Mehrstufige Malware-Angriffe: Agent Tesla und XLoader im Visier

MÜNCHEN (IT BOLTWISE) – In der sich ständig weiterentwickelnden Welt der Cyberbedrohungen setzen Angreifer zunehmend auf komplexe mehrstufige Angriffsmechanismen, um traditionelle Sicherheitsmaßnahmen zu umgehen. Ein aktuelles Beispiel zeigt, wie Malware-Familien wie Agent Tesla und XLoader durch raffinierte Techniken verbreitet werden.

Die jüngsten Beobachtungen von Sicherheitsexperten zeigen, dass Angreifer zunehmend auf mehrstufige Angriffsmechanismen setzen, um Malware wie Agent Tesla, Remcos RAT und XLoader zu verbreiten. Diese Angriffe beginnen oft mit einer täuschenden E-Mail, die als Bestellanforderung getarnt ist und eine schädliche 7-Zip-Archivdatei enthält. Diese Datei enthält eine JavaScript-codierte (.JSE) Datei, die als Downloader für ein PowerShell-Skript fungiert.

Das PowerShell-Skript lädt eine Base64-codierte Nutzlast von einem externen Server herunter, die dann entschlüsselt und im temporären Windows-Verzeichnis ausgeführt wird. Interessanterweise führt der Angriff zu einem nächsten Stufen-Dropper, der entweder mit .NET oder AutoIt kompiliert ist. Bei einer .NET-Executable wird die verschlüsselte Nutzlast, eine Variante von Agent Tesla, in einen laufenden “RegAsm.exe”-Prozess injiziert.

Die Verwendung von AutoIt fügt eine zusätzliche Schicht hinzu, um die Analyse weiter zu erschweren. Das AutoIt-Skript innerhalb der ausführbaren Datei enthält eine verschlüsselte Nutzlast, die für das Laden des endgültigen Shellcodes verantwortlich ist, was zur Injektion der .NET-Datei in einen “RegSvcs.exe”-Prozess führt. Diese mehrschichtigen Angriffe zeigen, dass Angreifer mehrere Ausführungspfade nutzen, um die Resilienz zu erhöhen und die Erkennung zu umgehen.

Parallel dazu hat Kaspersky eine Kampagne aufgedeckt, die sich gegen Regierungsorganisationen in der Mongolei und Russland richtet. Diese Kampagne nutzt eine neue Version der Malware MysterySnail RAT, die von einer chinesischsprachigen Bedrohungsakteurengruppe namens IronHusky stammt. Diese Gruppe ist seit mindestens 2017 aktiv und wurde bereits im Zusammenhang mit der Ausnutzung einer Zero-Day-Schwachstelle dokumentiert.

Die Angriffe beginnen mit einem bösartigen Microsoft Management Console (MMC)-Skript, das ein Word-Dokument der National Land Agency of Mongolia imitiert. Dieses Skript lädt ein ZIP-Archiv mit einem Lockdokument, einer legitimen Binärdatei und einer bösartigen DLL herunter. Die DLL wird dann genutzt, um MysterySnail RAT zu sideloaden, das über umfangreiche Fähigkeiten zur Dateiverwaltung und Prozesssteuerung verfügt.

Die jüngste Version von MysterySnail, die von Kaspersky beobachtet wurde, ist eine abgespeckte Variante mit nur 13 grundlegenden Befehlen. Diese Version wurde nach präventiven Maßnahmen der betroffenen Unternehmen eingesetzt, um die Eindringversuche zu blockieren. Diese Entwicklungen unterstreichen die Notwendigkeit, Sicherheitsstrategien kontinuierlich zu aktualisieren und anzupassen, um den sich wandelnden Bedrohungen zu begegnen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!