GlassWorm versteckt einen RAT in einer bösartigen Chrome-Erweiterung

Zusammenfassung

GlassWorm nutzt kompromittierte npm-, PyPI-, GitHub- und OpenVSX-Pakete aus, um eine mehrstufige Malware-Plattform zu verbreiten. Die erste Stufe startet einen Loader, der ein Solana-Blockchain-Memo abfragt, um Kommando- und Kontrolladressen zu erhalten, und lädt dann eine verschlüsselte Nutzlast herunter. Die zweite Stufe stiehlt Anmeldedaten, Kryptowährungs-Wallet-Dateien und Hostdaten, während die dritte Stufe ein permanentes WebSocket-basiertes RAT zusammen mit einer bösartigen Chrome-Erweiterung bereitstellt, die darauf abzielt, Browserdaten zu erfassen. Die Operation richtet sich hauptsächlich an Entwickler und Kryptowährungsinhaber.

Untersuchung

Analysten führten den anfänglichen Kompromiss auf bösartige Pre-Install-Skripte und auf Unicode basierende Loader zurück, die in ansonsten legitime Pakete eingebettet waren. Sie entdeckten zwei Solana-Wallet-Adressen, die als Dead-Drop-Standorte für C2-URLs fungierten und beobachteten, dass der Loader mehrere Solana-RPC-Endpunkte polled. Das RAT der dritten Stufe verlässt sich auf DHT-Bootstrap-Knoten und kehrt zur Solana-basierten Abfrage zurück, wenn die DHT-Auflösung fehlschlägt. Forscher identifizierten auch die Exfiltrationsinfrastruktur und ordneten die bösartige Chrome-Erweiterung zu, die in der Kampagne verwendet wurde.

Abschwächung

Organisationen sollten Supply-Chain-Scans für npm und andere Paketökosysteme durchsetzen, die Integrität von Paketen und das Vertrauen der Herausgeber überprüfen sowie bekannte bösartige IPs und Domains blockieren. Endpunktverteidigungen sollten auf Rogue-Node.js-Runtimes, unerwartete geplante Aufgaben und verdächtige Registry-Run-Keys überwachen. Browser-Anmeldedaten-Speicher sollten gestärkt werden, und Kryptowährungsnutzer sollten, sofern möglich, die Überprüfung von Hardware-Wallets übernehmen.

Reaktion

Wenn GlassWorm entdeckt wird, isolieren Sie den betroffenen Endpunkt, stoppen Sie die bösartigen Prozesse und entfernen Sie alle abgelegten Dateien und Persistenzmechanismen wie geplante Aufgaben. Widerrufen Sie kompromittierte npm-Token, ändern Sie die Anmeldedaten von Kryptowährungs-Wallets und setzen Sie im Browser gespeicherte Passwörter zurück. Führen Sie eine vollständige forensische Überprüfung der Hostprotokolle durch, um die Ausführung des Loaders nachzuvollziehen, und aktualisieren Sie die Sicherheitskontrollen, um das Risiko künftiger Supply-Chain-Kompromisse zu verringern.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Baseline-Pre‑flight-Check muss bestanden sein.

Rationale: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und zielen darauf ab, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung und Befehle:
  Ein Angreifer hat eine bösartige Binärdatei erhalten, die sich als Ledger Live/Trezor-Wallet-Client ausgibt. Die Binärdatei ist benannt Assaac.exe um ein legitimes ausführbares Programm nachzuahmen. Es wird im Benutzerverzeichnis %APPDATA% abgelegt und eine begleitende JavaScript-Datei (index.js) wird in einem versteckten Unterordner abgelegt QtCvyfVWKH. Der Angreifer führt dann die Binärdatei aus, wodurch Windows ein Prozesserstellungsereignis mit genau dem Bildnamen und dem Befehlspfad protokolliert, den die Sigma-Regel überwacht.

  Schritt-für-Schritt:

  1. Erstellen Sie den versteckten Ordner und legen Sie das bösartige Skript ab.
  2. Kopieren Sie die bösartige ausführbare Datei (Assaac.exe) in den AppData-Ordner des Benutzers.
  3. Starten Sie die ausführbare Datei, die index.js liest und führt Anmeldediebstahlroutinen aus.

• Regression Test Script:

  # ------------------------------------------------------------
  # Malicious files einrichten
  # ------------------------------------------------------------
  $appData = $env:APPDATA
  $folder  = Join-Path $appData "QtCvyfVWKH"
  $exePath = Join-Path $appData "Assaac.exe"
  $jsPath  = Join-Path $folder "index.js"
  
  # Stellen Sie sicher, dass der versteckte Ordner vorhanden ist
  New-Item -ItemType Directory -Path $folder -Force | Out-Null
  # Verstecken Sie den Ordner (optional)
  (Get-Item $folder).Attributes += 'Hidden'
  
  # Dummy-bösartige ausführbare Datei bereitstellen (für Demo verwenden wir eine Kopie von calc.exe)
  Copy-Item -Path "$env:SystemRootSystem32calc.exe" -Destination $exePath -Force
  
  # Dummy-JavaScript-Payload bereitstellen (Inhalt ist für die Erkennung irrelevant)
  @"
  // Placeholder für bösartige Nutzlast
  console.log('Kryptowährungs-Wallet-Diebstahl ausgeführt');
  "@ | Set-Content -Path $jsPath -Encoding UTF8
  
  # ------------------------------------------------------------
  # Die bösartige Binärdatei ausführen (dies sollte die Sigma-Regel auslösen)
  # ------------------------------------------------------------
  & $exePath "$jsPath"
  
  # ------------------------------------------------------------
  # Ende des Skripts – Artefakte für manuelle Bereinigung zurücklassen
  # ------------------------------------------------------------

• Bereinigungskommandos:

  # Beenden Sie den bösartigen Prozess, falls er noch läuft
  Get-Process -Name "Assaac" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Entfernen Sie die erstellten Dateien und Ordner
  Remove-Item -Path $exePath -Force -ErrorAction SilentlyContinue
  Remove-Item -Path $jsPath -Force -ErrorAction SilentlyContinue
  Remove-Item -Path $folder -Recurse -Force -ErrorAction SilentlyContinue