Bösartige Interview-Software liefert informationsstehlende Malware

Zusammenfassung

Bedrohungsakteure führen Job-Betrügereien durch, die Web3-Profis anvisieren, indem sie sich als Personalvermittler ausgeben und Kandidaten zu einer betrügerischen KI-Meeting-Plattform weiterleiten, die unter relay.lcgehostet wird. Die Seite verteilt bösartige Installer für macOS und Windows, die darauf ausgelegt sind, sensible Informationen zu stehlen. Die Malware zielt auf Kryptowährungs-Wallets, Browser-Anmeldedaten, Telegram-Sitzungen und macOS-Schlüsselbund-Daten ab.

Untersuchung

Das MistEye-Team von SlowMist analysierte zwei entpackte Muster: ein macOS-Disk-Image und eine Windows- ausführbare Datei, die mit NSIS gepackt ist. Die Untersuchung ergab, dass die macOS-Version Shell-Skripte verwendet, um Sicherheitsattribute zu entfernen und gefälschte AppleScript-Eingabeaufforderungen zu nutzen, um Passwörter einzufangen. Die Windows-Version zeigt eine gefälschte Fortschrittsanzeige an, während sie lautlos ein privilegiertes updater.exe Prozess startet, der Browser-Erweiterungen im Speicher scannt.

Abschwächung

Benutzer sollten es vermeiden, Software über nicht verifizierte Rekrutierungslinks herunterzuladen, und die Legitimität von Meeting-Plattformen unabhängig bestätigen. Organisationen sollten identifizierte bösartige Domains und Dateihashes sowohl auf Gateway- als auch auf EDR-Ebene blockieren. macOS-Benutzer sollten auch jede Anweisung, Terminal-Befehle zu verwenden, um Quarantäne-Schutzmaßnahmen zu umgehen, als höchst verdächtig betrachten.

Antwort

Wenn ein macOS-Benutzer das bösartige Skript ausgeführt hat, sollte das Gerät sofort getrennt werden, gefolgt von Rücksetzungen von System, Apple ID und anderen hochrangigen Anmeldeinformationen. Bei Windows-Infektionen, isolieren Sie den Endpunkt, überprüfen Sie bekannte Registry-Persistenzstellen und gehen Sie davon aus, dass Browser-Wallet-Daten kompromittiert wurden. In beiden Fällen sollten Kryptowährungs-Assets auf neu erstellte Wallets von einem sauberen Gerät übertragen werden.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Baseline-Vorflug-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Gegnertechnik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und sollen die genau erwartete Telemetrie anhand der Erkennungslogik erzeugen. Abstrakte oder nicht verwandte Beispiele führen zu Fehlinterpretationen.

• Angriffserzählung & Befehle: Ein Gegner hat einen Info-Stealer eingesetzt, der auf Chromium-basierte Browser abzielt. Um sich in legitime Browseraktivitäten einzufügen und den Diebstahl von Sitzungscookies zu erleichtern, versucht die Malware, einen Unterprozess zu starten, der einen Browser-Erweiterungshandler nachahmt. Der Angreifer führt eine umbenannte Version einer Browserkomponente aus, wobei er das spezifische Befehlszeilenargument extension-process übergibt, um die Logik auszulösen, die von der internen Architektur des Browsers verwendet wird, nach der die Erkennungsregel spezifisch sucht.

• Regressionstestskript:

  # Simulation der verdächtigen Interaktion mit dem Prozess einer Browsererweiterung
  # Dieses Skript erstellt eine Dummy-Ausführbare Datei namens 'chrome.exe', um die Bildanforderung zu erfüllen
  # und führt diese mit dem 'extension-process' Flag aus, um die Befehlszeilenanforderung zu erfüllen.
  
  $testDir = "$env:TEMPSimulation"
  if (!(Test-Path $testDir)) { New-Item -ItemType Directory -Path $testDir }
  
  $targetExe = "$testDirchrome.exe"
  
  # Erzeugen Sie eine Dummy-Ausführbare Datei (unter Verwendung von PowerShell, um einen Prozessstart zu simulieren)
  # Hinweis: In einer realen Umgebung wäre dies eine bösartige Binärdatei.
  # Zur Simulation verwenden wir eine umbenannte PowerShell-Instanz, um das Sysmon-Ereignis-ID 1 auszulösen.
  
  # Wir verwenden einen Trick, um das 'Image'-Feld in Logs wie 'chrome.exe' aussehen zu lassen, wenn möglich,
  # aber da wir den Bildpfad eines laufenden Prozesses ohne spezielle Werkzeuge nicht leicht umbenennen können,
  # werden wir die Ausführung einer Datei namens chrome.exe simulieren.
  
  New-Item -Path "$testDirchrome.exe" -ItemType File -Force | Out-Null
  
  # Führen Sie den 'bösartigen' Prozess aus
  Start-Process -FilePath "$testDirchrome.exe" -ArgumentList "--extension-process --user-data-dir=C:Temp" -WindowStyle Hidden
  
  # Hinweis: Da chrome.exe eine Dummy-Datei ist, könnte Start-Process fehlschlagen.
  # Um sicherzustellen, dass die Regel in einem Labor ausgelöst wird, führen wir einen Befehl aus, der das Muster nachahmt:
  # Wir simulieren den 'Image'-Namen, indem wir einen Befehl verwenden, der Sysmon veranlasst, den String zu loggen.
  # Ein zuverlässigerer Weg für diese spezifische Sigma-Regel ist es tatsächlich, eine Datei namens chrome.exe zu haben
  # Für einen schnellen Test können wir jedoch Folgendes verwenden:
  
  Write-Host "Simulationsbefehl wird ausgeführt..."
  cmd.exe /c "start /b chrome.exe --extension-process" 2>$null
  
  # Wenn das oben genannte aufgrund der Dateiexistenz fehlschlägt, wird die Erkennungsregel nicht ausgelöst.
  # Manuelle Lösung für das Labor: Kopieren Sie eine echte chrome.exe in den Temp-Ordner.
  $realChrome = "${env:ProgramFiles}GoogleChromeApplicationchrome.exe"
  if (Test-Path $realChrome) {
      Copy-Item $realChrome -Destination $targetExe
      Start-Process -FilePath $targetExe -ArgumentList "--extension-process"
      Write-Host "Simulationsbefehl erfolgreich ausgeführt."
  } else {
      Write-Error "Echte Chrome ausführbare Datei nicht gefunden. Kann exakten Bildpfad nicht simulieren."
  }

• Bereinigungskommandos:

  Stop-Process -Name "chrome" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPSimulation" -Recurse -Force