Paper Werewolf: Cyberangriffe auf russische Sektoren mit PowerModul

MOSKAU / MÜNCHEN (IT BOLTWISE) – Die Bedrohungsakteure, bekannt als Paper Werewolf, haben gezielt russische Organisationen mit einem neuen Implantat namens PowerModul angegriffen. Diese Aktivitäten, die zwischen Juli und Dezember 2024 stattfanden, richteten sich gegen Unternehmen in den Bereichen Massenmedien, Telekommunikation, Bauwesen, Regierungsbehörden und Energiesektor.

Die Bedrohungsakteure, die unter dem Namen Paper Werewolf bekannt sind, haben sich auf russische Organisationen spezialisiert und dabei ein neues Implantat namens PowerModul eingesetzt. Diese Angriffe, die zwischen Juli und Dezember 2024 stattfanden, zielten auf Unternehmen in den Bereichen Massenmedien, Telekommunikation, Bauwesen, Regierungsbehörden und Energiesektor ab. Laut einem neuen Bericht von Kaspersky wurden mindestens sieben Kampagnen seit 2022 durchgeführt, wobei die Angriffe hauptsächlich auf Regierungs-, Energie-, Finanz- und Medienorganisationen abzielten.

Die Angriffsketten von Paper Werewolf beinhalten auch eine störende Komponente, bei der die Eindringlinge nicht nur Malware zur Spionage verteilen, sondern auch Passwörter von Mitarbeiterkonten ändern. Die Angriffe beginnen mit Phishing-E-Mails, die ein Dokument mit Makros enthalten. Beim Öffnen und Aktivieren der Makros wird ein PowerShell-basierter Remote-Access-Trojaner namens PowerRAT bereitgestellt. Diese Malware ist darauf ausgelegt, eine nächste Nutzlast zu liefern, oft eine angepasste Version des Mythic-Framework-Agenten namens PowerTaskel und QwakMyAgent.

Ein weiteres Werkzeug im Arsenal der Bedrohungsakteure ist ein bösartiges IIS-Modul namens Owowa, das zum Abrufen von Microsoft Outlook-Anmeldedaten verwendet wird, die Benutzer im Webclient eingeben. Die neuesten Angriffe, die von Kaspersky dokumentiert wurden, beginnen mit einem bösartigen RAR-Archivanhang, der eine ausführbare Datei enthält, die sich als PDF- oder Word-Dokument tarnt. Beim Starten der ausführbaren Datei wird die Täuschungsdatei von einem Remote-Server heruntergeladen und dem Benutzer angezeigt, während die Infektion im Hintergrund fortschreitet.

Die Datei selbst ist eine Windows-Systemdatei (explorer.exe oder xpsrchvw.exe), deren Code mit einem bösartigen Shellcode gepatcht wurde. Der Shellcode ähnelt dem, was in früheren Angriffen beobachtet wurde, enthält jedoch zusätzlich einen obfuskierten Mythic-Agenten, der sofort mit dem Command-and-Control-Server kommuniziert. Die alternative Angriffssequenz ist weitaus aufwendiger und verwendet ein RAR-Archiv, das ein Microsoft-Office-Dokument mit einem Makro enthält, das als Dropper fungiert, um PowerModul zu starten.

PowerModul ist ein PowerShell-Skript, das in der Lage ist, zusätzliche PowerShell-Skripte vom C2-Server zu empfangen und auszuführen. Der Backdoor wird seit Anfang 2024 verwendet, wobei die Bedrohungsakteure ihn zunächst nutzten, um PowerTaskel auf kompromittierten Hosts herunterzuladen und auszuführen. Einige der anderen von PowerModul abgelegten Nutzlasten sind FlashFileGrabber, das zum Stehlen von Dateien von Wechseldatenträgern verwendet wird, und FlashFileGrabberOffline, eine Variante, die nach Dateien mit bestimmten Erweiterungen sucht.

PowerTaskel ist funktional ähnlich wie PowerModul, da es ebenfalls PowerShell-Skripte ausführt, die vom C2-Server gesendet werden. Darüber hinaus kann es Informationen über die Zielumgebung in Form einer “Checkin”-Nachricht senden und andere vom C2-Server empfangene Befehle als Aufgaben ausführen. Es ist auch in der Lage, Privilegien mit dem PsExec-Dienstprogramm zu eskalieren. In mindestens einem Fall wurde festgestellt, dass PowerTaskel ein Skript mit einer FolderFileGrabber-Komponente erhält, das neben den Funktionen von FlashFileGrabber auch die Fähigkeit umfasst, Dateien von entfernten Systemen über einen fest codierten Netzwerkpfad mithilfe des SMB-Protokolls zu sammeln.

Zum ersten Mal setzten sie Word-Dokumente mit bösartigen VBA-Skripten für die Erstinfektion ein. Kürzlich wurde beobachtet, dass GOFFEE zunehmend auf die Verwendung von PowerTaskel zugunsten des binären Mythic-Agenten bei der lateralen Bewegung verzichtet. Dies geschieht vor dem Hintergrund, dass BI.ZONE einer anderen Bedrohungsgruppe namens Sapphire Werewolf eine Phishing-Kampagne zuschreibt, die eine aktualisierte Version des Open-Source-Amethyst-Stealers verteilt.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

1.997 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen