Den Auftakt der Zusammenfassung dieser Woche bildet ein Überblick über eine neue Variante der XLoader-Malware für macOS, die sich als Office-Anwendung tarnt. Anschließend untersucht CTI die jüngste Kampagne der Lazarus-Gruppe sowie die Entdeckung einer neuen Bedrohung namens CollectionRAT. Abschließend erläutert CTI, wie Angreifer Facebook-Werbeaktionen mit großen Sprachmodellen (LLMs) missbrauchen, um Schadcode zu verbreiten.
Die macOS-Variante von XLoader tarnt sich als Produktivitäts-App
Sentinel One hat eine Variante der macOS-Malware „ “ namens „XLoader“ (wird in einem neuen Tab geöffnet) in freier Wildbahn entdeckt. Die Kampagne verschleiert ihre schädlichen Funktionen, indem sie sich als Office- -Produktivitäts-App namens „OfficeNote“ (wird in einem neuen Tab geöffnet) ausgibt und dabei die XLoader-Variante in ein Standard-Apple-Disk-Image bündelt.
Was ist die XLoader-Malware?
Die Malware „XLoader“ ist eine umbenannte Version der Malware „Formbook“. Es fungiert in erster Linie als Infostealer sowohl für Windows als auch für macOS.
XLoader tauchte Anfang 2020 in Untergrundforen der Cyberkriminalität auf, kurz nachdem Formbook von seinem Autor stillgelegt worden war. Die erste macOS-Variante wurde im Jahr 2021 entdeckt und zeichnete sich dadurch aus, dass sie als Java-Programm verbreitet wurde. Die Malware wird im Rahmen eines „Malware-as-a-Service“-Vertrags (MaaS) verkauft, wodurch Abonnenten Zugriff auf das Administrationspanel und ausführbare Versionen erhalten.
Die neue Variante von macOS XLoader wurde nativ in den Programmiersprachen C und Objective-C geschrieben. Es ist mit einer Apple-Entwicklersignatur signiert und tarnt sich als Office-Anwendung namens „OfficeNote“.
Wie wird die XLoader-Malware verbreitet?
Die neueste XLoader-Variante ist in einem standardmäßigen Apple-Disk-Image namens „OfficeNote.dmg“ enthalten. Diese Variante ist mit der Entwicklersignatur von MAIT JAKHU versehen und wurde am 17. Juli 2023 signiert. Apple hat die Signatur inzwischen widerrufen. Die Tests von SentinelOne deuten jedoch darauf hin, dass Apples Tool zur Malware-Abwehr keine Signatur enthält, um die Ausführung dieser Malware zu verhindern.
Im Laufe des Monats Juli sind mehrere Exemplare dieser Variante bei VirusTotal aufgetaucht, was darauf hindeutet, dass sie wahrscheinlich bereits in freier Wildbahn verbreitet wird. In illegalen Foren wird diese neue macOS-Variante für 199 US-Dollar pro Monat oder 299 US-Dollar für drei Monate beworben. Dies ist im Vergleich zur Windows-XLoader-Variante, die mit 59 US-Dollar pro Monat angeboten wird, relativ teuer.
Dropper und Persistenz
Wenn diese Variante ausgeführt wird, gibt die Anwendung „OfficeNote“ standardmäßig eine Fehlermeldung aus, die den Benutzer darüber informiert, dass die Anwendung nicht geöffnet werden kann. Im Hintergrund entpackt die Malware ihre Nutzlast und installiert einen Persistenz-Agenten. Diese Meldung ist mithilfe einer „Stack-String“-Technik fest codiert, die bereits in früheren Varianten von XLoader zum Einsatz kam.
Die Payload wird im Home-Verzeichnis des Benutzers unter dem Namen ~/73a470tO abgelegt und ausgeführt. Es erstellt ein verstecktes Verzeichnis und eine sehr einfache, minimalistische Anwendung innerhalb dieses Verzeichnisses. Während der Name der Nutzlast im Dropper fest codiert ist, werden der Name des versteckten Verzeichnisses, der Anwendung und der ausführbaren Datei bei jeder Ausführung zufällig generiert. Zudem wird ein LaunchAgent im Ordner „Bibliothek“ des Benutzers abgelegt, damit die ausführbare Datei zwischen dem ersten und den nachfolgenden Ausführungen unterscheiden kann.
Verhalten der Nutzlast
Die Malware „XLoader“ versucht, vertrauliche Daten aus der Zwischenablage über die Apple-APIs „NSPasteboard“ und „generalPasteboard“ zu stehlen. Es kann zudem die Browser Firefox und Chrome ins Visier nehmen, um Dateien mit Anmeldedaten auszulesen. Seltsamerweise scheint diese Variante für macOS nicht auf den Safari-Browser abzuzielen.
Die Malware nutzt Scheinnetzwerkaufrufe, um den tatsächlichen C2 zu verschleiern. SentinelOne hat 169 DNS-Namensauflösungen und 203 HTTP-Anfragen beobachtet und im Rahmen dieser Aktivitäten eine Handvoll verdächtiger IP-Adressen identifiziert. Es versucht auf verschiedene Weise, sich einer Analyse zu entziehen. Der Dropper und die Nutzlast versuchen, das Anfügen von Debuggern mittels Ptrace zu verhindern. Die Malware führt zudem Schlafbefehle aus, um ihre Aktivität zu verzögern.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die neueste macOS-Variante von XLoader zielt eindeutig auf Nutzer in einem beruflichen Umfeld ab, was daran zu erkennen ist, dass sie sich als Büro-Produktivitätsanwendung tarnt.“ Der im Vergleich zu den Windows-Varianten hohe Preis in den Untergrundforen der Cyberkriminellen deutet zudem darauf hin, dass die Entwickler davon ausgehen, dass diese Variante ein größeres Interesse wecken bzw. eine höhere Rendite erzielen wird. „Wie SentinelOne hervorhebt, stellt XLoader weiterhin eine Bedrohung für macOS-Nutzer und Unternehmen dar.“
2. Die nordkoreanische „Lazarus“-Gruppe setzt neue Malware ein
Cisco Talos hat kürzlich die jüngste Kampagne der Lazarus-Gruppe „ “ untersucht: (wird in einem neuen Tab geöffnet) . Im Rahmen dieser Kampagne nutzte die Gruppe eine Sicherheitslücke in ManageEngine ServiceDesk aus, um mehrere Bedrohungen zu verbreiten.
Ihre Untersuchungen zu dieser Kampagne – in Verbindung mit wiederverwendeten Infrastrukturkomponenten – führten sie zur Entdeckung einer neuen Bedrohung namens CollectionRAT. Auch die Lazarus-Gruppe ändert ihre Vorgehensweise und setzt in der Phase des ersten Zugriffs zunehmend auf Open-Source-Tools.
Wiederverwendung von Infrastruktur
Der von Nordkorea unterstützte Angreifer nutzt in seinen jüngsten Kampagnen weiterhin weitgehend dieselbe Infrastruktur, obwohl viele dieser Komponenten im Laufe der Jahre von Forschern dokumentiert wurden.
Auch wenn dies auf den ersten Blick seltsam erscheinen mag, unterstreicht es doch das Selbstvertrauen der Gruppe in ihre Angriffe. Diese jüngste Kampagne macht deutlich, wie aktiv diese Gruppe ist.
Ein sich weiterentwickelndes Arsenal
Die neu entdeckte Malware „CollectionRAT“ verfügt über eine Reihe typischer RAT-Funktionen, wie beispielsweise die Möglichkeit, beliebige Befehle auszuführen und Dateien auf dem Gerät zu verwalten.
Das Implantat nutzt eine komprimierte Windows-Binärdatei, die auf der Microsoft Foundation Class (MFC)-Bibliothek basiert, um die Malware zu entschlüsseln und auszuführen. Das MFC-Framework dient hier ausschließlich als Hülle und Entschlüsselungsprogramm für den eigentlichen Schadcode.
Die Malware erfasst Systeminformationen, um die Infektion zu identifizieren, und übermittelt diese an den Command-and-Control-Server (C2). Es wird Befehle vom Server C2 empfangen, um verschiedene Aufgaben auszuführen. Es ist in der Lage, eine Reverse-Shell zu erstellen, Dateien von der Festplatte zu lesen und zu schreiben sowie neue Prozesse zu starten, um weitere Payloads herunterzuladen und zu installieren. Es kann sich zudem auf Anweisung des C2 selbst vom Gerät entfernen.
CollectionRAT und dessen Verbindung zu EarlyRAT
Cisco Talos hat die mit CollectionRAT in Verbindung stehenden IOCs analysiert und dabei einen Zusammenhang zu EarlyRAT festgestellt, einer Malware, die der Andariel-Untergruppe von Lazarus zugeschrieben wird.
CollectionRAT wurde mit demselben Zertifikat signiert, das auch zur Signierung einer älteren Version von EarlyRAT aus 2021 verwendet wurde. Beide Schadprogramme verwendeten dasselbe Zertifikat mit derselben Seriennummer und demselben Fingerabdruck. EarlyRAT wird häufig durch die erfolgreiche Ausnutzung der Log4j -Sicherheitslücke eingeschleust.
Einsatz von Open-Source-Tools beim Erstzugriff
Die Lazarus-Gruppe scheint ihre Taktik anzupassen, indem sie in der Anfangsphase ihrer Angriffe zunehmend auf Open-Source-Tools und -Frameworks zurückgreift, anstatt diese ausschließlich in der Phase nach der Kompromittierung einzusetzen.
Die Gruppe nutzte bislang maßgeschneiderte Implantate wie MagicRAT, um einen dauerhaften Erstzugang auf einem kompromittierten Rechner herzustellen. Die maßgeschneiderten Implantate wurden anschließend zum Einsatz von Open-Source-Tools verwendet. Diese Kampagne ist ein Beispiel dafür, dass der Angreifer das Open-Source-Framework „ DeimosC2 “ für den anfänglichen und dauerhaften Zugriff genutzt hat.
Es wurde zudem festgestellt, dass die Lazarus-Gruppe das Reverse-Shell-Tunneling-Tool „PuTTY Link“ (Plink) einsetzt. In der Vergangenheit nutzte der Angreifer Plink, um Fernzugriffstunnel einzurichten. Der Angreifer hat nun jedoch damit begonnen, aus dem Quellcode des Tools schädliche Plink-Binärdateien zu erstellen, um Befehlszeichenfolgen für den Reverse-Tunnel direkt in die Binärdatei selbst einzubetten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Tatsache, dass die Lazarus-Gruppe bei ihren Angriffen neue Malware einsetzt, ist angesichts der hohen Aktivität und Flexibilität dieser Gruppe mittlerweile fast schon zu erwarten.“
„In diesem Zusammenhang ändert der Angreifer seine Taktik und nutzt nun Open-Source-Tools in der Phase des ersten Zugriffs bei Angriffen.“ In der Vergangenheit setzte die Gruppe Open-Source-Tools ausschließlich in der Phase nach einem Sicherheitsvorfall ein, was eine deutliche Weiterentwicklung darstellt. „Der Grund für diese Veränderung ist nicht eindeutig, doch sie scheint mit der ständigen Weiterentwicklung der Angreifer und mit vielen der Beobachtungen, die wir in der Bedrohungslandschaft machen, im Einklang zu stehen.“
3. Angreifer missbrauchen Facebook-Werbeaktionen, um Schadcode zu verbreiten
Eine aktuelle Studie von Trend Micro beleuchtet, wie Angreifer Facebook-Werbeaktionen (wird in einem neuen Tab geöffnet) unter Einbeziehung von LLMs nutzen, um Schadcode zu verbreiten, mit dem Ziel, ein schädliches Browser-Add-on zu installieren und Anmeldedaten zu stehlen. Der Angreifer nutzt URL-Kürzer zur Weiterleitung von Links, Google Sites für das Webhosting sowie Cloud-Speicherdienste wie Google Drive und Dropbox, um schädliche Dateien zu hosten.
Facebook-Werbeaktionen als Infektionsweg
Der Angreifer nutzt die bezahlten Werbeanzeigen von Facebook, um potenzielle Opfer mit Anzeigen zu täuschen, in denen gefälschte Profile von Marketingunternehmen gezeigt werden. Diese gefälschten Profile weisen häufig gekaufte oder von Bots generierte Follower, gefälschte Bewertungen durch andere gekaperte Profile sowie eine begrenzte Online-Historie auf. Die Werbeanzeigen versprechen, die Produktivität zu steigern, die Reichweite und den Umsatz zu erhöhen oder den Unterricht zu unterstützen – und das alles mithilfe künstlicher Intelligenz. In einigen Fällen gab der Angreifer vor, Zugang zu Meta AI zu gewähren.
Sobald der Nutzer auf die Anzeige klickt, wird er auf eine einfache Website weitergeleitet, auf der die Vorteile der Nutzung von LLM dargelegt werden. Auf der Website finden Sie einen Link zum Herunterladen des KI-Pakets. Um einer Erkennung durch Antivirenprogramme zu entgehen, verbreitet der Angreifer das Paket als verschlüsseltes Archiv mit einfachen Passwörtern wie „ 999 “ oder „888“.
Verpackungsanalyse
Wenn das Archiv mit dem richtigen Passwort geöffnet und entschlüsselt wird, enthält es eine einzige MSI-Installationsdatei. Wenn das Installationsprogramm ausgeführt wird, werden im Rahmen des Installationsvorgangs Dateien abgelegt, die zu einer Chrome-Erweiterung gehören. Anschließend wird ein Batch-Skript ausgeführt, um den aktuell laufenden Browser zu beenden und ihn mit einer schädlichen Erweiterung neu zu starten, die sich als „Google Translate“ ausgibt.
Analyse bösartiger Erweiterungen
Die Hauptlogik der schädlichen Erweiterung ist im Service-Worker-Skript der Erweiterung enthalten. Nach der Entschleierung war Trend Micro in der Lage, die Datendiebstahlfunktionen des Programms zu analysieren.
Das Skript versucht zunächst, Facebook-Cookies zu stehlen, und prüft dabei, ob „c_user“ vorhanden ist. Anschließend wird es fortfahren, das Zugriffstoken zu stehlen und dieses zu nutzen, um weitere Informationen über Facebooks GraphQL abzufragen. Mit diesem Token kann das Skript die GraphQL-API von Facebook abfragen und die vom Konto verwalteten Seiten sowie Informationen zu diesen auflisten. Der Angreifer wird zudem versuchen, die IP-Adresse des Opfers zu ermitteln. Die gestohlenen Daten werden verkettet, URL-kodiert, base64 -kodiert und an einen C2 -Server weitergeleitet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Diese Kampagne und der Angreifer scheinen auf Manager, Administratoren und Marketingfachleute in sozialen Netzwerken für Unternehmen abzuzielen, was auf einen recht gezielten Angriff hindeutet.“
„Meta hat die betrügerischen Seiten und Anzeigen entfernt, nachdem Trend Micro das Unternehmen auf das Problem aufmerksam gemacht hatte; doch handelt es sich hierbei oft um eine Art ‚Whack-a-Mole‘-Situation, die sich nur schwer vollständig beseitigen lässt.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
