Venom Spider erweitert Malware-as-a-Service mit neuen Bedrohungen

MÜNCHEN (IT BOLTWISE) – Die Bedrohungsakteure hinter der More_eggs-Malware haben ihre Aktivitäten ausgeweitet und zwei neue Malware-Familien eingeführt, was auf eine Erweiterung ihres Malware-as-a-Service (MaaS)-Angebots hindeutet.

Die Cyberkriminellen, die für die More_eggs-Malware verantwortlich sind, haben kürzlich zwei neue Malware-Familien entwickelt, was auf eine bedeutende Erweiterung ihrer Malware-as-a-Service (MaaS)-Operation hinweist. Diese neuen Bedrohungen umfassen einen neuartigen informationsstehlenden Backdoor namens RevC2 und einen Loader mit dem Codenamen Venom Loader. Beide werden über VenomLNK bereitgestellt, ein bewährtes Tool, das als initialer Zugangspunkt für die Bereitstellung nachfolgender Schadsoftware dient.

RevC2 kommuniziert über WebSockets mit seinem Command-and-Control (C2)-Server und ist in der Lage, Cookies und Passwörter zu stehlen, Netzwerkverkehr zu proxyen und Remote-Code-Ausführung (RCE) zu ermöglichen. Diese Fähigkeiten machen es zu einem vielseitigen Werkzeug für Cyberkriminelle, die auf sensible Informationen abzielen. Venom Loader hingegen ist ein neuer Malware-Loader, der für jedes Opfer individuell angepasst wird, indem der Computername des Opfers zur Kodierung der Nutzlast verwendet wird.

Die Verbreitung dieser Malware-Familien wurde von einem führenden Unternehmen der Cybersicherheit zwischen August und Oktober 2024 beobachtet. Der hinter diesen e-Crime-Angeboten stehende Bedrohungsakteur wird als Venom Spider (auch bekannt als Golden Chickens) verfolgt. Obwohl der genaue Verbreitungsmechanismus derzeit nicht bekannt ist, beginnt eine der Kampagnen mit VenomLNK, das neben der Anzeige eines PNG-Täuschungsbildes auch RevC2 ausführt.

Der Backdoor RevC2 ist mit Funktionen ausgestattet, die das Stehlen von Passwörtern und Cookies aus Chromium-Browsern, das Ausführen von Shell-Befehlen, das Erstellen von Screenshots, das Proxyen von Verkehr über SOCKS5 und das Ausführen von Befehlen als anderer Benutzer ermöglichen. Eine zweite Kampagne beginnt ebenfalls mit VenomLNK, um ein Lockbild zu liefern, während gleichzeitig Venom Loader unauffällig ausgeführt wird.

Venom Loader ist dafür verantwortlich, More_eggs lite zu starten, eine leichte Variante des JavaScript-Backdoors, die nur RCE-Fähigkeiten bietet. Diese neuen Erkenntnisse zeigen, dass die Malware-Autoren weiterhin ihre maßgeschneiderten Werkzeuge mit neuer Malware aktualisieren und verfeinern, obwohl im letzten Jahr zwei Personen aus Kanada und Rumänien als Betreiber der MaaS-Plattform enttarnt wurden.

Die Enthüllung dieser neuen Bedrohungen erfolgt zu einem Zeitpunkt, an dem ANY.RUN eine bisher undokumentierte fileless Loader-Malware namens PSLoramyra detailliert beschrieben hat, die zur Bereitstellung der Open-Source-Malware Quasar RAT verwendet wurde. Diese fortschrittliche Malware nutzt PowerShell, VBS und BAT-Skripte, um bösartige Nutzlasten in ein System zu injizieren, sie direkt im Speicher auszuführen und einen persistenten Zugriff zu etablieren.