Kostenlose Konverter-Software – Jedes System in Sekundenschnelle von sauber zu infiziert konvertieren

Zusammenfassung

Malvertising-Kampagnen auf legitimen Webseiten verbreiten gefälschte „Converter“-Hilfsprogramme, die harmlos erscheinen, aber im Hintergrund persistente Remote-Access-Malware installieren. Sobald ausgeführt, legt das Installationsprogramm typischerweise Backdoor-Komponenten in %LocalAppData% ab und erstellt geplante Aufgaben, die die Nutzlast wiederholt starten, um sicherzustellen, dass der Angreifer den Zugriff über Neustarts hinweg behält. Der Betrieb stützt sich auf eine rotierende Gruppe von ähnlich aussehenden Domains, codesignierte (aber bösartige) Binärdateien und einen einfachen, auf HTTP basierenden Kommando-und-Kontroll-Workflow. Verteidiger können die Erkennung auf anomale geplante Aufgaben-Einstellungen, verdächtige Ausführungen von benutzerbeschreibbaren Pfaden und ausgehenden Datenverkehr zur identifizierten C2-Infrastruktur priorisieren.

Untersuchung

Forscher rekonstruierten den Infektionsweg von bösartigen Google-Anzeigen zu Landing Pages, die auf gefälschten Domains wie pokemoninfinitefusion.net, convertyfileapp.com und conmateapp.com gehostet werden und letztendlich die finalen Payloads liefern. Die ausgelieferten Binärdateien sind .NET-Anwendungen, die mit gestohlenen Zertifikaten signiert sind und Persistenz schaffen, indem sie eine geplante Aufgabe erstellen, die UpdateRetriever.exe aus %LocalAppData% ausführt. Telemetriedaten zeigten, dass die Malware regelmäßig confetly.com kontaktierte, um Updates oder Anweisungen abzurufen. Analysten validierten ebenfalls zugehörige Dateisystem- und Konfigurationsartefakte, einschließlich eines id.txt-Markierers und der geplanten Aufgaben-Definitionen, die verwendet werden, um das Backdoor aktiv zu halten.

Minderung

Aktivieren und operationalisieren Sie die Protokollierung für die Erstellung von geplanten Aufgaben (Sicherheitsereignis-ID 4698) und Telemetrie zu Registrierungsänderungen (z.B. Sysmon-Ereignis-ID 13). Verringern Sie das Ausführungsrisiko, indem Sie Prozessstarts aus %LocalAppData% mithilfe von AppLocker oder WDAC blockieren oder streng kontrollieren und warnen Sie vor geplanten Aufgaben, die auf benutzerbeschreibbare Verzeichnisse verweisen. Behandeln Sie verdächtige oder neu beobachtete Code-Signing-Zertifikate als hohes Risiko – widerrufen oder blockieren Sie diese, wo möglich –, und fügen Sie Domain-Kontrollen für die bekannte bösartige Infrastruktur hinzu. Auf der Netzwerkschicht, setzen Sie Erkennungen für ausgehende HTTP-Aktivitäten zu confetly.com und verwandten URL-Mustern ein und erwägen Sie, den direkten Internetzugang von Benutzerarbeitsstationen zu verhindern, wenn möglich.

Reaktion

Wenn eine verdächtige geplante Aufgabe entdeckt wird – oder wenn ausführbare Dateien in %LocalAppData% erkannt werden –, isolieren Sie den Endpunkt und bewahren Sie Beweise (Aufgaben-XML, abgelegte Binärdaten und relevante Proxy-/DNS-Logs) auf. Blockieren Sie confetly.com und alle zugehörigen Infrastrukturen sofort, um Kommando-und-Kontroll zu unterbrechen. Entfernen Sie die bösartige geplante Aufgabe, beseitigen Sie Payload-Artefakte und führen Sie eine vollständige Endpunkt-Sanierung durch, um sicherzustellen, dass keine sekundäre Persistenz bleibt. Führen Sie abschließend eine unternehmensweite Suche nach denselben Indikatoren (Aufgabennamen/-pfade, UpdateRetriever.exe, id.txt und die aufgeführten Domains) durch, um weitere betroffene Systeme zu erfassen.

Simulationsausführung

Voraussetzung: Der Telemetry & Baseline Pre‑flight Check muss bestanden sein.

Rationale: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die die Erkennungsregel auslösen soll. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, genau die Telemetriedaten zu erzeugen, die von der Erkennungslogik erwartet werden.

• Angriffserzählung & Befehle:
  Ein Angreifer, der bereits Zugriff auf das lokale System erlangt hat, möchte die Persistenz über Neustarts hinweg aufrechterhalten. Er entscheidet sich, den Windows Task Scheduler’s Backend der Registrierung zu missbrauchen, da es eine „Living-off-the-Land“-Methode ist, die die Erstellung neuer ausführbarer Dateien vermeidet. Mit reg.exefügen sie eine neue Aufgaben-Definition direkt unter TaskCacheTasks Hive hinzu, die auf eine bösartige Nutzlast in %LocalAppData%zeigt. Dieser Schreibvorgang erzeugt ein Sysmon-Ereignis 13 mit einem RegistryPath der dem Selektor der Regel entspricht, wodurch der Alarm ausgelöst wird.

• Regressionstest-Skript:

  # -------------------------------------------------------------------------
  # PowerShell-Skript zur Simulation von T1547.014 / T1574.014 – Geplante Aufgabe Persistenz
  # -------------------------------------------------------------------------
  
  # Variablen
  $taskGuid = [guid]::NewGuid().ToString("B").ToUpper()   # z.B. {A1B2C3D4-...}
  $payload  = "$env:LOCALAPPDATAmalwareevil.exe"
  $regPath  = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionScheduleTaskCacheTasks$taskGuid"
  
  # Sicherstellen, dass das Nutzlastverzeichnis existiert (simuliert)
  New-Item -Path (Split-Path $payload) -ItemType Directory -Force | Out-Null
  # (Bei einem echten Angriff würde das bösartige Binary hier abgelegt werden)
  
  # Erstellen Sie den Registrierungsschlüssel für die geplante Aufgabe
  New-Item -Path $regPath -Force | Out-Null
  
  # Minimal erforderliche Werte einfügen (Task XML wäre weitaus größer; wir halten es einfach)
  New-ItemProperty -Path $regPath -Name "Path"          -Value $payload -PropertyType String -Force | Out-Null
  New-ItemProperty -Path $regPath -Name "Id"            -Value $taskGuid -PropertyType String -Force | Out-Null
  New-ItemProperty -Path $regPath -Name "SecurityDescriptor"
      -Value "O:BAG:SYD:(A;;FA;;;SY)(A;;FA;;;BA)" -PropertyType String -Force | Out-Null
  
  Write-Host "[+] Registrierung der Aufgabe geschrieben zu $regPath – Erkennungsregel sollte ausgelöst werden."

• Säuberungsbefehle:

  # Die bösartige geplante Aufgaben-Registrierungseintrag entfernen
  $taskGuid = (Get-ItemProperty -Path "HKLM:SoftwareMicrosoftWindows NTCurrentVersionScheduleTaskCacheTasks*").Id
  $regPath  = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionScheduleTaskCacheTasks$taskGuid"
  Remove-Item -Path $regPath -Recurse -Force
  
  # Optional das Dummy-Payload entfernen
  Remove-Item -Path "$env:LOCALAPPDATAmalware" -Recurse -Force
  Write-Host "[+] Säuberung abgeschlossen."