CTI-Roundup: Rückkehr der Bumblebee- und PikaBot-Malware, Spammer greifen AWS SNS an

In dieser Woche untersucht CTI das Wiederauftauchen der Malware „Bumblebee“ in der Bedrohungslandschaft nach einer viermonatigen Pause. Als Nächstes befasst sich CTI mit der Malware „PikaBot“, die mit erheblichen Änderungen an ihrer Codebasis und Struktur wieder aufgetaucht ist. Ebenfalls enthalten ist eine detaillierte Darstellung, wie Angreifer den AWS Simple Notification Service (SNS) und ein benutzerdefiniertes Spam-Skript namens „SNS Sender“ im Rahmen einer laufenden Smishing-Kampagne einsetzen.

1. Bumblebee kehrt nach einer Pause zurück

Laut Proofpoint ist die Malware „ “ („Bumblebee“) nach einer kurzen Pause wieder in der Bedrohungslandschaft aufgetaucht. Vor dieser Kampagne, die auf 8. Februar beobachtet wurde, war die Malware „Bumblebee“ vier Monate lang nicht in den Daten von Proofpoint vertreten.

Die aktuelle Kampagne

Im Rahmen der jüngsten Kampagne von Bumblebee versendeten die Angreifer mehrere tausend E-Mails an verschiedene Organisationen in den gesamten USA mit dem Betreff „Voicemail Februar“.

Diese E-Mails wurden alle von derselben E-Mail-Adresse versendet und enthielten OneDrive-URLs. Wenn das Opfer auf eine OneDrive-URL geklickt hat, wurde es zu einem Word-Dokument weitergeleitet, das ein Unternehmen für Unterhaltungselektronik namens „Humane“ vortäuschte.

Das Word-Dokument nutzte Makros, die ein Skript im temporären Verzeichnis von Windows erstellten. Die Makros würden das Skript dann über wscript ausführen.

Ausführung von Malware

Die abgelegte temporäre Datei enthielt einen PowerShell-Befehl, der für das Herunterladen und Ausführen der nächsten Stufe des Angriffs zuständig ist.

In diesem nächsten Schritt kam ein weiterer PowerShell-Befehl zum Einsatz, der für das Herunterladen und Ausführen der Bumblebee-DLL zuständig war. Die Bumblebee-Konfiguration in dieser Kampagne umfasste eine Kampagnen-ID von “dcc3” und einen Schlüssel RC4 mit dem Wert „NEW_BLACK“.

Besondere Merkmale der Kampagne

Das Interessante an dieser Kampagne ist die Verwendung von VBA-Makro-fähigen Dokumenten, die wir immer seltener sehen, seit Microsoft Makros standardmäßig blockiert.

Von den rund 230 „Bumblebee“-Kampagnen, die Proofpoint seit dem März 2022 identifiziert hat, verwendeten nur fünf Kampagnen mit Makros versehene Inhalte, während vier Kampagnen XL4 Makros einsetzten und lediglich eine Kampagne VBA-Makros nutzte.

Insgesamt unterscheidet sich die Angriffskette dieser Kampagne deutlich von früheren Bumblebee-Kampagnen, selbst von jenen, bei denen die Konfiguration „NEW_BLACK“ zum Einsatz kam.

Quellenangabe

Proofpoint konnte diese jüngste Malware-Aktivität im Zusammenhang mit „Bumblebee“ bislang noch keinem bestimmten Angreifer zuordnen. Den Forschern fiel auf, dass das Betrugsmuster im Zusammenhang mit Voicemails, die Verwendung von OneDrive-URLs und die E-Mail-Adresse des Absenders mit früheren Aktivitäten von TA579 übereinstimmten. Proofpoint war jedoch nicht in der Lage, diese Schlussfolgerung endgültig zu ziehen. Proofpoint weist darauf hin, dass die Malware „Bumblebee“ dazu genutzt werden kann, verschiedene Folge-Payloads wie Ransomware zu verbreiten, was es erschwert, sie einem einzelnen Akteur zuzuordnen.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Dies ist das erste Mal, dass wir über die Malware „ “ namens „Bumblebee“ berichten, seit sie im vergangenen Jahr aufgetaucht ist. Wenn Malware nach einer Pause wieder auftaucht, verfügt sie in der Regel über neue und verbesserte Funktionen sowie TTPs. Doch dieses Mal kehrte Bumblebee mit einer Technik zurück, von der sich viele Angreifer mittlerweile abwenden.

Der Grund für den Einsatz dieser Technik ist zwar unklar, deutet jedoch darauf hin, dass wir möglicherweise vermehrt Aktivitäten von Bumblebee beobachten werden.

2. PikaBot kehrt mit optimiertem Code zurück

Forscher haben die Malware „ “ (PikaBot) in neuen Kampagnen beobachtet, wobei deren Code und Struktur erheblich verändert wurden.

Die Entwickler von PikaBot haben die Komplexität des Codes reduziert, was zur Entfernung fortgeschrittener Verschleierungstechniken und zu Änderungen in der Netzwerkkommunikation geführt hat.

Was ist PikaBot?

• Die PikaBot-Malware tauchte erstmals Anfang des Jahres 2023 auf. Es besteht aus zwei Hauptkomponenten, nämlich einem Loader und einem Kernmodul.
• Das Kernmodul führt Befehle aus und fügt von einem C2 -Server empfangene Nutzdaten ein. Die Malware nutzt ähnliche Verbreitungs smethoden und Verhaltensweisen wie die QBot-Malware.
• Nachdem das FBI den QBot-Malware-Betrieb zerschlagen hatte, kam es zu einem sprunghaften Anstieg der PikaBot-Aktivitäten – höchstwahrscheinlich, weil ein Partner der BlackBasta-Ransomware begann, QBot durch PikaBot zu ersetzen. PikaBot schien dann am Ende von „ Dezember 2023“ seine Aktivität einzustellen.
• Es wurden kürzlich Kampagnen beobachtet, die darauf hindeuten, dass PikaBot wieder in der Bedrohungslandschaft auftaucht. Die neueste Variante weist wesentliche Änderungen auf, die die Komplexität des Codes verringern. Zscaler geht davon aus, dass sich diese Version derzeit in einem neuen Entwicklungszyklus und in der Testphase befindet.

Anti-Analyse-Technik

Die auffälligste Änderung an den Anti-Analyse-Techniken von PikaBot ist die Verschleierung von Zeichenfolgen. Bei älteren PikaBot-Versionen wurde jede Zeichenkette durch die Kombination des RC4 -Algorithmus mit AES-CBC verschleiert, was eine sehr wirksame Methode darstellte. In der aktuellen Version werden die meisten Zeichenfolgen so gebildet, dass ein Zeichen abgerufen und auf den Stack gelegt wird. Wie bereits frühere Varianten fügt auch diese Variante unerwünschten Code zwischen legitime Befehle ein.

Zusätzlich zu diesen Techniken nutzt PikaBot zwei Methoden, um eine Debugging-Sitzung zu erkennen. Es liest das „BeingDebugged“-Flag aus dem Prozessumgebungsblock aus und ruft zudem die Windows-API-Funktion „CheckRemoteDebuggerPresent“ auf.

Das Programm wird diese Prüfungen an verschiedenen Stellen seines Codes weiterhin durchführen. Ebenso nutzt die Malware verschiedene Methoden, um sicherzustellen, dass sie nicht in einer Sandbox-Umgebung ausgeführt wird. Schließlich bricht die Malware ihre Ausführung ab, sobald sie entweder die russische oder die ukrainische Sprache erkennt.

Initialisierungsphase des Bots

Die neueste Version von PikaBot speichert alle Einstellungen und Informationen in einer einzigen Struktur. Diese Konfiguration wird im Klartext an einer einzigen Adresse gespeichert und ist wesentlich einfacher als frühere Versionen, bei denen jedes Element zur Laufzeit entschlüsselt werden musste.

Wenn PikaBot die Klartextdaten analysiert, löscht es diese und setzt alle Bytes auf Null. Die Malware lädt anschließend die übrigen erforderlichen Windows-API-Funktionen und generiert eine Bot-Kennung für den Host.

Netzwerkkommunikation

In der letzten Phase der Malware wird eine Verbindung zum Server C2 hergestellt, um verschiedene Netzwerkbefehle abzurufen. Das Netzwerkprotokoll hierfür hat sich in dieser neuesten PikaBot-Version erheblich geändert. Die Malware beginnt damit, den kompromittierten Rechner bei ihrem Server zu registrieren und Informationen über diesen zu erfassen, darunter die Bildschirmeinstellungen, die Beacon- und Verzögerungseinstellungen sowie den Namen des Domänencontrollers.

Anschließend fügt das Programm den 32-Byte-Netzwerk- RC4 -Schlüssel, einen unbekannten Registrierungsschlüsselnamen sowie die Anzahl der Swap-Runden, die zur Verschlüsselung der Daten verwendet wurden, an das Registrierungspaket an. Es verschlüsselt die erfassten Daten und sendet sie mit einer POST-Anfrage an den C2 -Server.

Wenn die Registrierung des Bots erfolgreich verläuft, startet PikaBot eine Endlosschleife, um Netzwerkbefehle abzufragen und auszuführen. Eine vollständige Liste der unterstützten Netzwerkbefehle finden Sie unter im Bericht von Zscaler mit dem Titel „“.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Die neueste Version der PikaBot-Malware verfolgt einen ganz anderen Ansatz, indem sie die Komplexität des Codes verringert. Dies ist ungewöhnlich, da neue Malware-Varianten in der Regel ausgefeilter und komplexer sind.

PikaBot stellt nach wie vor eine erhebliche Bedrohung dar und wurde bereits zuvor von Angreifern genutzt, von denen bekannt ist, dass sie QBot-Malware verbreiten.

3. Angreifer versenden Spam über AWS SNS

Angreifer nutzen derzeit den AWS Simple Notification Service ( , , SNS) in Verbindung mit einem benutzerdefinierten Spam-Skript namens „SNS Sender“ im Rahmen einer laufenden Smishing-Kampagne. Der Urheber des Schadskripts wurde mit in Verbindung gebracht, einer Website, auf der zahlreiche Phishing-Kits angeboten werden:.

Kampagnenübersicht

„SNS Sender“ ist ein benutzerdefiniertes Python-Skript, das AWS SNS nutzt, um Massen-SMS-Nachrichten mit Phishing-Links zu und zu versenden. SentinelOne weist darauf hin, dass „SNS Sender“ das erste Skript ist, das AWS SNS für Spam-Angriffe nutzt. In diesen Nachrichten wird häufig vorgetäuscht, sie stammten von der USPS. Darüber hinaus haben Forscher Verbindungen zwischen dem Entwickler dieses Tools und mehreren anderen Phishing-Kits festgestellt, gehen jedoch davon aus, dass sich dieses Tool möglicherweise noch in der Testphase befindet.

Über das Skript

Das SNS-Sender-Skript benötigt zum Starten eine Liste mit Phishing-Links, „links[.]txt“, in seinem Arbeitsverzeichnis. Die Funktion akzeptiert mehrere Argumente als Eingabe, darunter eine Textdatei mit AWS-Zugriffsschlüsseln, Geheimnissen und Regionen, eine Textdatei mit den anzusprechenden Telefonnummern, eine Absender-ID sowie den Nachrichteninhalt selbst.

Das Skript verfügt über eine Funktion namens „send_sns_message“, die eine Schnittstelle zwischen dem Skript und dem AWS-SNS-Backend einrichtet, um die SMS-Nachrichten zu versenden. Die Einbindung einer Absender-ID-Variablen ist laut SentinelOne eine interessante Entscheidung, da diese Variable optional ist und nicht in allen Ländern unterstützt wird. In den USA beispielsweise unterstützen Mobilfunkanbieter keine Absender-IDs, in Indien sind diese jedoch vorgeschrieben. Dies ist insofern interessant, als die Nachrichten dieser Kampagne häufig das Thema USPS zum Gegenstand haben, was im Widerspruch zur Angabe einer Absender-ID steht. Dies könnte darauf hindeuten, dass sich der hinter dieser Aktivität stehende Angreifer in einem Land befindet, in dem Absender-IDs vorgeschrieben sind.

Das Skript richtet eine „while“-Schleife ein, um die Liste der zuvor eingegebenen AWS-Anmeldedaten und -Regionen durchzugehen. Dadurch werden alle Vorkommen der Zeichenfolge „linkas“ durch eine URL aus der zuvor eingegebenen Datei „links[.]txt“ ersetzt. Der Link wird zufällig ausgewählt und verwandelt die Nachricht in eine echte Phishing-SMS.

Phishing-Kits

Der Autor des Skripts tritt unter dem Pseudonym ARDUINO_DAS auf. Forscher identifizierten mehr als 150 Dateien von Phishing-Kits, die auf diesen Akteur verweisen, wobei mehr als die Hälfte davon das Thema USPS zum Gegenstand hat.

Forscher untersuchten laufende Kampagnen von Januar 2024 , bei denen Phishing-Angriffe unter dem Deckmantel der USPS zum Einsatz kamen, und deckten dabei einen grundlegenden Ablauf auf. Auf den Landingpages wurde dem Opfer mitgeteilt, dass sein Paket nicht zugestellt werden konnte, und es wurde aufgefordert, auf eine Schaltfläche zu klicken, um Hilfe zu erhalten. Über diese Schaltfläche wird das Opfer auf eine Sendungsverfolgungsseite weitergeleitet, die vorgibt, Informationen zur Sendungsverfolgung anzuzeigen, das Opfer jedoch gleichzeitig dazu auffordert, personenbezogene Daten wie seinen Namen, seine Telefonnummer und seine E-Mail-Adresse einzugeben.

Anschließend wird das Opfer auf eine weitere Seite weitergeleitet, auf der es aufgefordert wird, eine Kreditkartennummer anzugeben, um eine Gebühr für die erneute Zustellung zu bezahlen. Die Kreditkartennummer wird an einen Kartenprüfer weitergeleitet, der vermutlich über einen Telegram-Dienst betrieben wird.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Wie SentinelOne erläutert, nutzen Angreifer in der Regel kein AWS SNS – obwohl sie bei ihren Angriffen zunehmend auf die Cloud zurückgreifen.

SNS Sender ist ein neuer Ansatz, bei dem der Akteur Zugriff auf einen ordnungsgemäß konfigurierten AWS-SNS-Mandanten benötigt. Darüber hinaus ist die Einbindung einer Absender-ID in eine Kampagne zum Thema USPS fragwürdig und lässt vermuten, dass sich dieses Tool noch in der Entwicklungsphase befindet.

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.