ValleyRAT-Malware zielt auf Arbeitssuchende ab und missbraucht Foxit DLL-Sideloading

Zusammenfassung

Der ValleyRAT Remote-Access-Trojaner wird über E-Mail-Anhänge verteilt, die auf Arbeitssuchende und HR-Mitarbeiter abzielen. Gegner bündeln eine manipulierte Foxit PDF Reader-Executable und verlassen sich auf DLL-Side-Loading, um eine bösartige msimg32.dll auszulösen. Die Nutzlast entpackt eine versteckte Python-Laufzeitumgebung, ruft ein Base64-codiertes Skript von einem C2-Server ab und richtet Persistenz durch einen Autorun-Registrierungswert ein, während sie Browserdaten abzapft.

Untersuchung

Forscher analysierten das bösartige Archiv und fanden eine umbenannte FoxitPDFReader.exe, die eine bösartige msimg32.dll durch die standardmäßige Windows DLL-Suchreihenfolge lädt. Ein Batch-Skript entpackt dann einen eingebetteten Python-Interpreter (umbenannt in zvchost.exe) und führt ein Base64-codiertes Loader-Skript aus, das von einer bösartigen IP-Adresse abgerufen wird. Netzwerkanalyse enthüllte ein selbstsigniertes Zertifikat mit einem zufälligen CN und einem einzigartigen JA3-Fingerprint, der für C2-Verkehr verwendet wird. Persistenz wird durch Erstellen eines Autorun-Registry-Keys aufrechterhalten.

Abschwächung

Empfohlene Abwehrmaßnahmen umfassen rigoroses Scannen von E-Mail-Anhängen und das Blockieren von ausführbaren Dateien, die als PDF-Dateien getarnt sind. Anwendung-Whitelisting anwenden, um unbefugtes DLL-Side-Loading und die Ausführung von nicht vertrauenswürdigen Binärdateien zu verhindern. Überwachen Sie die Erstellung von Autorun-Registry-Einträgen und blockieren Sie bekannte C2-IP-Adressen. Halten Sie die Signaturen des Endpunktschutzes auf dem neuesten Stand und bieten Sie gezielte Sicherheitsaufklärungsschulungen an, die sich auf Phishing mit Arbeitssuchenden-Themen konzentrieren.

Reaktion

Generieren Sie Warnungen, wenn FoxitPDFReader.exe oder msimg32.dll von ungewöhnlichen Orten ausgeführt werden, insbesondere von Pfaden mit tiefen Unterstrichmustern. Korrelieren Sie Prozessaktivitäten von zvchost.exe mit dem -c-Parameter und Base64-Command-Payloads. Erkennen Sie ausgehende Verbindungen zu 196.251.86.145 (und zugehöriger Infrastruktur) und überprüfen Sie TLS-Sitzungen auf das unverwechselbare selbstsignierte Zertifikat. Untersuchen Sie Registrierungsänderungen unter HKCUSoftwareMicrosoftWindowsCurrentVersionRun auf nicht autorisierte Autorun-Einträge.

Simulationserführung

Voraussetzung: Der Telemetry & Baseline Pre-flight Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle:

  1. Erste Kompromittierung: Das Opfer öffnet ein bösartiges, rekrutierungsthemenbezogenes PDF, das per E-Mail ausgeliefert wurde. Das PDF enthält JavaScript (T1059.006), das eine bösartige DLL (valley.dll) im selben Verzeichnis wie die PDF-Reader-Executable ablegt.

  2. DLL-Side-Loading: Der Angreifer nutzt die Fähigkeit des Foxit Readers, Hilfs-DLLs zu laden. Durch Platzieren vonvalley.dll neben einer umbenannten Foxit-Executable (zvchost.exe) lädt Foxit beim Start unbeabsichtigt die bösartige DLL und führt ValleyRAT aus.

  3. Trigger der Prozesserstellung: Die umbenannte Executable (zvchost.exe) wird gestartet und erzeugt ein Prozesserstellungsereignis, bei dem der Bildpfad mitzvchost.exe endet. Dies entspricht der Sigma-RegelImage|endswith Bedingung und führt zu einem Alarm.

• Regression-Testskript: Das folgende PowerShell-Skript reproduziert die obigen Schritte in einer kontrollierten Laborumgebung.

  # ------------------------------------------------------------
  # Regressionsskript für ValleyRAT Side-Loading-Erkennungstest
  # ------------------------------------------------------------
  
  # 1. Temporäres Arbeitsverzeichnis einrichten
  $workDir = "$env:TEMPValleyRAT_Test"
  New-Item -Path $workDir -ItemType Directory -Force | Out-Null
  
  # 2. Eine legitime Foxit Reader-Executable kopieren (Simulation des PDF-Readers)
  $foxitSrc = "C:Program FilesFoxit SoftwareFoxit ReaderFoxitReader.exe"
  $foxitRenamed = Join-Path $workDir "zvchost.exe"
  Copy-Item -Path $foxitSrc -Destination $foxitRenamed -Force
  
  # 3. Eine Dummy-bösartige DLL erstellen (in der Realität wäre dies die ValleyRAT-Nutzlast)
  $dllPath = Join-Path $workDir "valley.dll"
  Set-Content -Path $dllPath -Value ([byte[]](0x4D,0x5A)) -Encoding Byte  # Minimaler MZ-Header
  
  # 4. Die umbenannte Foxit-Executable starten (dies löst das DLL-Side-Loading aus)
  Write-Host "[*] Umbenannte Foxit-Executable wird gestartet, um Side-Loading auszulösen..."
  $proc = Start-Process -FilePath $foxitRenamed -PassThru -WindowStyle Hidden
  
  # 5. Kurz warten, um sicherzustellen, dass die Prozesserstellung protokolliert wird
  Start-Sleep -Seconds 5
  
  # 6. Prozessinformationen zur Überprüfung ausgeben
  Write-Host "Prozess-ID: $($proc.Id)"
  Write-Host "Ausführungspfad: $($proc.Path)"
  
  # 7. Aufräumen (optional – siehe separaten Aufräumabschnitt)
  # Remove-Item -Recurse -Force $workDir

• Aufräumbefehle: Nach dem Test ausführen, um Artefakte zu entfernen und verbleibende Side-Loaded-DLLs zu vermeiden.

  # Das Testverzeichnis aufräumen und alle herumirrenden Prozesse beenden
  $workDir = "$env:TEMPValleyRAT_Test"
  
  # Den gestarteten Prozess beenden, wenn er noch läuft
  Get-Process -Name "zvchost" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Die Testartefakte löschen
  Remove-Item -Path $workDir -Recurse -Force -ErrorAction SilentlyContinue
  
  Write-Host "[+] Aufräumen abgeschlossen."