Cyberkriminelle nutzen gefälschte Einkaufsbelege, um US-Unternehmen mit JS.MonoGlyphRAT zu infizieren

Sicherheitslage und Risiko

Da MonoGlyphRAT zusätzliche bösartige Payloads herunterladen und ausrollen kann, kann bereits eine einzelne kompromittierte Maschine zum Ausgangspunkt eines weit größeren und kostspieligeren Sicherheitsvorfalls für die gesamte Organisation werden. Hacker nutzen gefälschte Einkaufsbestellungen. Der Angriff beginnt mit einer einzigen E-Mail.

Mitarbeiter in den Bereichen Einkauf, Vertrieb oder Finanzen erhalten eine Nachricht, die eine JavaScript-Datei enthält, die beispielsweise PURCHASE ORDER_12258.js oder QUOTE_B2026[.]js heißt.

Diese Dateinamen sind so gestaltet, dass sie sich wie routinemäßige Geschäftsdokumente ausgeben, die eine Person in einer Einkaufs- oder Vertriebsrolle ohne weiteres öffnen würde.

Technik und Auswirkungen

Sobald die Datei über den Windows Script Host (WSH) ausgeführt wird, kopiert sie sich stumm in einen Unterordner innerhalb des Benutzerprofilverzeichnisses und registriert sich im Windows-Registrierungsdatensatz.

Dies verschafft Angreifern einen dauerhaften Zugang, da die Malware bei jedem Neustart des Computers automatisch ausgeführt wird, ohne dass der Nutzer sichtbare Anzeichen wahrnimmt. Anschließend verbindet sich die Malware über HTTP auf nichtstandardisierten Ports mit ihrem Command-and-Control (C2)-Server, um unbemerkt zu bleiben.

Sie erfasst wichtige Systemdetails wie Benutzernamen, Domäne, Betriebssystemversion und Hardwareprofil, übermittelt diese Daten an den Angreifer und geht in einen stillen Wartezustand über, in dem sie auf weitere Anweisungen bereitsteht.

Technischer Hintergrund

Wie JS.MonoGlyphRAT unter dem Radar agiert: Sobald die Verbindung hergestellt ist, können Angreifer zusätzliche Payloads herunterladen, verschlüsselte PowerShell-Befehle ausführen, bösartigen Code vollständig im Arbeitsspeicher laden, ohne Dateien auf der Festplatte zu hinterlassen, und das Implantat remote aktualisieren oder entfernen.

Zudem kann die Malware die integrierte Sicherheitsüberwachung von Windows nachträglich anpassen, um zukünftige Erkennungsversuche zu unterdrücken. Alle C2-Kommunikationen laufen über benutzerdefinierte HTTP-Antwort-Header: X-S enthält die aktive Sitzungs-ID und X-A den Befehlscode.

Der zwischen dem infizierten System und dem Angreifer ausgetauschte Datenverkehr wird mit AES-128-Verschlüsselung und XOR-Codierung geschützt, wobei ein Teil des Schlüssels direkt im Malware-Code fest codiert ist. Dieser mehrschichtige Ansatz erschwert forensische Untersuchungen erheblich.

Sicherheitsteams werden dringend empfohlen, sich auf

Sicherheitsteams werden dringend empfohlen, sich auf Verhaltenssignale zu konzentrieren und nicht ausschließlich auf Antiviren-Signaturen zu vertrauen.

Zu den wichtigsten Warnindikatoren gehören: die Ausführung von JavaScript-Dateien aus Benutzerordnern durch wscript.exe, PowerShell-Prozesse mit codierten Befehlsflags gestartet, neue Registry-Run-Einträge, die auf.js-Dateien verweisen, sowie HTTP-POST-Verkehr zu ungewöhnlichen Ports mit Mustern wie a=iz&b=.

Die frühzeitige Erkennung dieser Bedrohung erfordert verhaltensbasierte Überwachung und sandboxbasierte Analysen, nicht traditionelle Signaturabgleiche. Indikatoren für einen Kompromittierung (IoCs): IP-Adresse: Indikator: 158.94.211.76; Beschreibung: Primäre C2-Server-IP-Adresse.

Technischer Hintergrund

IP-Adresse: Indikator: 91.92.243.79; Beschreibung: IP-Adresse eines sekundären C2-Serverns. URL: Indikator: hxxp://158.94.211.76:34567/ceoznp; Beschreibung: Endpunkt für C2-Beacons. URL: Indikator: hxxp://158.94.211.76:34567/ceoznp?ia=GEZHOV8LBB7PY4KX&df=; Beschreibung: C2-Check-in-URL mit Sitzungsparameter.

URL: Indikator: hxxp://158.94.211.76:34567/ceoznp?ia=UDP3HIP4P5SH3U5R&df=; Beschreibung: C2-Check-in-URL mit alternativer Sitzung. Domain: Indikator: aryamint.com; Beschreibung: Domain der C2-Infrastruktur. Domain: Indikator: scan.aryamint.com; Beschreibung: Subdomain der C2-Infrastruktur.

Dateihash (SHA256): Indikator: 5446b24959c1c2707accfc257aaac61819c01d1ed65bca910a7e8be1787d20b; Beschreibung: Verschlüsselter JavaScript-Malware-Beispiel. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ) dargestellt, um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern.

Sicherheitslage und Risiko

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein leitender Berichterstatter für Cybersicherheit und Datenpannen. Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neu auftretende Bedrohungen, Datenlecks sowie Malware-Angriffe.

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Fünf OpenClaw-0-Day-Schwachstellen ermöglichen Angreifern die Übernahme des Zugriffs auf vertrauenswürdige KI-Agenten. Hacker nutzen KI-Tools zur Automatisierung von Active-Directory-Angriffen und zur Umgehung von EDR-Systemen.

Eine Sicherheitslücke in einem WordPress-Plugin gefährdet über 500.000 Websites gegenüber Angriffen zur Privilegien-Eskalation.