In dieser Woche befasst sich CTI mit einem neuen „Adversary-in-the-Middle“ (AiTM)-Phishing-Kit, das mit der „Tycoon 2FA “ Phishing-as-a-Service-Plattform (PhaaS-Plattform) in Verbindung steht. Als Nächstes untersucht CTI eine kürzlich versandte Phishing-E-Mail mit dem Betreff „ “ ( ), über die die Malware „Agent Tesla“ verbreitet wurde. Abschließend untersucht CTI eine neue Variante des „TheMoon“-Malware-Botnetzes, das Tausende von Routern und IoT-Geräten in 88 Ländern infiziert hat.
1. Forscher entdecken eine neue Version des Phishing-Kits „Tycoon 2FA AiTM“
Forscher haben im Phishing-Kit „Middle- “ (AiTM), das mit der „Phishing-as-a-Service“-Plattform (PhaaS) „Tycoon 2FA “ in Verbindung steht, einen neuen Angreifer namens „ “ entdeckt.
„Tycoon 2FA “ hat sich in den letzten Monaten zu einem der am weitesten verbreiteten AiTM-Phishing-Kits entwickelt. Die neueste Version von „Tycoon 2FA “, die in „Februar 2024“ entdeckt wurde, verfügt über verbesserte Verschleierungs- und Anti-Analyse-Funktionen sowie neue Datenverkehrsmuster.
So funktioniert „Tycoon 2FA “
Das neueste „Tycoon 2FA “-Phishing-Kit basiert auf der AiTM-Technik. Der angreifende Server hostet die Phishing-Seite, fängt die Eingaben der Opfer ab und leitet diese an den legitimen Dienst weiter, der die Anfrage zur Multi-Faktor-Authentifizierung (MFA) unter auslöst:.
Sobald der Benutzer die entsprechende MFA-Überprüfung abgeschlossen und sich authentifiziert hat, erfasst der zwischengeschaltete Server die Sitzungs-Cookies. Diese Cookies ermöglichen es dem Angreifer, eine Sitzung nachzustellen und so die MFA zu umgehen.
- Phase 0: „ “ Der Angriff beginnt mit der Verbreitung von Phishing-Seiten, häufig über Weiterleitungen von URLs und QR-Codes. Das Phishing-Kit „Tycoon 2FA “ stellt seinen Nutzern Vorlagen für Phishing-Seiten sowie Scheindokumente zur Verfügung, die in den E-Mails selbst verwendet werden können.
- Phase 1: Nachdem der Nutzer auf die Phishing-URL geklickt hat, wird er auf eine Seite weitergeleitet, die eine Cloudflare-Turnstile-Prüfung enthält, um den Datenverkehr von Bots und Analysten zu verhindern. Zur Lösung der Sicherheitsaufgabe ist menschliches Eingreifen erforderlich.
- Schritt 2: Das JavaScript wird im Hintergrund ausgeführt, bevor der Nutzer auf eine andere Seite weitergeleitet wird. Der HTML-Code dieser neuen Seite enthält JavaScript, das die E-Mail-Adresse aus der URL extrahiert, sofern vorhanden, um den Angriff individuell anzupassen.
- Schritt 3: Auch dieser Schritt ist für den Nutzer nicht sichtbar und leitet ihn auf eine andere Seite der Phishing-Domain weiter.
- Stufe 4: In dieser Stufe wird eine gefälschte Microsoft-Authentifizierungsseite angezeigt, die den Webbrowser des Benutzers identifiziert, eine WebSocket-Verbindung zum Server C2 herstellt, die Socket-Kommunikation implementiert, Benutzereingaben erfasst und abfließen lässt sowie die endgültige Weiterleitungs-URL abruft.
- Schritt 5: In Schritt 5 wird die Microsoft-Seite 2FA erstellt und dem Opfer angezeigt; dabei wird das Token abgefangen, um Sicherheitsmaßnahmen zu umgehen.
- Schritt 6: Das Opfer wird schließlich auf eine seriös wirkende Seite weitergeleitet.
Die wichtigsten Neuerungen bei diesem Angriff sind die Änderungen am JavaScript- und HTML-Code, die für Phishing-Angriffe verwendet werden. Die Seiten in dieser Version wurden geringfügig geändert und rufen nun die erforderlichen Ressourcen in einer anderen Reihenfolge ab, wodurch unerwünschter Datenverkehr von Bots und Sicherheitsanalysten herausgefiltert wird.
Sekoia weist darauf hin, dass es zwar ähnliche Funktionen zur Entschleierung sowohl in der alten als auch in der neuen Version gab, sich jedoch die Gesamtstruktur geändert hat. Der größte Unterschied liegt in den Verbesserungen verschiedener Tarnstrategien, bei denen die schädlichen Ressourcen erst bereitgestellt werden, wenn das Opfer die CloudFlare-Turnstile-Herausforderung gelöst hat.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Änderungen in der neuesten Version von „Tycoon 2FA “ betreffen in erster Linie die Verbesserung von Tarn- und Ausweichtechniken. Diese Maßnahme lässt darauf schließen, dass der Angreifer hinter dem Phishing-Kit bestrebt ist, die Funktionen des Kits zu erweitern, wahrscheinlich um dessen Bekanntheitsgrad zu steigern.
Sekoia berichtet, dass das Ausmaß der Aktivitäten beträchtlich ist und es Hinweise darauf gibt, dass derzeit eine Reihe von Cyberkriminellen Tycoon 2FA nutzen.
2. Bei einem Phishing-Angriff wird ein Keylogger als Zahlungsaufforderung einer Bank getarnt
Im März entdeckten Forscher eine Phishing-E-Mail, über die die Malware „ “ namens „Agent Tesla“ verbreitet wurde:.
Die E-Mails selbst enthalten eine ausführbare Windows-Datei, die sich als betrügerische Bankzahlungsbenachrichtigung von „ “ () tarnt und das Opfer dazu auffordert, diese zu öffnen. Der Loader ist in der Lage, Antivirensoftware zu umgehen, und ruft seine Nutzlast mithilfe von Proxys ab, um seinen Datenverkehr zu verschleiern.
Die Infektionskette
Dieser Angriff beginnt mit einer Phishing-E-Mail, die vorgibt, eine Benachrichtigung der Bank des Opfers zu sein. Bei der angehängten Archivdatei handelt es sich um einen Loader, der verschiedene Techniken zur Verhinderung von Analysen und zur Umgehung von Erkennung einsetzt, bevor er schließlich den Infostealer „Agent Tesla“ bereitstellt und diesen vollständig im Speicher ausführt.
Der E-Mail-Zusteller/Lader
Die Phishing-E-Mail gibt vor, eine gefälschte Zahlungsbenachrichtigung einer Bank zu sein, und enthält einen Anhang, der wie eine Zahlungsbestätigung einer Bank aussieht.
Das beigefügte tar.gz-Archiv enthält einen schädlichen Loader, der mit .NET kompiliert wurde und dessen Funktionalität durch Verschleierung und Komprimierung verborgen ist. Bei der Initialisierung entschlüsselt das Programm die für den Betrieb erforderlichen Konfigurationsdaten. Trustwave hat zwei verschiedene Versionen des polymorphen Loaders festgestellt.
Umgehung von Antivirenprogrammen/Abruf der Payload
Der Loader wird die Funktion „AmsiScanBuffer“ manipulieren, um die Antimalware-Scan-Schnittstelle (AMSI) zu umgehen und so die Überprüfung der im Speicher befindlichen Inhalte durch Malware-Scanner zu verhindern.
Anschließend zielt der Angriff auf eine unter einer bestimmten URL gehostete Nutzlast ab, wofür eine bestimmte User-Agent-Zeichenkette erforderlich ist. Eine der Varianten nutzt einen HTTP-Proxy-Server aus einer Open-Source-Liste auf GitHub, um die Nutzlast herunterzuladen.
Sobald die Nutzlast im Speicher abgelegt ist, nutzt der Loader die Reflection- und Assembly-Ladefunktionen von .NET, um den Haupteinstiegspunkt der Nutzlast aufzurufen und die Agent-Tesla-Malware auszulösen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Agent Tesla“ ist eine berüchtigte Malware, die häufig von verschiedenen Angreifern eingesetzt wird und daher auf vielfältige Weise verbreitet wird.
Diese spezielle Verbreitung der Malware ist insofern bemerkenswert, als ihr Loader eine Reihe von Verschleierungs- und Anti-Analyse-Techniken einsetzt und „polymorphes Verhalten mit unterschiedlichen Entschlüsselungsroutinen aufweist“.
Trustwave geht davon aus, dass der Loader aus diesem Grund in Zukunft zur Verbreitung verschiedener Arten von Malware genutzt werden könnte.
3. Die Malware „TheMoon“ zielt auf ASUS-Router ab
Eine neue Variante der Malware „ “ aus dem Botnetz „TheMoon“ hat Tausende von Routern und IoT-Geräten in 88 Ländern infiziert.
Die Malware steht in Verbindung mit dem Proxy-Dienst „Faceless“ von ( ), der die infizierten Geräte als Proxys nutzt und den Datenverkehr für Angreifer weiterleitet, die ihre Aktivitäten verschleiern wollen. Die jüngste „TheMoon“-Kampagne, bei der im März in weniger als 72 Stunden über 6 000 ASUS-Router kompromittiert wurden.
Was ist die Malware „TheMoon“?
TheMoon tauchte erstmals im Jahr 2014 auf und ist mittlerweile auf über 40 000 Bots angewachsen – von denen viele im berüchtigten Faceless-Proxy-Dienst zum Einsatz kommen. Forscher gehen davon aus, dass TheMoon die Nutzerzahl von Faceless um etwa 7 000 neue Nutzer pro Woche erhöht.
Black Lotus Labs hat eine Kampagne identifiziert, die in der ersten Woche des Monats März 2024 startete und auf 6 000 ASUS-Router abzielte. Ihrer Analyse zufolge scheint es, als habe der Angreifer Geräte ins Visier genommen, deren Lebensdauer sich dem Ende zuneigt.
Malware-Analyse
Der Angriff begann mit einer Loader-Datei, die prüft, ob bestimmte Shells vorhanden sind. Wird keine der Shells erkannt, wird die Datei angehalten. Wird eine der Shells identifiziert, entschlüsselt sie die Payload der nächsten Stufe, lädt sie herunter und führt sie aus. Die Binärdatei richtet zunächst mehrere iptables-Regeln ein, bevor sie einen Thread startet, um eine Verbindung zu einem NTP-Server herzustellen – vermutlich, um zu überprüfen, ob das Gerät über eine Internetverbindung verfügt und sich nicht in einer Sandbox befindet.
Anschließend durchläuft das Programm eine fest programmierte Liste von IP-Adressen, baut eine Verbindung über Port 15194 auf und sendet ein fest programmiertes Paket.
Forscher haben zwei Module identifiziert, darunter ein Wurm-Modul und eine Datei mit dem Namen .sox. Das Wurm-Modul versucht, sich zu verbreiten, indem es einen IP-Block nach anfälligen Zielen durchsucht. Sobald die .sox-Datei ausgeführt wird, bettet sie Funktionen zur Änderung von iptables ein, wodurch sie zusätzliche Ports öffnen und weitere Module herunterladen kann.
Überschneidung zwischen TheMoon und Faceless
Black Lotus Labs hat eine Überschneidung zwischen den Aktivitätsclustern von TheMoon und Faceless festgestellt. Bei der Betrachtung eines Zeitraums von 10 Tagen stellten sie fest, dass etwa 80 % der Bots, die mit „Faceless“ C2s kommunizierten, auch mit „TheMoon“ C2 kommunizierten.
Wenn ein Bot mit einem Faceless-Server kommuniziert, wird er in das Faceless-Proxy-Netzwerk aufgenommen. Die Forscher stellten fest, dass 30 % der Infektionen länger als 50 Tage andauerten, während nur 15 % der Geräte weniger als 48 Stunden Teil des Netzwerks waren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Cyberkriminelle suchen ständig nach Möglichkeiten, Angriffe heimlich durchzuführen und dabei anonym zu bleiben. Neben Mitteln wie VPNs greifen Angreifer mittlerweile auch auf Proxy-Server zurück, um ihre Aktivitäten zu verschleiern.
Black Lotus Labs ist der Ansicht, dass dieser Trend hin zu Proxy-Diensten auch auf die zunehmenden Eingriffe durch Strafverfolgungsbehörden zurückzuführen sein könnte, wodurch für Angreifer die Notwendigkeit wächst, ihren Datenverkehr zu anonymisieren. Es ist anzumerken, dass viele der betroffenen Gerätemodelle das Ende ihrer Lebensdauer erreicht haben, was die mit auslaufenden Technologien verbundenen Risiken erneut verdeutlicht.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
