OpenClaws Hologram liefert einen gefälschten Installer und Rust-Infostealer

Zusammenfassung

Ein ausgeklügelter, auf Rust basierender Infostealer wird über einen gefälschten OpenClaw-Installer verbreitet. Der initiale Dropper, der als Hologram verfolgt wird, wendet mehrere Sandbox-Vermeidungstechniken an, bevor ein sechskomponenten-modulares Implantat bereitgestellt wird. Die Operation missbraucht auch legitime Plattformen wie Azure DevOps, Telegram und Hookdeck für Befehls-und-Kontroll- und Dead-Drop-Lieferungen. Ihr Hauptziel ist es, Anmeldedaten aus Kryptowährungs-Wallets und Passwort-Manager-Browser-Erweiterungen zu stehlen.

Untersuchung

Netskope Threat Labs untersuchte zwei Kampagnenwellen, Hologram und Pathfinder, und kartierte die vollständige Infektionskette vom gefälschten Installer bis zu den finalen Credential-Diebstahls-Modulen. Ihre Analyse deckte Anti-VM-Checks, eine Anforderung an Mausbewegungen, einen PowerShell-Runner, der Microsoft Defender deaktiviert, und mehrere Persistenzmethoden auf, einschließlich Run-Tasten, einem Winlogon userinit Hijack, geplante Aufgaben und COM-Hijacking. Forscher beobachteten auch häufige Infrastrukturänderungen über Domänen, Telegram-Kanäle und Hookdeck-Webhooks.

Abwehrmaßnahmen

Verteidiger sollten den Download des gefälschten OpenClaw-Installers blockieren und auf die große 130 MB Rust-PE achten, die mit der Kampagne verbunden ist. Sicherheitsteams sollten auch die Erstellung der OneDriveSync.lnk Verknüpfung im Autostart-Ordner erkennen und Registrierungsmodule beobachten, die Winlogon userinitbetreffen. Der ausgehende Zugriff auf Azure DevOps, die Telegram-API und Hookdeck-Endpunkte sollte auf Nicht-Entwickler-Systemen streng kontrolliert werden. Firewall-Regeln sollten auch eingehende Verbindungen auf den Ports 56001 bis 57002.

Reaktion

Wenn die Bedrohung erkannt wird, sollte der betroffene Endpunkt sofort isoliert, die abgeworfenen Binärdateien und zugehörigen Dateien gesammelt und eine forensische Analyse der Registrierung und geplanten Aufgaben vorgenommen werden. Jegliche exponierten Azure DevOps-Tokens sollten widerrufen und kompromittierte Telegram-Bot-Anmeldeinformationen sollten rotiert werden. Detektionsinhalte sollten dann aktualisiert werden, um die beobachteten Mutexes, Dateinamen und Netzwerkindikatoren einzuschließen. Betroffene Stakeholder sollten informiert und ein Bericht bei der CERT oder den betroffenen Dienstanbietern in Betracht gezogen werden.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Grundlinien-Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die zum Auslösen der Erkennungsregel ausgelegt ist. Die Befehle und Erzählungen spiegeln direkt die identifizierten TTPs wider und sollen die genaue Telemetrie erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffs-Narrativ & Befehle:

  Ein Gegner erwirbt den bösartigen OpenClaw-gefälschten Installer (OpenClaw_x64.exe).
  Der Benutzer, der glaubt, es sei ein legitimes Wallet-Tool, führt den Installer aus (T1204).
  Der Installer startet sofort eine einzige Befehlszeile, die alle sechs bösartigen Payload-Binärdateien auf einmal erzeugt, um Sandbox-Heuristiken zu umgehen und ein modulares Implantat-Framework zu etablieren (T1027.009, T1608.001, T1546.016, T1127).

  Die genaue Befehlszeile, die von der Regel erwartet wird, lautet:

  OpenClaw_x64.exe svc_service.exe virtnetwork.exe onedrive_sync.exe audioeq.exe WinHealhCare.exe OneSync.exe

• Regressionstest-Skript:

  # -------------------------------------------------
  # Simulationsskript – löst die OpenClaw-Erkennung aus
  # -------------------------------------------------
  $installerPath = "C:TempOpenClaw_x64.exe"
  
  # Sicherstellen, dass der Dummy-Installer existiert (harmlosen Platzhalter erstellen)
  if (-not (Test-Path $installerPath)) {
      New-Item -ItemType File -Path $installerPath -Force | Out-Null
  }
  
  # Erstellen der Argumentliste mit allen sechs Payload-Namen
  $payloads = @(
      "svc_service.exe",
      "virtnetwork.exe",
      "onedrive_sync.exe",
      "audioeq.exe",
      "WinHealhCare.exe",
      "OneSync.exe"
  )
  $argString = $payloads -join " "
  
  # Starten Sie den Installer mit der vollständigen bösartigen Befehlszeile
  Write-Host "Bösartigen Installer starten..."
  Start-Process -FilePath $installerPath -ArgumentList $argString -NoNewWindow
  
  # Warten Sie einige Sekunden, um Sysmon / Sicherheit das Ereignis protokollieren zu lassen
  Start-Sleep -Seconds 5
  Write-Host "Simulation abgeschlossen. Überprüfen Sie SIEM auf Warnung."

• Bereinigungsbefehle:

  # -------------------------------------------------
  # Bereinigungsskript – entfernt für den Test erstellte Artefakte
  # -------------------------------------------------
  $installerPath = "C:TempOpenClaw_x64.exe"
  if (Test-Path $installerPath) {
      Remove-Item -Path $installerPath -Force
  }
  
  # Optional beenden Sie verbleibende Dummy-Payload-Prozesse (sie sind nur Platzhalter)
  Get-Process -Name "svc_service","virtnetwork","onedrive_sync","audioeq","WinHealhCare","OneSync" -ErrorAction SilentlyContinue |
      Stop-Process -Force
  Write-Host "Bereinigung abgeschlossen."