Neue Malware-Kampagne nutzt gefälschte CAPTCHA-Seiten zur Verbreitung von Rootkit

MÜNCHEN (IT BOLTWISE) – Eine neue Malware-Kampagne, die als OBSCURE#BAT bekannt ist, nutzt soziale Ingenieurstechniken, um ein Open-Source-Rootkit namens r77 zu verbreiten. Diese Bedrohung ermöglicht es Angreifern, auf kompromittierten Systemen dauerhaft präsent zu bleiben und Erkennungsmechanismen zu umgehen.

Die jüngste Malware-Kampagne, die von Sicherheitsforschern als OBSCURE#BAT bezeichnet wird, nutzt ausgeklügelte soziale Ingenieurstechniken, um das Open-Source-Rootkit r77 zu verbreiten. Diese Bedrohung ermöglicht es Angreifern, auf kompromittierten Systemen dauerhaft präsent zu bleiben und Erkennungsmechanismen zu umgehen. Der Ursprung der Kampagne ist derzeit unbekannt, doch die Auswirkungen sind bereits in mehreren englischsprachigen Ländern wie den USA, Kanada, Deutschland und dem Vereinigten Königreich zu spüren.

Das Rootkit r77 zeichnet sich durch seine Fähigkeit aus, Dateien, Registrierungsschlüssel oder Aufgaben mit einem bestimmten Präfix zu verbergen oder zu maskieren. Die Angreifer nutzen gefälschte CAPTCHA-Seiten und tarnen die Malware als legitime Softwaredownloads, um Benutzer zur Ausführung der schädlichen Batch-Skripte zu verleiten. Diese Skripte führen PowerShell-Befehle aus, die einen mehrstufigen Prozess aktivieren, der letztendlich zur Bereitstellung des Rootkits führt.

Mindestens zwei verschiedene Zugangswege wurden identifiziert: Einer nutzt die berüchtigte ClickFix-Strategie, indem Benutzer auf eine gefälschte Cloudflare-CAPTCHA-Verifizierungsseite geleitet werden, während der andere die Malware als legitime Tools wie Tor Browser oder VoIP-Software bewirbt. Die genauen Methoden, mit denen Benutzer auf die manipulierte Software aufmerksam gemacht werden, sind unklar, aber es wird vermutet, dass bewährte Ansätze wie Malvertising oder Suchmaschinenoptimierung (SEO) eingesetzt werden.

Die Malware speichert verschleierte Skripte in der Windows-Registrierung und sorgt durch geplante Aufgaben für deren Ausführung, sodass sie unauffällig im Hintergrund läuft. Darüber hinaus werden Systemregistrierungsschlüssel modifiziert, um einen gefälschten Treiber (ACPIx86.sys) zu registrieren, wodurch sich die Malware tiefer im System verankert. Ein .NET-Payload wird ebenfalls eingesetzt, der verschiedene Tricks zur Umgehung von Erkennungsmechanismen nutzt, darunter Kontrollflussverschleierung und String-Verschlüsselung.

Ein weiteres Payload, das über PowerShell geladen wird, ist eine ausführbare Datei, die die Antimalware-Scan-Schnittstelle (AMSI) patcht, um Antivirus-Erkennungen zu umgehen. Der .NET-Payload ist letztendlich dafür verantwortlich, ein System-Mode-Rootkit namens “ACPIx86.sys” im Ordner “C:\Windows\System32\Drivers\” abzulegen, das dann als Dienst gestartet wird. Ein Benutzer-Mode-Rootkit namens r77 wird ebenfalls bereitgestellt, um auf dem Hostsystem dauerhaft präsent zu bleiben und Dateien, Prozesse und Registrierungsschlüssel zu verbergen.

Die Malware überwacht zudem regelmäßig die Zwischenablageaktivität und die Befehlsverlaufshistorie und speichert diese in versteckten Dateien, vermutlich zur späteren Exfiltration. Die Forscher betonen, dass OBSCURE#BAT eine hochgradig ausweichende Angriffskette darstellt, die Verschleierung, Stealth-Techniken und API-Hooking nutzt, um auf kompromittierten Systemen zu persistieren und Erkennungen zu umgehen.

Diese Entdeckungen kommen zu einem Zeitpunkt, an dem auch andere Bedrohungen wie eine Microsoft Copilot-Spoofing-Kampagne bekannt werden, die Phishing-E-Mails nutzt, um Benutzer auf eine gefälschte Landingpage zu leiten, die darauf abzielt, Anmeldedaten und Zwei-Faktor-Authentifizierungscodes zu stehlen.

Zu den Top-Stories!

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

1.925 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen