Gefälschte Bestellauftrags-E-Mails werden in Malware-Phishing-Angriffen verwendet

Zusammenfassung

Bedrohungsakteure verteilen Phishing-E-Mails mit bösartigen DOCX-Anhängen, die als Bestellungen getarnt sind. Die Dokumente missbrauchen das Element altChunk, um eine bösartige RTF-Datei zu laden, die eine Schwachstelle im Equation Editor ausnutzt, um VBScript auszuführen. Die endgültige Nutzlast ist der SnakeKeylogger Infostealer, der darauf ausgelegt ist, Anmeldedaten zu stehlen, Tastenanschläge zu erfassen und andere sensible Informationen zu sammeln.

Untersuchung

AhnLab Security Intelligence Center (ASEC) analysierte die Infektionskette, die mit dem bösartigen DOCX-Anhang beginnt. Forscher identifizierten eine mehrstufige Ausführungssequenz, die eine RTF-Datei, VBScript, PowerShell und einen Python-basierten Loader umfasst. Die Kette stellt letztendlich SnakeKeylogger bereit, der auf spezifische Entschlüsselungstechniken angewiesen ist, um seinen eingebetteten Shellcode auszuführen.

Minderung

Benutzer sollten die Absender-E-Mail-Domains überprüfen und vorsichtig sein, wenn sie unerwartete Anhänge oder Links erhalten. Organisationen sollten die E-Mail-Filterung so konfigurieren, dass verdächtige .docx-Dateien mit altChunk-Elementen erkannt werden, und die unautorisierte Ausführung von pythonw.exe oder cscript.exe überwachen. Microsoft Office und andere Software sollten auch gegen bekannte Schwachstellen gepatcht werden.

Reaktion

Wenn bösartige Aktivitäten festgestellt werden, isolieren Sie betroffene Systeme, um die weitere Datenexfiltration zu stoppen. Führen Sie eine forensische Analyse durch, um das Ausmaß des Kompromisses zu bestimmen und Persistenz durch Registry Run-Schlüssel zu identifizieren. Setzen Sie Anmeldedaten von Konten zurück, die vom infizierten Host aus zugegriffen wurden, insbesondere Browser-, E-Mail- und Finanzdienstleistungsanmeldedaten.

Simulation Execution

• Angriffserzählung & Befehle: Ein Gegner sendet eine Spear-Phishing-E-Mail mit einem gefälschten „Bestellung“ im DOCX-Format. Wenn das Opfer das Dokument öffnet, wird durch ein Makro oder Exploit die Extraktion einer bösartigen Nutzlast namens 832734.Vbs in ein temporäres Verzeichnis initiiert. Der Angreifer führt dann dieses Skript über wscript.exeaus. Diese Aktion soll einen ersten Fuß in der Tür schaffen und mit der Ernte von Anmeldeinformationen mit dem SnakeKeylogger Infostealer beginnen. Die Erkennungsregel soll die Ausführung fangen, da der Dateiname 832734.Vbs im Prozess-Erstellungs-Befehlszeile vorhanden ist.

• Regression Test Script:

  # Simulationsskript zur Replikation der SnakeKeylogger-Dateinamensbasierten Ausführung
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # Erstellen Sie eine Dummy-VBS-Datei zur Simulation der Nutzlast
  "WScript.Echo 'Simulieren der SnakeKeylogger-Nutzlast'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # Führen Sie die Datei über wscript.exe aus, um die Erkennungsregel auszulösen
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "Simulation abgeschlossen. Überprüfen Sie die Sicherheitsprotokolle auf Prozesse, die 832734.Vbs umfassen"

• Aufräumbefehle:

  # Aufräumen: Entfernen Sie die simulierte bösartige Datei
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "Aufräumen erfolgreich: $maliciousFile entfernt."
  }