Matanbuchus 3.0: Technische Analyse

Zusammenfassung

Matanbuchus ist ein bösartiger Downloader auf C++-Basis, der seit 2020 als Malware‑as‑a‑Service (MaaS) angeboten wird. Version 3.0, die im Juli 2025 beobachtet wurde, führt Protobuf-basierte Serialisierung, ChaCha20-Verschlüsselung und mehrere neue Anti-Analyse-Techniken ein. Die Malware besteht aus einem Downloader-Modul, das ein primäres Backdoor-Modul von seinem C2-Server abruft und dann die Persistenz, Befehlsausführung und Lieferung von Folgelasten verwaltet. Es wurde mit Ransomware-Vorfällen und Kampagnen in Verbindung gebracht, die den Rhadamanthys-Informationsdiebstahl und den NetSupport RAT verbreiten.

Analyse von Matanbuchus 3.0

Die Analyse beschreibt zwei Komponenten, einen Downloader und ein Hauptmodul, und geht die anfängliche Infektionskette durch, die QuickAssist verwendet, ein bösartiges MSI gehostet auf gpa-cro.com, und eine Side-Loaded-DLL, die als HRUpdate.exeauftritt. Der Downloader kontaktiert mechiraz.com , um das Hauptmodul zu erhalten, das sich dann beim C2 registriert, eine geplante Aufgabe namens Update Tracker Taskerstellt und ein pro-Host-Mutex setzt. C2-Datenverkehr fließt über HTTPS unter Verwendung verschlüsselter Protobuf-Nachrichten, die mit ChaCha20-Schlüsseln und -Nonces gesichert sind.

Abschwächung

Defensivmaßnahmen umfassen das Blockieren der bösartigen Domains gpa-cro.com und mechiraz.com am Netzwerk-Rand, die Überwachung der Erstellung der Update Tracker Task und des damit verbundenen HKCU-Registrierungsschlüssels sowie die Durchsetzung des Applikations-Whitelisting, um die Ausführung nicht vertrauenswürdiger MSI-Pakete und Side-Loaded-DLLs zu verhindern. Sicherheitsteams sollten charakteristischen ChaCha20-verschlüsselten Datenverkehr erkennen und die Nutzung von Windows-Dienstprogrammen wie msiexec für nicht signierte oder unbestätigte Dateien einschränken.

Antwort

Wenn Matanbuchus-Aktivität erkannt wird, isolieren Sie das betroffene System, erfassen Sie die definierte geplante Aufgabe, den Registrierungseintrag, den Mutex-Wert und alle abgerufenen Nutzlasten und entfernen Sie die bösartigen Binärdateien und Aufgaben. Führen Sie umfassende Endpunktforensik durch, um Nutzlasten der zweiten Stufe und alle exfiltrierten Daten aufzudecken, gefolgt von der Zurücksetzung exponierter Anmeldedaten und der Behebung betroffener Active Directory-Konten.

Simulation Execution

Voraussetzung: Die Telemetrie- & Baseline-Vorflugprüfung muss bestanden haben.

Angriffsnarrativ & Befehle

1. Benutzer-Ausführung (T1204) – Der Angreifer überredet den Benutzer, QuickAssist.
2. DLL-Seitenladen (T1574.001) – Während QuickAssist läuft, kopiert der Angreifer eine bösartige DLL (malicious.dll) in dasselbe Verzeichnis wie HRUpdate.exe und startet dann HRUpdate.exe, sodass die bösartige DLL geladen wird.
3. Geplante Aufgaben-Erstellung (T1546.010) – Der Angreifer verwendet msiexec.exe -z kombiniert mit einem Shell-Befehl (powershell -EncodedCommand …) um eine versteckte geplante Aufgabe zu erstellen, die die bösartige Nutzlast ausführt.
4. Signierte Proxy-Ausführung (T1218.002 / T1218.007) – Die Nutzlast wird ausgeführt über msiexec und optional über WMI (wmic process call create …) um sich mit legitimen Administrator-Aktionen zu vermischen.

Regression Test Script

# -------------------------------------------------
# Simulation Script – Matanbuchus-Aktivität (TTPs)
# -------------------------------------------------
# 1. Schädliche DLL neben HRUpdate.exe bereitstellen
$malDllPath = "$env:ProgramFilesHRUpdatemalicious.dll"
Copy-Item -Path ".malicious.dll" -Destination $malDllPath -Force

# 2. Starten Sie QuickAssist (legitim)
Start-Process -FilePath "C:Program FilesQuickAssistQuickAssist.exe" -WindowStyle Hidden

# 3. Führen Sie HRUpdate.exe aus, um das Side-Loading der DLL zu verursachen
Start-Process -FilePath "C:Program FilesHRUpdateHRUpdate.exe" -ArgumentList "/silent" -Wait

# 4. Erstellen Sie eine geplante Aufgabe mit msiexec.exe -z
$taskName = "SysUpdate"
$taskCmd  = "powershell -NoProfile -WindowStyle Hidden -EncodedCommand " +
            ([Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes('Start-Process notepad.exe')))
$msiCmd = "msiexec.exe -z $taskName /quiet /qn /l*v `"$env:TEMPmsi.log`" /i $taskCmd"
Start-Process -FilePath "C:WindowsSystem32msiexec.exe" -ArgumentList $msiCmd -WindowStyle Hidden

# 5. (Optional) Führen Sie die gleiche Nutzlast über WMI aus, um T1218.007 abzudecken
$wmiCmd = "cmd /c $taskCmd"
wmic process call create "$wmiCmd"
# -------------------------------------------------
# Ende der Simulation
# -------------------------------------------------

Bereinigungsbefehle

# Beenden Sie alle verbleibenden QuickAssist- oder HRUpdate-Prozesse
Get-Process -Name "QuickAssist","HRUpdate" -ErrorAction SilentlyContinue | Stop-Process -Force

# Entfernen Sie die bösartige DLL
Remove-Item -Path "$env:ProgramFilesHRUpdatemalicious.dll" -Force -ErrorAction SilentlyContinue

# Löschen Sie die geplante Aufgabe
schtasks /Delete /TN "SysUpdate" /F

# Entfernen Sie das temporäre msiexec-Protokoll
Remove-Item -Path "$env:TEMPmsi.log" -Force -ErrorAction SilentlyContinue