Cyberkriminelle nutzen Steuer-Betrugs-E-Mails, um Windows-Systeme mit In-Memory-Malware zu infizieren

Sicherheitslage und Risiko

Die Malware hält zudem eine persistente Verbindung zu von Angreifern kontrollierten Servern aufrecht, indem sie Datenverkehr generiert, der sich in normalen Webaktivitäten einfügt. Die Phishing-E-Mails bestanden Authentifizierungsprüfungen einschließlich SPF, DKIM und DMARC, da sie über einen legitimen Drittanbieter-E-Mail-Delivery-Service gesendet wurden.

Dies ermöglichte es ihnen, Spam-Filter zu umgehen und Postfächer zu erreichen, ohne offensichtliche Warnsignale auszulösen. Hacker nutzen Phishing-E-Mails im Zusammenhang mit Steuern.

Die bösartige ZIP-Archivdatei enthält drei Dateien, die nacheinander arbeiten: einen Launcher, eine Lader-Bibliothek namens SbieDll.dll und eine verschlüsselte Nutzlast mit dem Namen SbieDll.bin. Der Launcher bereitet die Umgebung vor, prüft die Windows-Version und installiert Haken in Kernsystemfunktionen, bevor er die Kontrolle an den Loader übergibt.

Technik und Auswirkungen

Jede Datei hat eine spezifische Aufgabe, was die Funktionalität trennt und die Exposition der endgültigen Nutzlast begrenzt. Der Loader, SbieDll.dll, nutzt eine Methode namens DLL Search Order Hijacking.

Windows prüft beim Laden von Bibliotheken zuerst den eigenen Ordner einer Anwendung vor den Systemordnern; dadurch zwingt die Platzierung der bösartigen DLL im richtigen Ort Windows dazu, diese statt der echten zu laden. Der Loader manipuliert anschließend Zugriffstoken und entfernt Berechtigungshürden, um die Umgebung für die letzte Phase vorzubereiten.

Der letzte Komponente, SbieDll.bin, enthält die verschlüsselte Kernlast mit einem modifizierten RC4-Verschlüsselungsalgorithmus. Nach der Entschlüsselung zur Laufzeit wird sie über Reflective PE Loading direkt in den Arbeitsspeicher geladen, sodass keine Datei jemals die Festplatte berührt.

Technischer Hintergrund

Dies erklärt, warum herkömmliche Sicherheitstools Schwierigkeiten haben, diese Bedrohung zu erkennen. WebSocket-C2-Kommunikation und Verteidigungsumgehung Sobald der Schadcode aktiv ist, verbindet er sich mit seinem Command-and-Control-Server über WebSocket-Verbindungen, ein Verfahren, das normalerweise von legitimen Webanwendungen genutzt wird.

Die Sitzung beginnt als standardmäßiger HTTP-Anfrage und wird zu einem persistenten Kanal aufgewertet, wodurch der Datenverkehr für Netzwerkanalysen völlig normal erscheint. Der Schadcode unterstützt zudem HTTP CONNECT, um Kommunikationen über Unternehmensproxys zu leiten und damit unternehmensweite Netzwerksicherheitskontrollen zu umgehen.

Um Analysen zu widerstehen, verwendet der Schadcode einen auf Mersenne Twister basierenden Engine, der das Ausführungsverhalten bei jeder Infektion variiert und somit die Zuverlässigkeit von Signatur-basierten Erkennungsmethoden beeinträchtigt.

Technischer Hintergrund

Es wendet Control Flow Flattening an, um die Code-Struktur zu verwirren, und löst Windows-API-Aufrufe zur Laufzeit durch Hashing, wodurch seine Absicht der statischen Analyse entzogen wird.

Cyfirma hat chinesische Zeichenketten im Quellcode der Phishing-Seite gefunden, darunter einen Ausdruck, der „Offizielle Steuermitteilung" bedeutet; Forscher weisen jedoch darauf hin, dass dies allein noch nicht den Ursprung der Angreifer bestätigen kann.

Cyfirma empfiehlt eine fortlaufende Sicherheitsbewusstseinsbildung zu Phishing und Taktiken zur Nachahmung von Regierungsstellen.

Technischer Hintergrund

Technische Teams sollten YARA- und Sigma-Regeln für DLL-Hijacking, reflektives Laden und WebSocket-C2-Muster bereitstellen und gleichzeitig eine kontinuierliche Speicherüberwachung aktivieren, um Bedrohungen zu erkennen, die traditionelle Abwehrmaßnahmen umgehen.

Indikatoren für Kompromittierung (IoCs): Domain: Indikator: guhxmg.com; Beschreibung: Domain der Phishing-Infrastruktur — Blockieren. Domain: Indikator: naiqja.icu; Beschreibung: Domain der Phishing-Infrastruktur — Blockieren. Domain: Indikator: zh-welcome-1xbet.com; Beschreibung: Domain der Phishing-Infrastruktur — Blockieren.

Unterdomäne: Indikator: d.pc-weide.com; Beschreibung: Subdomäne für Phishing-Infrastruktur — Blockieren. Unterdomäne: Indikator: taxations.cn-web-okooo.com; Beschreibung: Subdomäne für Phishing-Infrastruktur — Blockieren. Unterdomäne: Indikator: taxations.indiagov.it.com; Beschreibung: Subdomäne zur Nachahmung von Regierungsstellen — Blockieren.

Sicherheitslage und Risiko

Domain: Indikator: zhengfu666.com; Beschreibung: Domain für Phishing-Infrastruktur — Blockieren. Domain: Indikator: asdqxcdsa.icu; Beschreibung: Domain für Phishing-Infrastruktur — Blockieren. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder das Erstellen von Hyperlinks zu verhindern.

Defang entfernen Sie nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrer SIEM-Lösung. Tushar ist ein Senior-Berichter über Cybersicherheit und Datenschutzverletzungen.

Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends im Bereich der Cybersicherheit sowie auf neu auftretende Bedrohungen, Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein.

Windows-RDP-Schwachstellen ermöglichen Angreifern die Offenlegung sensibler Daten Windows Collaborative Translation Framework 0-Day-Schwachstelle ermöglicht Privilegien-Eskalation ServiceNow bestätigt eine Schwachstelle, die unbefugten Zugriff auf Kundentabellen in Instanzen ermöglicht