Seit der zweiten Hälfte des Jahres 2024 zielen ausgeklügelte Cyberangriffe auf Organisationen ab, insbesondere im russischen IT-Sektor. Angreifer setzen fortschrittliche Umgehungstechniken ein und nutzen beliebte Online-Plattformen wie GitHub, Quora und soziale Medien, um ihre bösartige Nutzlast zu liefern und letztendlich den Cobalt Strike Beacon zu implementieren.
Eine heimliche Infiltration
Die Kampagne, die zwischen November 2024 und April 2025 am aktivsten war, begann mit sehr überzeugenden Spear-Phishing-E-Mails. Diese E-Mails imitierten Mitteilungen großer staatlicher Unternehmen, oft aus der Öl- und Gasindustrie, um Empfänger dazu zu verleiten, bösartige Anhänge zu öffnen. Diese Anhänge waren typischerweise RAR-Archive, die eine täuschende Struktur enthielten: eine bösartige .lnk-Datei, Köder-PDF-Dokumente und ein verstecktes Verzeichnis mit als PDFs getarnten ausführbaren Dateien.
Beispiel einer Spear-Phishing-E-Mail
Nach Ausführung der .lnk-Datei kopierte und benannte die Malware diese Dateien in der Benutzerumgebung um, um die Voraussetzungen für eine weitere Kompromittierung zu schaffen. Eine wichtige eingesetzte Technik war das DLL-Hijacking, bei dem das legitime BugSplat-Absturzberichtsprogramm (BsSndRpt.exe) ausgenutzt wurde. Die Angreifer benannten dieses Dienstprogramm um und koppelten es mit einer bösartigen DLL, wodurch das Dienstprogramm gezwungen wurde, den bösartigen Code anstelle seines authentischen Gegenstücks zu laden.
Schema der Ausführung der Verknüpfung „Requirements.lnk“
Schema des Prozesses nau.exe
Nutzung legitimer Plattformen für bösartige Zwecke
Um die Erkennung weiter zu umgehen, nutzte die bösartige DLL dynamische API-Auflösung und XOR-verschlüsselte Hashes, was die statische Analyse erschwerte. Sie hakte auch Windows-API-Funktionen ein und leitete Aufrufe an benutzerdefinierte Funktionen innerhalb der bösartigen Bibliothek um. Diese Funktionen holten dann Shellcode von webbasierten Quellen ab, wobei sie speziell Befehls- und Kontroll-(C2)-Informationen und Payload-URLs in HTML-Inhalte einbetteten, die in Benutzerprofilen auf Plattformen wie Microsoft Tech Community, Quora, GitHub und russischen sozialen Netzwerken gefunden wurden.
Schädliche Profile auf verschiedenen gängigen Ressourcen
Diese Methode, bösartige Daten in legitimen, benutzergenerierten Inhalten zu verstecken, ermöglichte es Angreifern, eine komplexe und widerstandsfähige Ausführungskette zu erstellen. Der Shellcode, ein reflektierender Loader, wurde entwickelt, um den Cobalt Strike Beacon direkt in den Prozessspeicher zu injizieren und die Kommunikation mit C2-Servern herzustellen. Obwohl die identifizierten Konten speziell für den Angriff erstellt wurden, könnten die Techniken leicht angepasst werden, um legitime Benutzerbeiträge oder Kommentare zu kompromittieren.
Wichtige Erkenntnisse
-
Bedrohungsakteure setzen zunehmend ausgeklügelte Methoden ein, um bekannte Tools wie Cobalt Strike zu verbergen.
-
Legitime Online-Plattformen werden missbraucht, um Command-and-Control-Infrastruktur zu hosten und bösartige Nutzlasten zu liefern.
-
DLL-Hijacking und dynamische API-Auflösung sind gängige Umgehungstechniken.
-
Spear-Phishing-E-Mails bleiben ein primärer Vektor für den Erstzugriff.
Die Kampagne, die sich hauptsächlich an russische IT-Unternehmen richtete, zeigte auch Aktivitäten in China, Japan, Malaysia und Peru. Organisationen wird geraten, eine wachsame Überwachung aufrechtzuerhalten, die Schulung zur Cybersicherheits-Sensibilisierung für Mitarbeiter zu verbessern und robuste Sicherheitslösungen einzusetzen, um solche fortgeschrittenen Bedrohungen zu erkennen und zu blockieren. Indikatoren für eine Kompromittierung sind das Vorhandensein unsignierter BugSplatRc64.dll-Dateien oder das Auftreten des BugSplat-Dienstprogramms mit nicht standardmäßigen Dateinamen.
Quellen
-
Gezielte Angriffe nutzen Konten auf beliebten Online-Plattformen als C2-Server, Securelist.
-
Hacker nutzen GitHub und soziale Medien, um Cobalt Strike Beacon zu liefern, Cyber Press.
-
Hacker setzen Cobalt Strike Beacon über GitHub und soziale Medien ein, GBHackers News.
Dieser Artikel wurde mit Unterstützung KI-gestützter Technologie erstellt und basiert auf mehreren renommierten Quellen. Der endgültige Inhalt wurde von der Redaktion von BlockzHub sorgfältig geprüft und bearbeitet, um Genauigkeit, Klarheit und Kohärenz sicherzustellen. Originalquellen werden, sofern erforderlich und angemessen, entsprechend gewürdigt. Die in diesem Artikel geäußerten Meinungen spiegeln nicht notwendigerweise die offiziellen Ansichten oder Positionen von BlockzHub wider. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Fachberatung dar. Investitionen bergen Risiken, und Sie sollten vor Anlageentscheidungen einen qualifizierten Finanzberater konsultieren.