Eine mehrstufige steganografische Loader-Kampagne liefert weltweit vielfältige Nutzlasten aus

Zusammenfassung

Eine mehrstufige Malware-Kampagne nutzt Steganografie und In-Memory-Ausführung, um mehrere Payloads, einschließlich Remcos RAT, auszuliefern. Die Infektionskette beginnt mit einer Phishing-E-Mail, die ein bösartiges Archiv enthält, das eine .NET-Anwendung ablegt. Diese Anwendung verwendet eingebettete Ressourcen und steganografische Methoden, um spätere Phasen direkt in den Speicher zu laden, was der Malware hilft, Festplatten-basierte Erkennung zu vermeiden.

Untersuchung

Die Untersuchung begann, nachdem die Telemetrie eine verdächtige Datei namens GST Debit Note Apr_26.comgekennzeichnet hatte. Analysten stellten fest, dass die Datei eine gepackte 32-Bit-.NET-Anwendung war, die als Spiel getarnt war. Weitere Reverse Engineering-Recherchen enthüllten Steganografie, die in einem .NET-Bitmap-Objekt eingebettet war und den Ladeprogramm der nächsten Stufe, Optimax.dll, verbarg und es ermöglichte, vollständig im Speicher zu laufen.

Minderung

Organisationen sollten starke E-Mail-Filter einsetzen, um verdächtige Archiv-Anhänge und Phishing-Versuche zu blockieren. EDR-Lösungen sollten in der Lage sein, In-Memory-Ausführung, Prozesshollowing und verdächtiges PowerShell-Verhalten zu erkennen. Teams sollten auch unautorisierte Registrierungseinträge überwachen, insbesondere in den Run-Schlüsseln, und strikte Anwendungssteuerung durchsetzen, um zu verhindern, dass nicht signierte Anwendungen gestartet werden.

Reaktion

Betroffene Endpunkte sollten sofort isoliert werden, um seitliche Bewegungen und Datendiebstahl zu begrenzen. Ermittler sollten Speicherforensik durchführen, um dateifreie Komponenten zu identifizieren und das Vorhandensein des Remcos_Mutex_Inj Mutex zu bestätigen. Eine vollständige Überprüfung sollte auch auf unautorisierte Persistenz im AppData Verzeichnis und in den Run-Schlüsseln der Registrierung überprüfen, während die Anmeldeinformationen für alle Benutzer, deren Browser möglicherweise vom Malware erreicht wurden, zurückgesetzt werden sollten.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff99cc classDef technique fill:#c2f0c2 classDef file fill:#e1e1e1 %% Node Definitions %% Initial Access attack_phishing["<b>Action</b> – <b idea='T1566.001'>Phishing: Spearphishing Attachment</b><br/><b>Details</b>: Malicious archive GST Debit Note Apr_26.com sent to victims."] class attack_phishing action %% Evasion and Loader Stage 1 evasion_stego["<b idea='T1027.003'>Obfuscated Files or Information: Steganography</b><br/><b>Details</b>: Hiding Optimax.dll inside a serialized .NET Bitmap object<br/>within the executable resource section."] class evasion_stego technique exec_appdomain["<b idea='T1574.014'>Hijack Execution Flow: AppDomainManager</b><br/><b>Details</b>: Using reflection and AppDomain.Load to execute<br/>payload directly from memory without touching disk."] class exec_appdomain technique %% Second Stage loader_stage2["<b idea='T1055.012'>Process Injection: Process Hollowing</b><br/><b>Details</b>: System Optimizer Ultimate.dll deploys final payload<br/>by hollowing a default browser process."] class loader_stage2 technique malware_remcos["<b idea='Malware'>Remcos RAT</b><br/><b>Description</b>: Remote Access Trojan deployed<br/>as the final payload."] class malware_remcos malware %% Persistence and Evasion evasion_sandbox["<b idea='T1497'>Virtualization/Sandbox Evasion</b><br/><b>Details</b>: Checking for sbiedll.dll and registry keys<br/>to detect sandboxes or virtual machines."] class evasion_sandbox technique persistence_active["<b idea='T1547.014'>Boot or Logon Autostart Execution: Active Setup</b><br/><b>Details</b>: Copying malware to AppDataRoaming and<br/>configuring a Run registry key for persistence."] class persistence_active technique %% Collection and Exfiltration collect_browser["<b idea='T1217'>Browser Information Discovery</b><br/><b>Details</b>: Collecting Chrome and Firefox credentials."] class collect_browser technique steal_cookies["<b idea='T1539'>Steal Web Session Cookie</b><br/><b>Details</b>: Capturing active web session cookies."] class steal_cookies technique exfil_c2["<b idea='T1041'>Exfiltration Over C2 Channel</b><br/><b>Details</b>: Sending captured data from logs.dat<br/>to the attacker via Command and Control."] class exfil_c2 technique file_logs["<b idea='File'>logs.dat</b><br/><b>Description</b>: Local file used to store

graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff99cc classDef technique fill:#c2f0c2 classDef file fill:#e1e1e1 %% Node Definitions %% Initial Access attack_phishing[„<b>Aktion</b> – <b idea=’T1566.001′>Phishing: Spearphishing Anhang</b><br/><b>Details</b>: Bösartiges Archiv GST Debit Note Apr_26.com an die Opfer gesendet.“] class attack_phishing action %% Evasion and Loader Stage 1 evasion_stego[„<b idea=’T1027.003′>Verschleierte Dateien oder Informationen: Steganografie</b><br/><b>Details</b>: Verstecken von Optimax.dll in einem serialisierten .NET-Bitmap-Objekt<br/>innerhalb des ausführbaren Ressourcensegments.“] class evasion_stego technique exec_appdomain[„<b idea=’T1574.014′>Umleitung des Ausführungsflusses: AppDomainManager</b><br/><b>Details</b>: Verwenden von Reflection und AppDomain.Load, um<br/>Payload direkt aus dem Speicher auszuführen, ohne die Festplatte zu berühren.“] class exec_appdomain technique %% Second Stage loader_stage2[„<b idea=’T1055.012′>Prozessinjektion: Prozesshollowing</b><br/><b>Details</b>: System Optimizer Ultimate.dll setzt die endgültige Nutzlast frei<br/>indem ein Standard-Browser-Prozess gehollowt wird.“] class loader_stage2 technique malware_remcos[„<b idea=’Malware‘>Remcos RAT</b><br/><b>Beschreibung</b>: Remote Access Trojan, bereitgestellt<br/>als die endgültige Nutzlast.“] class malware_remcos malware %% Persistence and Evasion evasion_sandbox[„<b idea=’T1497′>Virtuelle Umgebung/Sandbox-Ausweichung</b><br/><b>Details</b>: Überprüfen von sbiedll.dll und Registrierungsschlüsseln<br/>zur Erkennung von Sandboxes oder virtuellen Maschinen.“] class evasion_sandbox technique persistence_active[„<b idea=’T1547.014′>Start- oder Anmeldeausführung: Aktive Einrichtung</b><br/><b>Details</b>: Kopieren von Malware in AppDataRoaming und<br/>Konfigurieren eines Run-Registrierungsschlüssels zur Persistenz.“] class persistence_active technique %% Collection and Exfiltration collect_browser[„<b idea=’T1217′>Entdecken von Browser-Informationen</b><br/><b>Details</b>: Sammeln von Chrome- und Firefox-Anmeldedaten.“] class collect_browser technique steal_cookies[„<b idea=’T1539′>Diebstahl von Web-Sitzungscookies</b><br/><b>Details</b>: Erfassen aktiver Web-Sitzungscookies.“] class steal_cookies technique exfil_c2[„<b idea=’T1041′>Exfiltration über C2-Kanal</b><br/><b>Details</b>: Senden der erfassten Daten von logs.dat<br/>an den Angreifer über Kommando und Steuerung.“] class exfil_c2 technique file_logs[„<b idea=’File‘>logs.dat</b><br/><b>Beschreibung</b>: Lokale Datei zum Speichern<br/>gestohlener Anmeldedaten und Cookies.“] class file_logs file %% Connections %% Flow of attack attack_phishing –>|führt zu| evasion_stego evasion_stego –>|packt aus| exec_appdomain exec_appdomain –>|lädt| loader_stage2 loader_stage2 –>|setzt ein| malware_remcos %% Malware actions malware_remcos –>|führt aus| evasion_sandbox malware_remcos –>|etabliert| persistence_active malware_remcos –>|führt aus| collect_browser collect_browser –>|führt zu| steal_cookies steal_cookies –>|speichert in| file_logs file_logs –>|gesendet über| exfil_c2

Angriffsfluss