APT29 setzt GRAPELOADER-Malware gegen europäische Diplomaten ein

MÜNCHEN (IT BOLTWISE) – Der russische staatlich unterstützte Bedrohungsakteur APT29 hat eine fortschrittliche Phishing-Kampagne gestartet, die diplomatische Einrichtungen in ganz Europa ins Visier nimmt. Dabei wird eine neue Variante von WINELOADER sowie ein bisher unbekannter Malware-Loader namens GRAPELOADER eingesetzt.

APT29, auch bekannt als Cozy Bear oder Midnight Blizzard, hat eine neue Phishing-Kampagne gestartet, die sich gegen diplomatische Einrichtungen in Europa richtet. Diese Kampagne nutzt eine neue Variante von WINELOADER und einen bisher unbekannten Malware-Loader namens GRAPELOADER. Laut einer technischen Analyse von Check Point, die kürzlich veröffentlicht wurde, dient GRAPELOADER als Initial-Stage-Tool für Fingerprinting, Persistenz und Payload-Delivery, während WINELOADER in späteren Phasen als modularer Backdoor eingesetzt wird.

Die Angriffe nutzen Weinverkostungs-Einladungen, um diplomatische Mitarbeiter zu infizieren. Die E-Mails, die von den Domains bakenhof[.]com und silry[.]com gesendet wurden, enthalten Links, die den Download eines mit Malware infizierten ZIP-Archivs (“wine.zip”) auslösen. Dieses Archiv enthält drei Dateien: Eine DLL (“AppvIsvSubsystems64.dll”), die als Abhängigkeit für die Ausführung einer legitimen PowerPoint-Datei (“wine.exe”) dient, die wiederum für DLL-Sideloading genutzt wird, um eine bösartige DLL (“ppcore.dll”) zu starten.

GRAPELOADER verbessert die Anti-Analyse-Techniken von WINELOADER und führt fortschrittlichere Tarnmethoden ein. Die Malware gewinnt Persistenz, indem sie die Windows-Registry modifiziert, um sicherzustellen, dass die “wine.exe” bei jedem Systemneustart ausgeführt wird. Neben der Implementierung von Anti-Analyse-Techniken wie String-Obfuskation und Laufzeit-API-Auflösung ist GRAPELOADER darauf ausgelegt, grundlegende Informationen über das infizierte System zu sammeln und an einen externen Server zu senden, um den nächsten Shellcode abzurufen.

Die Kampagne zielt hauptsächlich auf europäische Länder ab, mit einem besonderen Fokus auf Außenministerien und Botschaften anderer Länder in Europa. Es gibt Hinweise darauf, dass auch Diplomaten im Nahen Osten ins Visier genommen wurden. Die Verwendung von WINELOADER wurde erstmals im Februar 2024 von Zscaler ThreatLabz dokumentiert, wobei die Angriffe Weinverkostungs-Locks nutzten, um die Systeme diplomatischer Mitarbeiter zu infizieren.

Die Erkenntnisse kommen zu einem Zeitpunkt, an dem HarfangLab die PteroLNK VBScript-Malware von Gamaredon detailliert beschreibt, die von der russischen Bedrohungsgruppe verwendet wird, um alle angeschlossenen USB-Laufwerke mit VBScript- oder PowerShell-Versionen des bösartigen Programms zu infizieren. Diese Tools versuchen wiederholt, angeschlossene USB-Laufwerke zu erkennen, um LNK-Dateien und in einigen Fällen auch eine Kopie von PteroLNK darauf abzulegen.

Die französische Cybersicherheitsfirma beschreibt die PteroLNK VBScript-Dateien als stark obfuskiert und verantwortlich für die dynamische Konstruktion eines Downloaders und eines LNK-Droppers während der Ausführung. Der Downloader ist so konfiguriert, dass er alle 3 Minuten ausgeführt wird, während das LNK-Dropper-Skript alle 9 Minuten ausgeführt wird. Der Downloader verwendet eine modulare, mehrstufige Struktur, um eine Verbindung zu einem Remote-Server herzustellen und zusätzliche Malware abzurufen.

Gamaredon operiert als kritische Komponente der Cyber-Operations-Strategie Russlands, insbesondere im anhaltenden Krieg mit der Ukraine. Die Effektivität von Gamaredon liegt nicht in der technischen Raffinesse, sondern in der taktischen Anpassungsfähigkeit. Ihre Arbeitsweise kombiniert aggressive Spearphishing-Kampagnen, schnelle Bereitstellung stark obfuskierter benutzerdefinierter Malware und redundante C2-Infrastruktur.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!