Cyberkriminelle verstecken Malware in verschachtelten macOS-ähnlichen Ordnern, um Scans zu umgehen

Technik und Auswirkungen

Laut dem Bericht haben die Angreifer sich als Universitätspersonal ausgegeben, wobei Betreffzeilen und E-Mail-Inhalte exakt mit echten Fitness-Prüfungsterminen übereinstimmten.

Studierende wurden aufgefordert, den beigefügten ZIP-Ordner herunterzuladen und zu öffnen, unter der Annahme, dass dieser eine endgültige Version der offiziellen Prüfungsmitteilung enthalte.

Die Kombination aus institutionellem Branding, detaillierten Hinweisen auf Verfahren und der Dringlichkeit rund um das Studiumsschluss schuf einen starken Social-Engineering-Anreiz, den viele schwer ignorieren konnten.

Einordnung fuer Autofahrer

Seqrite gab in einem Bericht, der mit Cyber Security News (CSN) geteilt wurde, bekannt, dass diese Operation, die sie als „Operation Dragon Whistle" bezeichnen, eine gezielte Erweiterung des Fokus eines bekannten Bedrohungsakteurs auf die Universitätsbevölkerung in China darstellt.

Die Forscher verknüpften die Aktivitäten mit einer Gruppe, die sie als UNG0002 verfolgen, basierend auf Überschneidungen mit einer früheren Kampagne namens Operation Cobalt Whisper, die ebenfalls auf bösartige LNK-Dateien und verschlüsselte VBScript-Dateien zurückgriff.

Der Name Dragon Whistle spiegelt sowohl das kulturelle und geografische Ziel sowie die stillschweigende, aber beständige Natur des Malware-Verhaltens wider, sobald es eingesetzt wurde. Verschachtelte, macOS-ähnliche Ordner verbergen die Payloads.

Technik und Auswirkungen

Im Kern der Kampagne steht ein raffiniertes Trickelement innerhalb der bösartigen ZIP-Datei: vier Ebenen verschachtelter Ordner, die macOS-Metadatenordner imitieren.

Diese Struktur ist darauf ausgelegt, die eigentlichen Payload-Dateien so tief zu verbergen, dass viele Antiviren-Engines und Archiv-Ansichtsprogramme sie nicht genau untersuchen, und gleichzeitig soll sie Benutzer davon abhalten, in den Ordnerbaum einzudringen.

Die Infektionskette zeigt dieses verschachtelte Layout: Die sichtbaren Inhalte scheinen minimal, doch die eigentliche Gefahr liegt mehrere Verzeichnisse tiefer.

Die äußere Ebene präsentiert eine LNK-Datei

Die äußere Ebene präsentiert eine LNK-Datei mit doppelter Erweiterung, die sich als PDF-Dokument ausgibt, komplett mit einem PDF-Symbol und einem Dateinamen, der darauf hindeutet, dass es sich um die offizielle Benachrichtigung zur Fitnessprüfung handelt.

Wenn der Benutzer auf diese Datei klickt, missbraucht sie den legitimen Windows-Explorer-Prozess, um einen VBScript-Payload auszuführen, der in den verschachtelten Ordnern versteckt ist, anstatt einen offensichtlichen Skriptinterpreter zu starten, der von Sicherheitstools erkannt werden könnte.

Dieser „Leben vom Land"-Ansatz ermöglicht es der Malware, sich in normale Systemaktivitäten einzufügen, während sie die nächsten Phasen des Angriffs vorbereitet. Die VBScript-Datei mit dem Namen „chromedo.vbs" koordiniert sowohl die Täuschung der Benutzer als auch die Ausführung der Malware.

Sie erstellt Pfade zu einer Ablenkungs-PDF-Datei

Sie erstellt Pfade zu einer Ablenkungs-PDF-Datei und zu einer separaten ausführbaren Datei namens „Bandizip.exe", öffnet dann das täuschend echte Dokument, sodass sich das Opfer auf den Inhalt konzentriert, während die ausführbare Datei im Hintergrund stumm ausgeführt wird.

Durch eine kurze Verzögerung zwischen diesen Aktionen stellt das Skript sicher, dass die Ablenkungsdatei reibungslos erscheint, ohne sichtbare Störungen, die Misstrauen erregen könnten. Sobald Bandizip.exe gestartet ist, wechselt die Infektionskette in eine Phase des DLL-Side-Loadings.

Die Angreifer platzieren eine bösartige DLL namens „ark_x86.dll" im selben versteckten Verzeichnis wie die legitime ausführbare Datei und verlassen sich auf die normale DLL-Suchreihenfolge von Windows, um die von den Angreifern kontrollierte Bibliothek anstelle einer vertrauenswürdigen Systemkopie zu laden.

Technischer Hintergrund

In dieser DLL implementiert die exportierte Funktion „CreateArk" mehrere Anti-Debugging-Prüfungen und Verschlüsselungs-Routinen, die schließlich ein Cobalt Strike Beacon im Arbeitsspeicher entpacken und ausführen, ohne dass ein herkömmliches ausführbares Programm auf der Festplatte hinterlassen wird.

Im weiteren Kontext von Kampagnen, Infrastruktur und Abwehrmaßnahmen ergab die Untersuchung von Seqrite, dass es sich nicht um einen isolierten Vorfall handelte, sondern um Teil eines umfassenderen Einsatzes, der ähnliche LNK-Dateien, verschachtelte Ordnerstrukturen und das Side-Loading von Bandizip zur Lieferung von auf Cobalt Strike basierenden Payloads nutzt.

Durch die Analyse von Maschinenidentifikatoren, die in mehreren LNK-Dateien vorkommen, sowie durch die Untersuchung des Beacon-Verkehrs identifizierten die Forscher überlappende Infrastrukturelemente und Staging-Muster, die verschiedene Kampagnen miteinander verknüpfen.

Zudem stellten sie fest, dass die

Zudem stellten sie fest, dass die Angreifer ihre Social-Engineering- und technischen Methoden im Laufe der Zeit verfeinern, während sie von einem Zielset zum nächsten wechseln.

Die letzten Beacon-Phasen verbinden sich mit einem Command-and-Control-Server, der einem autonomen System zugeordnet ist, das bei Alibabas Werbenetzwerk in Hangzhou registriert ist, und nutzen dafür Infrastruktur, die über einen längeren Zeitraum hinweg aktiv blieb.

Domainregistrierungen und DNS-Einträge verweisen auf Anbieter, die den chinesischen Binnenmarkt bedienen, darunter HiChina und Feishu, was darauf hindeutet, dass die Angreifer ihre Operationen gezielt in regionale Cloud-Ökosysteme verankern.

Technik und Auswirkungen

Dadurch ist eine einfache Blockierung von IP-Adressen oder ASNs weniger wirksam, da dies zu Kollateralschäden bei legitimen Diensten führen könnte, die auf denselben Plattformen gehostet werden.

Das Malware-Paket enthält Anti-Analyse-Techniken, die darauf abzielen, Verteidiger zu frustrieren, einschließlich Prüfungen auf Debugging-Tools, Netzwerk-Analyse-Programme und Überwachungsanwendungen wie Wireshark, Procmon sowie andere Reverse-Engineering-Software.

Wenn diese Prozesse erkannt werden, leitet das Malware-Programm die Ausführung in Anti-Analyse-Routinen um und beendet sich, anstatt die Infektionskette fortzusetzen, wodurch die Wahrscheinlichkeit verringert wird, dass Forscher sein vollständiges Verhalten in kontrollierten Umgebungen beobachten können.

Technik und Auswirkungen

Der Beacon interagiert zudem mit Windows-Sicherheitschnittstellen und Event-Tracking, um Laufzeitscans und Protokollierung zu schwächen und dabei einen gewissen Stabilitätsverlust gegen reduzierte Sichtbarkeit eintauscht.

Hinsichtlich der Verteidigung betont der Bericht von Seqrite, dass Organisationen unerwartete ZIP-Anhänge – insbesondere solche, die Fitness-Tests, Richtlinien-Updates oder Prüfungsbekanntmachungen betreffen – mit besonderer Vorsicht behandeln sollten, auch wenn sie von vertrauenswürdigen Institutionen zu stammen scheinen.

Sicherheitsteams werden empfohlen, die E-Mail-Filterung für Archive, die LNK-Dateien enthalten, zu verschärfen, die Inspektionstiefe für verschachtelte Ordner zu erhöhen und auf ungewöhnliche Nutzung von Tools wie Bandizip sowie DLLs mit ungewöhnlichen Namen zu überwachen.

Sicherheitslage und Risiko

Die Überwachung von Endpunkten mit Fokus auf das Verhalten im Arbeitsspeicher, DLL-Side-Loading-Muster und bekannte Cobalt Strike-Indikatoren kann ebenfalls dazu beitragen, diese Angriffsfamilie zu erkennen, bevor sie vollständig Fuß fassen kann.

Indikatoren für Kompromittierungen (IoCs): Dateiname: Indikator: 常州大学 2019 年《国家学生体质健康标准》测试通知最终版.zip; Beschreibung: Bösartiger ZIP-Anhang, der über eine Spear-Phishing-E-Mail übermittelt wurde. Datei-Hash: Indikator: e8df9a88d8aab99aa95a5dcc4416e4f10f1f5d14d9c4c1d3d6c6e5cd; Beschreibung: SHA-256-Hash der bösartigen ZIP-Datei.

Dateiname: Indikator: 常州大学 2019 年《国家学生体质健康标准》测试通知.pdf; Beschreibung: Köder-PDF-Dokument, das eine offizielle Universitätssport-Bekanntmachung imitiert. Datei-Hash: Indikator: f44e41c4ddad5d441cf5df15df8df5f8d5c5d8cf5f7f5d7c5d4f4e4c; Beschreibung: SHA-256-Hash des Köder-PDF-Dokuments.

Technischer Hintergrund

Dateiname: Indikator: Bandizip.exe; Beschreibung: Legitimes südkoreanisches Archivierungsprogramm, das für DLL-Side-Loading missbraucht wurde. Dateiname: Indikator: ark_x86.dll; Beschreibung: Bösartige DLL, die von Bandizip.exe side-loaded wird, um die Last im Arbeitsspeicher auszuführen.

Dateiname: Indikator: chromedo.vbs; Beschreibung: VBScript-Orchestrator, der für das Öffnen einer Ablenkungs-PDF-Datei und das Starten von Bandizip.exe verantwortlich ist. Dateiname: Indikator: email.eml; Beschreibung: Spear-Phishing-E-Mail mit dem bösartigen ZIP-Anhang.

Dateiname: Indikator: Cobalt Strike Beacon; Beschreibung: In-Memory-Payload der letzten Stufe, die Funktionalitäten für Command and Control bereitstellt. Domain/IP: Indikator: AS45102 (Alibaba-Werbungsnetzwerk, Hangzhou); Beschreibung: Autonomes System, das zur Hostung der Command-and-Control-Infrastruktur verwendet wird.

Technik und Auswirkungen

Hinweis: IP-Adressen und Domains sind absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Verlinkung zu verhindern. Defang diese Adressen nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein Senior-Berichter für Cybersecurity und Datenschutzverletzungen.

Er konzentriert sich auf die Berichterstattung über Cybersicherheit, Neuigkeiten, Trends und neu auftretende Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Google veröffentlicht Exploit-Code für ein unbehobenes Chromium-Fehler, der Millionen von Nutzern gefährdet.

Splunk patcht mehrere Schwachstellen, die DoS-Angriffe ermöglichen und sensible Daten offenlegen. Das CISA warnt vor einer in Angriffen ausgenutzten Schwachstelle in Trend Micro Apex One.