Betrügerische Lohnsteuerbescheide infizieren Windows-Systeme

Technik und Auswirkungen

Das Anklicken der Download-Schaltfläche lädt ein ZIP-Archiv namens Assessment Letter.zip herunter, das eine signierte Windows-Executable enthält, die einen vollständigen Remote-Management-Client installiert.

Der Angreifer integriert die Serveradresse direkt in den Dateinamen, sodass der Installer seinen eigenen Namen ausliest und diesen Wert in die lokale Konfiguration schreibt.

Nach der Ausführung erstellt der Installer einen versteckten Ordner in einem Windows-Systemverzeichnis und legt eine gefälschte svchost.exe sowie Treiberdateien mit den Namen YtMiniFilter und ytdisk ab.

Technik und Auswirkungen

Ein weiterer Pfad verwendet eine VBScript-Datei namens Assessment_Order.vbs, die über mehrere gefälschte Steuerungs-Domains bereitgestellt wird; diese Datei startet im Hintergrund stumm neu, zeigt ein täuschendes Steuerungs-Bildschirmfoto an und installiert denselben ClientSetup-Payload im Hintergrund.

Obwohl sich die Domains und Serverwerte unterscheiden, teilen beide Executables exakt denselben SHA256-Hash, was bestätigt, dass es sich bei beiden Ketten um denselben Kern-Payload handelt. Verteidiger sollten sich nicht allein auf Domain- oder Dateinamen-Sperrlisten verlassen.

Stärkere Verhaltensindikatoren umfassen IP-adressierte Dateinamen, versteckte Verzeichnisse unter Systemordnern, das Ausführen von svchost.exe aus nichtstandardkonformen Pfaden sowie ausgehenden Datenverkehr auf den Ports 6671, 6681 und 6683. Wenn Signierte Werkzeuge zur Waffe werden Die dritte Angriffsvariante verzichtet vollständig auf ClientSetup.

Einordnung fuer Autofahrer

Eine URL, die wie PHP aussieht und sich unter xhxz.info/download.php befindet, liefert anstelle einer Webseite VBScript aus und lädt Folgedateien aus Amazon S3-Buckets. Eine Datei namens uacMC.png ist kein Bild, sondern ein Skript, das stumm die UAC-Einstellungen herabsetzt und Elevationsabfragen entfernt, bevor der finale Payload ausgeführt wird.

Das Agent ist signiert und gültig, doch sein Ziel wird entführt: Ein vertrauenswürdiges Unternehmenswerkzeug wird in einen stillen Fernzugriffskanal verwandelt. Securonix empfiehlt, Downloads von unerbetenen Links zu Steuern oder Strafen zu vermeiden, unabhängig davon, wie offiziell diese erscheinen.

Sicherheitsteams sollten Skript-Engines überwachen, die Dateien mit web-typischen Erweiterungen ausführen, Alarme auslösen, wenn svchost.exe aus ungewöhnlichen Verzeichnissen ausgeführt wird, und UAC-Richtlinienänderungen markieren, bei denen ConsentPromptBehaviorAdmin auf null gesetzt ist.

Technik und Auswirkungen

Die Erkennung muss sich auf Verhaltenssignale konzentrieren und nicht auf Hashes, da diese Kampagne die Infrastruktur rotiert, während ihre Kerntaktiken unverändert bleiben. Indikatoren für Kompromittierung (IoCs): Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern.

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein Senior-Berichter über Cybersicherheit und Datenschutzverletzungen. Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und aufkommende Bedrohungen, Datenschutzverletzungen und Malware-Angriffe.

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. PinTheft Linux-Sicherheitslücke ermöglicht Angreifern Root-Zugang – Proof-of-Concept veröffentlicht Wie man die teuerste Lücke in Ihrer SOC schließt Grafana-GitHub-Verletzung im Zusammenhang mit TanStack npm-Supply-Chain-Ransomware