LiteLLM-Hack löst einen der größten KI-Lieferkettenverstöße 2026 aus

Zusammenfassung

PasteSwitch ist eine groß angelegte, koordinierte Malvertising-Kampagne, die ein verifiziertes Reddit-Konto missbrauchte, um bösartige Nutzlasten über Social Engineering mit ClickFix zu verbreiten. Die Operation verwendet täuschende Terminalbefehle, um Benutzer dazu zu bringen, Code auszuführen, der macOS Stealer, Windows Loader und Krypto-Clipper installiert. Ihre Infrastruktur ist hochresilient und verlässt sich auf blockchain-basierte C2-Rotation und TLS SNI-Spoofing, um Erkennung zu entgehen.

Untersuchung

Forscher von Hudson Rock und ADAMnetworks identifizierten die Kampagne, nachdem ein Benutzer verdächtige HBO Max-Werbung auf Reddit gemeldet hatte. Die Untersuchung deckte ein komplexes Lieferungsframework mit getrennten plattform-spezifischen Zweigen auf, die auf macOS und Windows abzielen. Analysten identifizierten auch rotierende Domains und Smart Contracts auf der Binance Smart Chain, die zur Verwaltung der Command and Control-Infrastruktur verwendet werden.

Milderung

Organisationen sollten strenge Kontrollen bei der Ausführung von Terminalbefehlen durchsetzen und auf verdächtiges Kopieren-Einfügen-Verhalten im Social Engineering achten. Sicherheitsteams sollten die unbefugte Erstellung geplanter Aufgaben und die Ausführung von Shellcode im Speicher erkennen. Die Überwachung von TLS SNI-Unstimmigkeiten und ungewöhnlichen ausgehenden Verbindungen zu direkten IP-Adressen kann ebenfalls die Erkennung verbessern.

Antwort

Wenn bösartige Aktivitäten erkannt werden, sollten betroffene Endpunkte sofort isoliert und Anmeldeinformationen für Konten, auf die von dem kompromittierten Gerät aus zugegriffen wurde, zurückgesetzt werden. Responder sollten Memory Forensics durchführen, um injizierte Nutzlasten wie Amatera zu identifizieren. Auch Blockchain-Aktivitäten und Netztelemetrie sollten auf Verbindungen zur bekannten PasteSwitch C2-Infrastruktur überprüft werden.

Simulationsausführung

• Angriffsnarrativ & Befehle: Ein Angreifer hat sich über einen Phishing-Link initialen Zugang verschafft. Um grundlegende signaturbasierte Erkennungen zu umgehen, verwenden sie mshta.exe um ein bösartiges HTA-Skript aus einem lokalen temporären Verzeichnis auszuführen. Einmal drinnen, verwendet der Angreifer einen kodierten PowerShell-Befehl, um eine Nutzlast aus der zweiten Phase herunterzuladen und zu verbergen, was das Skript beabsichtigt. Schließlich erstellen sie eine geplante Aufgabe, die ein PowerShell-Skript bei jedem Systemstart ausführt, um den Zugang auch nach einem Neustart aufrechtzuerhalten.

• Regressionstest-Skript:

  # 1. Simulation der MSHTA-Ausführung (T1218.005)
  # Erstellen einer Dummy-HTA-Datei
  $htaContent = ""
  $htaPath = "$env:TEMPmalicious.hta"
  $htaContent | Out-File -FilePath $htaPath -Encoding ascii
  # Starten von MSHTA (Dies sollte die Regel auslösen)
  Start-Process "mshta.exe" -ArgumentList "`"$htaPath`""
  # 2. Simulation kodierter PowerShell (T1027.017)
  # Die folgende ist eine kodierte Version von 'Write-Host "Bösartige Nutzlast ausgeführt"'
  $encodedCommand = "V3JpdGUtSG9zdCAiTWFsaWNpb3VzIFBheWxvYWQgRXhlY3V0ZWQi"
  # Starten von PowerShell mit EncodedCommand (Dies sollte die Regel auslösen)
  powershell.exe -NoProfile -EncodedCommand $encodedCommand
  # 3. Simulation der geplanten Aufgabenpersistenz (T1053)
  # Erstellen einer Aufgabe, die einen PowerShell-Befehl ausführt
  $taskName = "WindowsUpdateCheck"
  $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-ExecutionPolicy Bypass -WindowStyle Hidden -Command 'Write-Host Malicious Task'"
  Register-ScheduledTask -Action $action -Trigger (New-ScheduledTaskTrigger -AtLogOn) -TaskName $taskName -Description "Simulated Persistence"

• Aufräumbefehle:

  # Entfernen der Dummy-HTA-Datei
  Remove-Item -Path "$env:TEMPmalicious.hta" -Force
  # Entfernen der geplanten Aufgabe
  Unregister-ScheduledTask -TaskName "WindowsUpdateCheck" -Confirm:$false