Coyote Banking Malware: SOC Bedrohungsbericht

graph TB %% Class Definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef operator fill:#ff9900 %% Nodes delivery_content_injection[„<b>Aktion</b> – <b>T1659 Content Injection</b><br /><b>Beschreibung</b>: Bösartige ZIP-/LNK-Dateien, die über WhatsApp Web versendet werden“] class delivery_content_injection action phishing_service[„<b>Aktion</b> – <b>T1566.003 Phishing: Spearphishing über einen Dienst</b><br /><b>Beschreibung</b>: Nutzung von WhatsApp als Dienst zur Verteilung bösartiger Nutzlasten“] class phishing_service action user_execution[„<b>Aktion</b> – <b>T1204.002 Benutzerausführung</b><br /><b>Beschreibung</b>: Das Opfer öffnet eine Verknüpfung und löst einen verschleierten Befehl aus“] class user_execution action cmd_tool[„<b>Tool</b> – <b>Name</b>: cmd.exe“] class cmd_tool tool powershell_interpreter[„<b>Aktion</b> – <b>T1059.001 PowerShell</b><br /><b>Beschreibung</b>: Dekodiert eine Base64-Nutzlast und führt Befehle aus“] class powershell_interpreter action powershell_tool[„<b>Tool</b> – <b>Name</b>: PowerShell“] class powershell_tool tool obfuscation[„<b>Aktion</b> – <b>T1027.014 Verschleierte Dateien oder Informationen</b><br /><b>Beschreibung</b>: Polymorpher Code, geteilte Token, verschachtelte FOR-Schleifen, Base64 und UTF-16LE“] class obfuscation action location_discovery[„<b>Aktion</b> – <b>T1614.001 Systemstandortermittlung</b><br /><b>Beschreibung</b>: Prüft Sprache und Geolokation und bricht ab, wenn das Ziel nicht Brasilien ist“] class location_discovery action sandbox_evasion[„<b>Aktion</b> – <b>T1497.002 Virtualisierungs-/Sandbox-Umgehung</b><br /><b>Beschreibung</b>: Prüfungen basierend auf Benutzeraktivität“] class sandbox_evasion action uac_bypass[„<b>Aktion</b> – <b>T1548.002 Missbrauch von Mechanismen zur Rechteerhöhung: Umgehung der Benutzerkontensteuerung</b><br /><b>Beschreibung</b>: Deaktiviert Microsoft Defender und die Benutzerkontensteuerung“] class uac_bypass action persistence_startup[„<b>Aktion</b> – <b>T1037.004 Start- oder Anmeldeinitialisierungsskripte: RC-Skripte</b><br /><b>Beschreibung</b>: Legt eine Batch-Datei im Autostart-Ordner ab“] class persistence_startup action batch_file[„<b>Prozess</b> – <b>Name</b>: HealthApp-.bat“] class batch_file process persistence_startup_item[„<b>Aktion</b> – <b>T1037.005 Start- oder Anmeldeinitialisierungsskripte: Startelemente</b><br /><b>Beschreibung</b>: Die Batch-Datei kontaktiert periodisch den C2-Server“] class persistence_startup_item action process_discovery[„<b>Aktion</b> – <b>T1057 Prozessentdeckung</b><br /><b>Beschreibung</b>: Enumeriert Browser-Prozesse“] class process_discovery action session_hijack[„<b>Aktion</b> – <b>T1539 Diebstahl von Web-Sitzungscookies</b> / <b>T1185 Browser-Sitzungsübernahme</b><br /><b>Beschreibung</b>: Erfasst Cookies von Banking-Websites“] class session_hijack action web_c2_bidirectional[„<b>Aktion</b> – <b>T1102.002 Webdienst: Bidirektionale Kommunikation</b><br /><b>Beschreibung</b>: HTTPS-API-Aufrufe zu zapgrande.com“] class web_c2_bidirectional action web_c2_oneway[„<b>Aktion</b> – <b>T1102.003 Webdienst: Einwegkommunikation</b><br /><b>Beschreibung</b>: Ruft zusätzliche Nutzlasten ab“] class web_c2_oneway action proxy_execution[„<b>Aktion</b> – <b>T1216 Systemskript-Proxy-Ausführung</b> und <b>T1218 Systembinär-Proxy-Ausführung</b><br /><b>Beschreibung</b>: PowerShell und cmd.exe fungieren als Proxys zur speicherbasierten Ausführung entfernter Skripte“] class proxy_execution action masquerading[„<b>Aktion</b> – <b>T1036.001 Tarnung</b><br /><b>Beschreibung</b>: Dateien werden als .lnk, .zip usw. getarnt und weisen ungültige Signaturen auf“] class masquerading action malware_payload[„<b>Malware</b> – <b>Name</b>: Verschleierter PowerShell-Loader“] class malware_payload malware %% Operators op_and_location((„UND“)) class op_and_location operator %% Connections delivery_content_injection –>|liefert| phishing_service phishing_service –>|führt zu| user_execution user_execution –>|führt aus| cmd_tool cmd_tool –>|startet| powershell_interpreter powershell_interpreter –>|verwendet| powershell_tool powershell_tool –>|führt aus| obfuscation obfuscation –>|ermöglicht| location_discovery location_discovery –>|besteht| op_and_location sandbox_evasion –>|steht im Zusammenhang mit| op_and_location op_and_location –>|erlaubt| uac_bypass uac_bypass –>|etabliert| persistence_startup persistence_startup –>|erstellt| batch_file batch_file –>|ruft auf| web_c2_bidirectional web_c2_bidirectional –>|ruft ab| web_c2_oneway web_c2_oneway –>|liefert| proxy_execution proxy_execution –>|führt aus| malware_payload malware_payload –>|legt ab| persistence_startup_item persistence_startup_item –>|kontaktiert regelmäßig| web_c2_bidirectional process_discovery –>|identifiziert Browser für| session_hijack session_hijack –>|exfiltriert über| web_c2_bidirectional proxy_execution –>|maskiert durch| masquerading %% Apply classes class delivery_content_injection action class phishing_service action class user_execution action class cmd_tool tool class powershell_interpreter action class powershell_tool tool class obfuscation action class location_discovery action class sandbox_evasion action class uac_bypass action class persistence_startup action class batch_file process class persistence_startup_item action class web_c2_bidirectional action class web_c2_oneway action class proxy_execution action class masquerading action class malware_payload malware class process_discovery action class session_hijack action

Coyote Angriffsfluss