Analyse von CrashFix: KongTukes neues Spielzeug

graph TB %% Class definitions classDef action fill:#FFEEAA classDef tool fill:#99CCFF classDef malware fill:#FF9999 classDef process fill:#CCFFCC classDef persistence fill:#D9D9D9 classDef operator fill:#FFCC66 content_injection[„<b>Aktion</b> – <b>T1659 Content-Injektion</b><br/>Eine bösartige Werbung leitet das Opfer auf eine gefälschte Chrome-Web-Store-Seite weiter, die eine schädliche Erweiterung anbietet“] class content_injection action software_extension[„<b>Aktion</b> – <b>T1176 Software-Erweiterungen</b><br/>Eine schädliche Erweiterung, die sich als uBlock Origin Lite ausgibt, wird im Browser installiert“] class software_extension action extension_nexshield[„<b>Werkzeug</b> – <b>Name</b>: NexShield (bösartige Chrome-Erweiterung)<br/><b>Beschreibung</b>: Stellt Persistenz bereit und führt weitere schädliche Logik aus“] class extension_nexshield tool user_execution[„<b>Aktion</b> – <b>T1204.004 Benutzerausführung</b><br/>Die Erweiterung kopiert einen PowerShell-Befehl in die Zwischenablage, den das Opfer über Win+R ausführt“] class user_execution action powershell_process[„<b>Prozess</b> – <b>T1059.001 PowerShell</b><br/>Führt einen PowerShell-Befehl aus, der zusätzliche Payloads herunterlädt“] class powershell_process process cmd_process[„<b>Prozess</b> – <b>T1059.003 Windows-Befehlsinterpreter</b><br/>PowerShell ruft cmd.exe auf, um weitere Stufen auszuführen“] class cmd_process process sandbox_evasion[„<b>Aktion</b> – <b>T1497.002 Virtualisierungs-/Sandbox-Evasion</b><br/>Die Payload führt umfangreiche Prüfungen auf VM-, Sandbox- und Analyse-Tools durch“] class sandbox_evasion action dos_exhaustion[„<b>Aktion</b> – <b>T1499.003 Denial of Service am Endpunkt</b><br/>Erzeugt Milliarden von Chrome-Runtime-Ports zur Erschöpfung von CPU und Speicher und verursacht einen Browser-Absturz“] class dos_exhaustion action event_trigger[„<b>Aktion</b> – <b>T1546 Ereignisgesteuerte Ausführung</b><br/>Verwendet die Chrome-Alarms-API, um schädliche Aktionen um 60 Minuten zu verzögern und alle 10 Minuten zu wiederholen“] class event_trigger action dead_drop[„<b>Aktion</b> – <b>T1102.001 Webservice-Dead-Drop-Resolver</b><br/>Kontaktiert dynamisch generierte DGA-Domains zum Abruf weiterer Stufen“] class dead_drop action dga_resolution[„<b>Aktion</b> – <b>T1568 Dynamische Auflösung</b><br/>Der Domain-Generierungsalgorithmus erzeugt wöchentlich rotierende Domains für C2“] class dga_resolution action bidirectional_comm[„<b>Aktion</b> – <b>T1102.002 Bidirektionale Webservice-Kommunikation</b><br/>ModeloRAT tauscht verschlüsselte Befehle und Antworten über HTTP aus“] class bidirectional_comm action oneway_comm[„<b>Aktion</b> – <b>T1102.003 Unidirektionale Webservice-Kommunikation</b><br/>Sendet Telemetrie- sowie Installations-/Update-Daten an einen vom Angreifer kontrollierten Server“] class oneway_comm action encrypted_rc4[„<b>Aktion</b> – <b>T1573.001 Verschlüsselter Kanal</b><br/>Der C2-Verkehr ist mit symmetrischer RC4-Kryptografie verschlüsselt“] class encrypted_rc4 action obfuscation[„<b>Aktion</b> – <b>T1027 Verschleierte Dateien oder Informationen</b><br/>Payloads sind mehrschichtig mit Base64, XOR und AES verschlüsselt“] class obfuscation action stripped_payload[„<b>Aktion</b> – <b>T1027.008 Entfernte Payloads</b><br/>Payloads werden entfernt und kodiert, um die Analyse zu erschweren“] class stripped_payload action embedded_payload[„<b>Aktion</b> – <b>T1027.009 Eingebettete Payloads</b><br/>Verschlüsselte Payloads werden direkt im Speicher geladen“] class embedded_payload action appcert_dll[„<b>Aktion</b> – <b>T1546.009 Ereignisgesteuerte Ausführung: AppCert DLLs</b><br/>Die DoS-Schleife nutzt Chrome-Runtime-Ports analog zur AppCert-DLL-Technik“] class appcert_dll action remote_access_tool[„<b>Schadsoftware</b> – <b>T1219 Remote-Access-Werkzeuge</b><br/>ModeloRAT stellt vollständige Remote-Access-Funktionen bereit“] class remote_access_tool malware persistence_run[„<b>Aktion</b> – <b>T1554 Kompromittierung von Host-Software-Binärdateien</b><br/>Der Registry-Eintrag HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run startet pythonw.exe zur Persistenz“] class persistence_run persistence exec_guardrail[„<b>Aktion</b> – <b>T1480.002 Ausführungsleitplanken</b><br/>Prüft frühere Ausführungen über UUID-Beacons, um doppelte Infektionen zu verhindern“] class exec_guardrail action content_injection –>|leads_to| software_extension software_extension –>|installs| extension_nexshield extension_nexshield –>|provides_persistence| persistence_run extension_nexshield –>|copies_command| user_execution user_execution –>|triggers| powershell_process powershell_process –>|launches| cmd_process powershell_process –>|performs| sandbox_evasion sandbox_evasion –>|allows| powershell_process powershell_process –>|creates| dos_exhaustion dos_exhaustion –>|uses| appcert_dll extension_nexshield –>|sets| event_trigger event_trigger –>|delays| powershell_process powershell_process –>|contacts| dead_drop dead_drop –>|uses| dga_resolution dga_resolution –>|provides| bidirectional_comm bidirectional_comm –>|encrypts_with| encrypted_rc4 bidirectional_comm –>|exchanges_with| remote_access_tool oneway_comm –>|sends_to| encrypted_rc4 powershell_process –>|obfuscates_using| obfuscation obfuscation –>|includes| stripped_payload obfuscation –>|includes| embedded_payload remote_access_tool –>|communicates_via| bidirectional_comm remote_access_tool –>|sends_telemetry| oneway_comm persistence_run –>|creates| exec_guardrail exec_guardrail –>|prevents| persistence_run

Angriffsfluss