Spear-Phishing-Kampagne mit In-Memory-InfoStealer entdeckt

Konkret erstellten die Angreifer der jüngst durch Arctic Wolf aufgedeckten Spear-Phishing-Kampagne Phishing-Köder, die sich in drei Ländern als Baltic Control ausgaben.

Dabei kam eine Vorlage zur Erstellung der Phishing-Mails zum Einsatz, die in insgesamt fünf Ländern genutzt wurde. Die Angreifer gaben sich dabei als verschiedene Unternehmen aus und versendeten schädliche Excel-Anhänge, die jeweils dieselbe Malware-Ausführungskette in Gang setzten.

Der eigentliche technische Angriff beginnt nach dem beschaffungsbezogenen Phishing-Köder: Im Verlauf der Kampagne wird Speicher reserviert und mit DonutLoader ein bekannter Memory Injector in den laufenden Prozess geladen.

Anschließend führt DonutLoader den InfoStealer aus. Dieser stellt eine Command-and-Control-Verbindung her, sammelt Informationen über das infizierte System und im Browser gespeicherte Zugangsdaten sowie Informationen zu Kryptowährungs-Wallets und Discord-Artefakten. Die gesammelten Daten werden anschließend für die Exfiltration vorbereitet und in einzelnen Datenblöcken übertragen.

Die wichtigsten Erkenntnisse im Überblick

• Arctic Wolf Labs hat kürzlich eine Phishing-Kampagne entdeckt, die sich gegen Organisationen aus dem Gesundheitswesen, der industriellen Fertigung und kritischen Infrastrukturen in Mittel- und Osteuropa richtet.
• Die Infektionskette beginnt mit einer Phishing-E-Mail, die einen schädlichen Excel-Anhang enthält. Wird die Excel-Datei geöffnet, startet ein mehrstufiger Prozess, bei dem unter anderem eine HTML-Application-Payload (HTA) nachgeladen wird.
• Die HTA-Payload lädt über PowerShell eine stark verschleierte JScript-Payload herunter, die anschließend LuaJIT sowie ein verschleiertes Lua-basiertes Skript startet. Das JScript legt dazu einen LuaJIT-Interpreter, der mit der veralteten Dateiendung .pif umbenannt wurde, sowie ein verschleiertes Lua-Skript ab, das als TrueType-Schriftart (.ttf) getarnt ist. Anschließend führt es den Interpreter zusammen mit dem Skript aus.
• Das Lua-Skript umgeht ETW und AMSI und lädt Donut-Shellcode. Dieser entpackt mit .NET Reactor geschützte Komponenten und führt sie direkt im Arbeitsspeicher aus. Auf diese Weise wird schließlich ein InfoStealer ausgeführt, der entsprechend den über das Panel erteilten Anweisungen Browserdaten sowie Daten zu Kryptowährungs-Wallets und Discord sammelt.
• Arctic Wolf Labs entdeckte zwei unterschiedliche Verbreitungsmethoden, die in dieselbe Malware-Ausführungskette münden: zum einen eine Gruppe nach einer gemeinsamen Vorlage erstellter Phishing-Köder mit übereinstimmenden Absenderidentitäten, Bestellreferenzen und Betreffmustern und zum anderen einen separaten, gegen ein Ziel in Serbien gerichteten Fall. Bei diesem kaperten die Angreifer einen echten, bereits bestehenden geschäftlichen E-Mail-Verlauf, um darüber dieselbe Payload-Kette zu verbreiten.
• Arctic Wolf Labs identifizierte eine gemeinsame Vorlage zur Erstellung der Phishing-Köder, die für die Imitation verschiedener Unternehmen und Marken in mindestens fünf Ländern wiederverwendet wurde. In allen Fällen wurden schädliche Excel-Anhänge eingesetzt, die dieselbe Malware-Ausführungskette auslösen. Die konkrete Verbreitungsmethode unterscheidet sich jedoch: In einem Fall wurde die schädliche Nachricht in einen echten, gekaperten geschäftlichen E-Mail-Verlauf eingeschleust, während in anderen Fällen vollständig fingierte, aus mehreren Nachrichten bestehende E-Mail-Verläufe erstellt wurden. Ein versehentlich zurückgebliebener Textbaustein bestätigt, dass diese Phishing-Köder aus einer einzigen gemeinsamen Vorlage stammen und nicht unabhängig voneinander erstellt wurden.

Autor: Justin Moore, Director of Adversary Research bei Arctic Wolf