RSVP auf ein Desaster: Wie ein Klick einen RAT installiert

Zusammenfassung

Cyberkriminelle nutzen Phishing-E-Mails, die als Einladungen zu gesellschaftlichen Ereignissen getarnt sind, um Malware zu verbreiten. Opfer werden über einen gefälschten RSVP-Button zu einer CAPTCHA-Überprüfungsseite und dann zu einer bösartigen Download-Seite umgeleitet. Der Angriff endet mit der Installation eines Remote Access Trojaners (RAT), der Angreifern umfangreiche Kontrolle über das kompromittierte Gerät ermöglicht.

Untersuchung

Das Cofense Phishing Defense Center identifizierte eine Kampagne, die auf vage, neugierbezogene Social Engineering-Techniken setzt. Forscher entdeckten einen mehrstufigen Infektionsfluss, der eine CAPTCHA-Seite verwendet, die auf einer neu registrierten, markenlosen Domain gehostet wird, um einen falschen Eindruck von Legitimität zu erzeugen. Die finale Nutzlast ist eine legitime Fernzugriffsanwendung, die für schädliche Zugriffe missbraucht wird.

Minderung

Organisationen sollten Mitarbeiterschulungen anbieten, die sich darauf konzentrieren, Social Engineering-Techniken zu erkennen, die vage, dringliche oder neugierbasierte E-Mail-Köder beinhalten. Technische Schutzmaßnahmen sollten E-Mail-Sicherheitsgateways umfassen, die verdächtige URLs blockieren, sowie die Überwachung auf unautorisierte Fernzugriffswerkzeuge. Endpunktschutz sollte auch legitime Software kennzeichnen, wenn diese in verdächtigen oder unerwarteten Kontexten ausgeführt wird.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie sofort den betroffenen Host vom Netzwerk, um weiteren unautorisierten Zugriff zu verhindern. Führen Sie eine umfassende forensische Untersuchung durch, um den Umfang der Kompromittierung zu bestimmen und mögliche Datenexfiltrierung zu identifizieren. Setzen Sie die Anmeldedaten der betroffenen Benutzer zurück und überprüfen Sie die Systemprotokolle auf unautorisierte Verbindungen, Persistenzmechanismen oder andere verdächtige Aktivitäten.

Simulation der Ausführung

• Angriffserzählung & Befehle: Der Gegner initiiert einen Spear-Phishing-Angriff, indem er eine E-Mail mit einem Link zu einer gefälschten „Veranstaltungseinladung“ sendet. Beim Klicken wird der Benutzer aufgefordert, eine Datei herunterzuladen. In dieser Simulation simulieren wir die letzte Phase, in der der Benutzer die heruntergeladene ScreenConnect.ClientSetup.exe. Das Ziel ist es, einen Fernzugriffspunkt zu etablieren. Die Ausführung dieses speziellen Dateinamens wird den Hochrisiko-Alarm auslösen.

• Regressionstest-Skript:

  # Simulationsskript: Auslösen der ScreenConnect-Erkennung
  # Hinweis: Wir erstellen eine Dummy-Datei mit dem Zielnamen zur Simulation der Ausführung
  # ohne tatsächlich potenziell schädliche Software zu installieren.
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] Erstellung der Dummy-Datei: $tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] Simulation der Ausführung von $targetName..."
  # Verwendung von Start-Process, um ein Prozesserstellungsereignis (Event-ID 1 / 4688) zu generieren
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] Simulationsbefehl abgeschlossen. Überprüfen Sie SIEM auf Alarme."

• Cleanup-Befehle:

  # Bereinigungsskript
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] Dummy-Datei bereinigt: $tempPath"
  } else {
      Write-Host "[-] Dummy-Datei nicht gefunden. Nichts zu bereinigen."
  }