In dieser Woche analysiert CTI einen neuen Bericht, der die jüngsten Aktivitäten der mit China in Verbindung stehenden Bedrohungsgruppe ChamelGang detailliert beschreibt, die gezielt Linux-Geräte ins Visier nimmt. Als Nächstes untersucht CTI eine als „Skuld“ bekannte Malware-Variante, die darauf abzielt, Daten zu stehlen. Abschließend gibt CTI einen Überblick über eine groß angelegte Phishing-Kampagne unter dem Namen „ “ ( ), die kürzlich von Forschern bei Bolster aufgedeckt wurde.
1. Chinesische Hacker nutzen DNS-over-HTTPS für die Kommunikation mit Linux-Malware
Ein neuer Bericht von Stairwell deckt die Aktivitäten der mit China in Verbindung stehenden Hackergruppe „ “ ChamelGang auf, die Linux-Geräte mit einem bislang nicht dokumentierten Implantat namens ChamelDOH infiziert. Die Hintertür ermöglicht die Kommunikation zwischen kompromittierten Systemen und den Geräten der Angreifer über das DNS-over-HTTPs-Protokoll.
Positive Technologies hat die Aktivitäten von „ “ ChamelGang unter erstmals im Jahr September 2021 dokumentiert. Dieser Bericht konzentrierte sich jedoch ausschließlich auf die Nutzung eines Windows-Toolkits durch die Hackergruppe. Der neue Bericht von Stairwell beleuchtet die Erweiterung des Malware-Arsenals der ChamelGang sowie Aktualisierungen hinsichtlich der Taktiken, Techniken und Vorgehensweisen (TTPs) der Gruppe und der Indikatoren für eine Kompromittierung (IOCs).
Technische Details
Der Bericht von Stairwell konzentriert sich auf ChamelDOH, ein Implantat, das die „Command-and-Control“-Kommunikation (C2) über DNS-over-HTTPS (DoH)-Tunneling ermöglicht – wodurch seine Aktivitäten im Netzwerkverkehr verborgen bleiben und die Identifizierung sowie die Blockierung der Kommunikation des Implantats äußerst schwierig (wenn nicht gar unmöglich, ohne Einblick in den HTTPS-Verkehr) werden.
- Bei dem Implantat handelt es sich um eine umfangreiche C++-Binärdatei, die den Fernzugriff auf das System ermöglicht, auf dem sie ausgeführt wird.
- Das Implantat verwendet ein modifiziertes base64 -Schema, um seine Kommunikation als Subdomains für einen vom Angreifer kontrollierten Nameserver zu verschlüsseln. Auf diese Weise kann es Systeminformationen erfassen, ein infiziertes Gerät auflisten und profilieren sowie grundlegende Fernzugriffsvorgänge ausführen, darunter das Hoch- und Herunterladen, Löschen sowie Ausführen von Dateien.
- Das Implantat nutzt eine Reihe von Systemaufrufen, um ein JSON-Objekt zu generieren, das verschiedene Daten enthält, die im Rahmen der Erkundung gewonnen wurden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Zuordnung des ChamelDoH-Implants zur mit China in Verbindung stehenden ChamelGang ist möglich, da die Linux-Malware eine Domain nutzt, die zuvor mit dem Angreifer in Verbindung gebracht wurde, sowie ein maßgeschneidertes Tool zur Rechteausweitung, das bereits in dem zu Beginn dieser Zusammenfassung erwähnten Bericht von Positive Technologies behandelt wurde.“
„Laut Stairwell hat diese Gruppe wahrscheinlich erhebliche Ressourcen in die Forschung und Entwicklung eines Tool-Sets für Angriffe auf Linux-Systeme investiert, das ebenso robust ist wie das auf Windows ausgerichtete Arsenal der Bedrohungsgruppe.“
2. Neue, auf Golang basierende „Skuld“-Malware stiehlt Discord- und Browserdaten von Windows-PCs
Trellix hat kürzlich eine neue Malware-Variante namens „Skuld“ beschrieben, die darauf abzielt, Daten zu stehlen, und die vor allem Anwendungen wie Discord, Webbrowser und Ordner ins Visier nimmt. Der Entwickler von Skuld scheint sich von verschiedenen Open-Source-Projekten und Malware-Beispielen inspirieren lassen zu haben.
Was Sie über Skuld wissen sollten
Trellix weist darauf hin, dass Skuld Windows-Systeme in ganz Europa, Südostasien und den USA kompromittiert hat. Zudem gibt es Überschneidungen mit verschiedenen öffentlich zugänglichen Stealern, darunter Creal Stealer, Luna Grabber und BlackCap Grabber.
Im Rahmen ihrer Recherchen entdeckte Trellix zudem eine Telegram-Gruppe, die denselben Decknamen trug wie diejenige, die vom mutmaßlichen Entwickler von Skuld betrieben wird. Dies könnte darauf hindeuten, dass es Pläne gibt, das Skuld-Angebot künftig als Dienstleistung für andere Cyberkriminelle zu vermarkten.
Die wichtigsten Erkenntnisse zu Skuld
- Die Skuld-Beispiele sind alle in Golang 1,20,3 geschrieben und nutzen eine Vielzahl von Bibliotheken, um die verschiedenen unterstützten Aufgaben auszuführen.
- Beim Start lädt der Stealer einige Parameter, Pfade und reguläre Ausdrücke in eine interne String-Map-Struktur, die später verschiedene Module unterstützt. Nach der Einrichtung einer Ausführungsumgebung zeigt die Malware dem Opfer eine gefälschte Fehlermeldung an, bevor sie verschiedene Module ausführt, um Informationen zu stehlen.
- Bevor Skuld mit dem Diebstahl von Informationen beginnt, prüft es anhand verschiedener Eigenschaften der Umgebung, ob es von einer Sicherheitssoftware oder einem Forscher analysiert wird. Sollte Skuld feststellen, dass es überwacht wird, wird es seine Ausführung beenden.
- Skuld nutzt drei verschiedene Methoden, um zu überprüfen, ob es sich bei dem Zielsystem um eine virtuelle Maschine handelt oder nicht. Die erste Methode prüft, ob die Bildschirmauflösung des Systems mehr als 200x200 Pixel beträgt. Ist dies nicht der Fall, geht das Programm davon aus, dass es in einer virtuellen Umgebung ausgeführt wird. Die zweite Methode prüft, ob der gesamte Arbeitsspeicher mehr als 2 000 000 000 Byte beträgt. Und die dritte Methode überprüft verschiedene Registrierungsschlüssel, die mit Video- und Festplatteninformationen auf dem System in Verbindung stehen. Sollte eine dieser Dateien Informationen enthalten, die sich auf VMware oder VirtualBox beziehen, wird die Anwendung beendet.
- Im Rahmen der abschließenden Überprüfungen durch Skuld werden die laufenden Prozesse des Systems ermittelt und mit einer vordefinierten Sperrliste abgeglichen. Sollte ein Prozess mit einem Eintrag auf der Sperrliste übereinstimmen, beendet die Malware diesen Prozess.
- Nachdem Skuld sich vergewissert hat, dass es sich in einer realen und nicht in einer virtualisierten Umgebung befindet, beginnt es, Informationen vom Opfer zu stehlen.
- Skuld verfügt über verschiedene Methoden, um Informationen aus Discord zu stehlen. Zunächst wird versucht, JavaScript-Code in das Modul „discord_desktop_core“ einzufügen. Um die Sicherheitsfunktionen von Better Discord zu umgehen, manipuliert die Malware die Datei „%APPDATA%\BetterDiscord\data\betterdiscord.asar“ und ersetzt dabei die Zeichenfolge „api/webhooks“ durch die Zeichenfolge „ByDeathined“. Nach dem Einschleusen seines Codes versucht Skuld, die Discord-Sicherheitscodes zu stehlen, die als Alternative zu MFA-Codes dienen, und das Konto zu übernehmen.
- Skuld zielt anschließend auf Informationen ab, die von Chromium- und Gecko-basierten Browsern gespeichert werden. Zu den gestohlenen Browserdaten gehören lokale Daten, Anmeldedaten, Cookies, der Browserverlauf, Downloads und Sitzungstoken. Sobald die Informationen erfasst wurden, werden sie archiviert, in eine Datei namens „browsers.zip“ komprimiert und abtransportiert.
Wer ist für Skuld verantwortlich?
Der Entwickler hinter „Skuld“ ist unter dem Pseudonym „Deathined“ bekannt. Trellix stieß zunächst auf das GitHub-Profil eines Nutzers mit demselben Alias, dessen Avatar-URL mit der „icon_url“ in der Fußzeile des Discord-Webhooks von Skuld übereinstimmte.
Auf dem GitHub-Konto „Deathined“ wird angegeben, dass dessen Inhaber über Programmierkenntnisse in Golang verfügt, was zweifellos mit der Programmiersprache der Skuld-Malware übereinstimmt. Das GitHub-Konto wurde ebenfalls erst kürzlich unter April 2023 erstellt – nur wenige Wochen vor Beginn der Untersuchung durch Trellix.
Im Rahmen seiner weiteren Ermittlungen zur Online-Präsenz des mutmaßlichen Entwicklers suchte Trellix nach weiteren Konten mit demselben Benutzernamen und stieß auf ein Reddit-Konto, das ebenfalls im April erstellt worden war. Außerdem entdeckten sie einen Tumblr-Account mit demselben Spitznamen. Schließlich fanden sie ein Carrd-Konto, das einen Link zu dem bekannten Twitter-Konto @deathined enthält.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Skuld ist eine weitere Malware, die auf den Golang-Zug aufspringt. Trellix fasst die wachsenden Bedenken hinsichtlich der mit Golang entwickelten Malware treffend zusammen:
Die Zunahme von Golang-Malware gibt in der sich ständig wandelnden Cybersicherheitslandschaft Anlass zu großer Sorge. Da Golang immer beliebter wird, nutzen Cyberkriminelle dessen Stärken, um neue Malware-Varianten zu entwickeln, die eine ernsthafte Bedrohung für Nutzer und Unternehmen darstellen.
3. Im Rahmen einer groß angelegten Phishing-Kampagne werden 6 000 Websites genutzt, um sich als 100 Marken auszugeben
Ein neuer Bericht des Bedrohungsforschungsteams von Bolster enthüllt die Entdeckung einer weit verbreiteten Phishing-Kampagne unter dem Namen „ “ – die Berichten zufolge bereits seit dem Juni 2022 läuft – bei der sich die Angreifer als über 100 beliebte Bekleidungs-, Schuh- und Modemarken ausgeben, um die Opfer dazu zu verleiten, ihre Zugangsdaten und Finanzinformationen auf betrügerischen Websites einzugeben.
Details zur Kampagne
- Laut BleepingComputer gehören zu den Marken, die auf den oben genannten gefälschten Websites nachgeahmt werden, Nike, Puma, Asics, Vans, Adidas, Columbia und einige weitere.
- Die Phishing-Kampagne wurde vom Bedrohungsforschungsteam von Bolster aufgedeckt. Dessen Analysten berichten, dass die Aktion etwa um den Juni 2022 begann und zwischen dem November 2022 und dem Februar 2023 ihren Höhepunkt erreichte.
- Die Kampagne stützt sich auf mindestens 3 000 eindeutige Domains und etwa 6 000 Websites – einschließlich inaktiver Websites.
Phishing-Infrastruktur
Der Bericht von Bolster enthält einen Überblick über die Infrastruktur der Phishing-Angriffe im Rahmen dieser Kampagne. Die mit diesem Vorgang verbundenen Domains wurden von den Entdeckern auf die Nummer des autonomen Systems (ASN) AS48950 zurückgeführt.
Von Bolster:
Die IP-Adressen dieser Domains werden von zwei bestimmten Internetdienstanbietern gehostet, nämlich Packet Exchange Limited und Global Colocation Limited. Es ist anzumerken, dass beide Anbieter hinsichtlich des Betrugsrisikos einen negativen Ruf haben.
Die Forscher von Bolster weisen zudem darauf hin, dass eine deutliche Mehrheit der betroffenen Domains (etwa 1 500) bei der Registrierungsstelle ALIBABA.COM SINGAPORE E-COMMERCE PRIVATE LIMITED registriert ist. Was die Dauer des Bestehens dieser Domains betrifft, so variiert deren Alter. Einige sind etwa zwei Jahre alt, während ein erheblicher Teil erst vor etwa 90 Tagen registriert wurde.
BleepingComputer äußerte sich wie folgt zum Alter der verdächtigen Domains:
Das Alter einer Domain ist ein entscheidender Faktor bei Phishing-Angriffen, denn je länger eine Domain aktiv ist, ohne dass sie Schaden anrichtet, desto unwahrscheinlicher ist es, dass sie von Sicherheitstools als verdächtig eingestuft wird. Dass Domains mindestens zwei Jahre lang „reifen“ gelassen werden, berichtete Confiant bereits im vergangenen Jahr, nachdem das Unternehmen diese Taktik in einer weltweiten Malvertising-Kampagne beobachtet hatte, die sie seit 2018 erfolgreich einsetzt. Im Rahmen der von Bolster aufgedeckten Kampagne blieben viele der bösartigen Domains so lange unentdeckt, dass die Google-Suche sie indexierte und sie nun bei bestimmten Suchbegriffen wahrscheinlich ganz oben in den Suchergebnissen erscheinen.
Diese Strategie erweist sich als besonders wirksam für Cyberkriminelle, die darauf aus sind, ahnungslose Opfer dazu zu verleiten, Phishing-Websites aufzurufen. Dahinter steht die Überlegung, dass der durchschnittliche Nutzer ein hohes Ranking in der Google-Suche mit der Authentizität und Vertrauenswürdigkeit der jeweiligen Domain in Verbindung bringt.
Bemerkenswert ist, dass die Domains dieser Betrugsmasche einem sich wiederholenden Muster folgen: Der Name der Marke, deren Identität missbraucht wird, wird in Verbindung mit dem Namen einer Stadt oder eines Landes verwendet, gefolgt von einer generischen Top-Level-Domain (TLD) wie beispielsweise .com.
Den Forschern von Bolster zufolge unterhielt die Kampagne mehr als 10 gefälschte Websites, die so gestaltet waren, dass sie denen einer Reihe beliebter Marken ähnelten. Jede betrügerische Domain war Berichten zufolge so gestaltet, dass sie der authentischen Website des jeweiligen Unternehmens sehr ähnlich sah.
Empfohlene Maßnahmen
Bolster gibt einige Empfehlungen, wie Sie Phishing-Angriffe und gefälschte Websites, die bekannte Marken imitieren, vermeiden können.
Von Bolster:
Vergewissern Sie sich, dass Sie sich auf einer offiziellen Markenwebsite befinden, indem Sie die Domain der Originalmarke überprüfen. Achten Sie auf Anzeichen verdächtiger Domainnamen. Sollten Sie auf ein Angebot oder einen Produktpreis stoßen, der zu gut erscheint, um wahr zu sein, sollten Sie zusätzliche Maßnahmen ergreifen, um die Seriosität der Domain zu überprüfen. Für Unternehmen ist es zudem von entscheidender Bedeutung, ihre digitalen Vermögenswerte vor Angriffen durch Markenimitationen zu schützen, um eine Schädigung ihres Markenrufs zu verhindern. Sollten Kunden (oder Mitarbeiter, Partner und andere Personen in Ihrem Netzwerk) Opfer eines Betrugs werden, bei dem sich die Täter als Ihr Unternehmen ausgeben, kann dies dazu führen, dass sie künftig keine Einkäufe mehr bei Ihnen tätigen, und zudem negative Bewertungen, schlechte Presse und eine negative Mundpropaganda nach sich ziehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Diese Kampagne soll daran erinnern, warum es wichtig ist, stets ein hohes Maß an Wachsamkeit und Vorsicht walten zu lassen – insbesondere beim Online-Einkauf und beim gelegentlichen Stöbern auf E-Commerce-Websites.“
„Phishing-Kampagnen werden immer überzeugender.“ Diese Situation wird sich weiter verschärfen, da Cyberkriminelle immer leichteren Zugang zu , künstlicher Intelligenz (KI) sowie und Modellen des maschinellen Lernens erhalten. „Es wird zunehmend schwieriger, die Mitarbeiter über die neuesten E-Mail-basierten Bedrohungen, Social-Engineering-Methoden und andere sich ständig weiterentwickelnde TTPs, die Cyberkriminelle einsetzen, auf dem Laufenden zu halten.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
