-Banking-Zugangsdaten, Kreditkartendaten oder anderen sensiblen Informationen an.
- Käuferbetrug „“: Hier gibt sich der Neandertaler als Käufer aus. Sie zeigen Interesse an einem Artikel, der zum Verkauf steht, und behaupten, dass sie ihn bereits bezahlt hätten. Der Neandertaler sendet dem Verkäufer E-Mails oder SMS, die von Telekopye erstellt wurden und einen Link zu einer Phishing-Seite enthalten, auf der behauptet wird, dass der Verkäufer auf diesen Link klicken müsse, um sein Geld von der Plattform zu erhalten. Der weitere Verlauf dieses Betrugs verläuft sehr ähnlich wie beim Verkäuferbetrug.
- Rückerstattungsbetrug „“: Der „Neandertaler“ schafft eine Situation, in der der Verkäufer mit einer Rückerstattung rechnet. Anschließend versenden sie eine Phishing-E-Mail mit einem Link zu einer weiteren Phishing-Website, die denselben Zweck erfüllt wie die vorherigen Betrugsversuche. Entweder versendet der Neandertaler diese E-Mail an Verkäufer, mit denen er zuvor noch keinen Kontakt hatte, in der Erwartung, dass diese gierig sind und sich die Rückerstattung auszahlen lassen, oder er kombiniert dies mit dem Betrugsszenario für Verkäufer. Im letzteren Fall, wenn der Käufer angibt, die gekaufte Ware nicht erhalten zu haben, versendet der „Neandertaler“ Phishing-E-Mails zum Thema Rückerstattung, um ihn ein zweites Mal zu betrügen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie ESET hervorhebt, werden Betrugsfälle auf Online-Marktplätzen wie ,und wahrscheinlich so schnell nicht verschwinden. Diese Vorgehensweise stützt sich in hohem Maße auf die Fähigkeit eines „Neandertalers“, das Vertrauen seines Opfers zu gewinnen, bevor er versucht, Artikel zu kaufen, zu verkaufen oder eine Rückerstattung zu veranlassen. Diese geschäftsmäßige Organisation der Vorgehensweise ist interessant, da sie ausschließlich Personen auswählen, die für diese Aufgabe wirklich qualifiziert sind und in der Lage sind, in verschiedenen Sprachen Vertrauen zu den Opfern aufzubauen.
3. Mit der DVRK verbundene Angreifer nehmen in zwei Kampagnen macOS ins Visier
Nordkorea-nahe Angreifer haben in diesem Jahr bislang zwei groß angelegte „ “-Kampagnen durchgeführt, die auf macOS- en (öffnet in einem neuen Tab) abzielten, darunter „RustBucket“ und „KandyKorn“. Die Angreifer scheinen nun Komponenten aus beiden Operationen miteinander zu kombinieren.
Über RustBucket und KandyKorn
Die ursprüngliche „RustBucket“-Kampagne „ “ tauchte erstmals in „April 2023“ auf und nutzte eine als „SwiftLoader“ bekannte Malware der zweiten Stufe. Diese Malware fungierte nach außen hin als PDF-Viewer für ein Köderdokument, das an die Zielpersonen versendet wurde. Sie war dafür zuständig, eine weitere, in Rust geschriebene Stufe der Malware abzurufen und auszuführen.
Die „KandyKorn“-Kampagne war eine weitaus aufwendigere, mehrstufige Aktion. Der Angriff richtete sich gegen Blockchain-Entwickler einer Krypto-Handelsplattform und nutzte Python-Skripte, um Malware zu installieren, die die auf dem Rechner installierte Discord-Anwendung kapern konnte. Zudem wurde ein als „KandyKorn“ bezeichneter Remote-Access-Trojaner (RAT) eingeschleust.
Eine Untersuchung von Ende Oktober 2023 beschrieb eine Kampagne, die von mit Nordkorea verbündeten Akteuren (öffnet in einem neuen Tab) durchgeführt wurde und einen Angriff in fünf Phasen umfasste. Der Angriff begann mit Social-Engineering-Maßnahmen, durch die Discord-Nutzer dazu verleitet werden sollten, eine bösartige Python-Anwendung herunterzuladen, die als Kryptowährungs-Arbitrage-Bot getarnt war. Diese Python-Anwendung wurde als Datei „Cross-Platform Bridges.zip“ bereitgestellt und enthielt mehrere harmlose Python-Skripte.
Aktuelle Aktivitäten von RustBucket
Auf den ersten Blick scheint die „RustBucket“-Kampagne eine völlig andere Kampagne zu sein. Zunächst kamen ein AppleScript-Applet der ersten Stufe und ein auf Swift basierendes Anwendungsbundle namens „Internal PDF Viewer.app“ zum Einsatz, das mithilfe speziell erstellter PDF-Dateien einen Code freischaltete, um eine auf Rust basierende Nutzlast herunterzuladen. Seit der ersten RustBucket-Kampagne wurden in der Praxis mehrere weitere RustBucket-Varianten beobachtet, ebenso wie mehrere Varianten des auf Swift basierenden Stagers, die gemeinsam als „SwiftLoader“ bezeichnet werden.
Die Verbindung zwischen SwiftLoader und KandyKorn
In der Praxis wurden mehrere Versionen von SwiftLoader festgestellt. Eine Version wird in einer Köderdatei mit dem Namen „crypto-assets and their risks for financial stability[.]app[.]zip“ verbreitet. Die Anwendung ist von Apple signiert und notariell beglaubigt, die Bundle-Kennung lautet „com.EdoneViewer“ und die Hauptausführungsdatei ist „EdoneViewer“. Diese Version von SwiftLoader weist einige interessante Überschneidungen mit der Operation „KandyKorn“ auf.
Eine Analyse der Hauptausführungsdatei „EdoneViewer“ zeigt, dass diese eine fest programmierte URL enthält. Die Malware stellt eine Verbindung zu einer bestimmten Domain her und legt eine versteckte ausführbare Datei unter /users/shared/.pw ab. Das Python-Skript „KandyKorn“ griff für seine nächste Phase auf Malware zurück, die auf einer ähnlichen Domain gehostet wurde, und legte versteckte Dateien an einem ähnlichen Speicherort ab. Ebenso wurde eine Variante der KandyKorn-RAT entdeckt, die denselben Dateinamen trug wie eine Datei namens „SwiftLoader“, die aus ihrem C2 abgerufen wurde.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Analyse von Sentinel One stellt Verbindungen zwischen zwei bereits zuvor gemeldeten Kampagnen her, die von mit Nordkorea verbündeten Angreifern durchgeführt wurden. Die Ergebnisse zeigen, dass die Angreifer wahrscheinlich „RustBucket“-Dropper und „KandyKorn“-Payloads gemeinsam nutzen. Zwar lassen sich aus ihrer Analyse nicht viele neue TTPs ableiten, doch wird deutlich, wie häufig es vorkommt, dass Angreifer Malware untereinander austauschen und auf diese Weise ihre allgemeine Reife steigern.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum , um eine Diskussion zu starten. Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungen unter .
