SEO-Giftköder-Kampagne liefert Armorsteal-Malware

Zusammenfassung

Eine SEO-Vergiftungskampagne nutzt gefälschte Websites, die Chocolatey und Microsoft Activation Scripts imitieren, um Armorsteal, eine in Python entwickelte Malware-Familie, zu verbreiten. Die Malware umfasst Module für Fernzugriff, Überwachung und Informationsdiebstahl, die entwickelt wurden, um sensible Daten zu exfiltrieren, einschließlich Kryptowährungs-Wallets und Browser-Anmeldeinformationen. Der Angriff stützt sich auf Pyarmor-Verschleierung und etabliert automatisch Persistenz durch geplante Aufgaben.

Untersuchung

Zscaler Threat Hunting deckte die Kampagne auf, indem vergiftete Suchergebnisse zu type-squatted Domains zurückverfolgt wurden. Analysten beobachteten die Bereitstellung einer Python 3.11-Laufzeitumgebung und identifizierten RSA-2048-Signaturen zur Verifizierung von Befehlen. Die Untersuchung dokumentierte auch Änderungen in der C2-Infrastruktur, da der Bedrohungsakteur zwischen Domains und Hosting-Anbietern wechselte.

Minderung

Organisationen sollten identifizierte bösartige Domains und IP-Adressen über Sicherheitskontrollen blockieren. Verteidiger sollten Endpunkte auf unerlaubte geplante Aufgaben und verdächtige Dateien in Windows-Systemverzeichnissen untersuchen. Überprüfung von Ausnahmeregelungen in Microsoft Defender und Schulung der Nutzer zur Überprüfung legitimer Software-Download-Quellen kann ebenfalls dazu beitragen, die Exposition gegenüber der Kampagne zu verringern.

Reaktion

Bei Entdeckung von Armorsteal-Aktivität sofort infizierte Systeme isolieren und unerlaubte geplante Aufgaben wie SysCheck2 und SysCheckX entfernen. Nach verdächtigen Dateien suchen unter C:WindowsSystemHealthUpdate und PowerShell-Protokolle auf bösartige Downloads überprüfen. Ausgehenden HTTPS-Verkehr auf bekannte C2-Endpunkte überwachen und Browser-Prozesse inspizieren, die mit aktiviertem Remote-Debugging-Port gestartet wurden.

Simulation Ausführung

• Angriffsnarrative & Befehle: Ein Angreifer hat es erfolgreich geschafft, einen Benutzer durch SEO-Vergiftung dazu zu verleiten, ein bösartiges Skript auszuführen. Das Ziel ist es, das Armorsteal-Fernzugriffsmodul zu installieren. Um die Entdeckung zu vermeiden, verwendet der Angreifer ein PowerShell-Skript namens install.ps1 welches beim Ausführen eine täuschende Verzeichnisstruktur erstellt C:WindowsSystemHealthUpdate um seine Komponenten zu verbergen und als legitimes Windows-System-Update zu tarnen.

• Regression Test Skript:

  # Simulation des Armorsteal-Installationsmusters
  # Schritt 1: Erstellen der täuschenden Verzeichnisstruktur
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # Schritt 2: Simulieren der Ausführung des bösartigen Installationsprogramms
  # Dieser Befehl soll die 'selection_powershell'- und 'selection_directory'-Logik auslösen
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # Hinweis: Da install.ps1 möglicherweise nicht lokal existiert, simulieren wir die Befehlszeilenauslösung
  # die das Sigma-Regel tatsächlich sucht.
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # Schritt 3: Erstellen einer Dummy-Datei in diesem Verzeichnis, um die 'selection_directory'-Anforderung auszulösen
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• Bereinigungskommandos:

  # Entfernen des bösartigen Verzeichnisses und der während der Simulation erstellten Dateien
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force