Der AZORult-Trojaner in gezielten Angriffen eingesetzt

In der vergangenen Woche veröffentlichten Forscher bei Zscaler ThreatLabZ einen Bericht über eine massive Kampagne, die auf die Lieferkette und den Regierungssektor im Nahen Osten abzielt. Cyberkriminelle versendeten Phishing-E-Mails, die vorgeben, von Mitarbeitern der Abu Dhabi National Oil Company (ADNOC) zu stammen, und infizierten die Ziele mit dem AZORult-Trojaner.

Kampagne Gezielt auf Organisationen im Nahen Osten

Die Angreifer sahen eine Gelegenheit, gekündigte Verträge durch ADNOC im April als Vorwand zu nutzen, während die Verhandlungen aktiv sind und neue Verträge abgeschlossen werden.

Die Kampagne begann im Juli, und mehrere Organisationen, die mit der Lieferkette im Öl- und Gassektor verbunden sind, erhielten Phishing-E-Mails mit seriös aussehenden PDF-Dateien, die Links zu legitimen Dateifreigabediensten enthielten, welche schädliche ZIP-Archive hosteten. Das Archiv enthält einen Dropper, der den AZORult-Trojaner auf dem Zielrechner herunterlädt und einsetzt.

AZORult ist eine kommerzielle Malware, die seit mehr als 4 Jahren bekannt ist, daher ist es schwierig, diese Kampagne bekannten Bedrohungsakteuren zuzuordnen. Der Trojaner hat Infostealer-Funktionalitäten und die Fähigkeit, zusätzliche Werkzeuge zu installieren sowie ein verstecktes Administratorkonto zu erstellen, das RDP-Verbindungen zum infizierten System erlaubt.

AZORult-Trojaner-Erkennung

Neue Community-Bedrohungsjagd Sigma-Regel veröffentlicht von Osman Demir ermöglicht Sicherheitssystemen, Spuren des während der gezielten Kampagne eingesetzten AZORult-Trojaners zu finden: https://tdm.socprime.com/tdm/info/haGwuszBAOO8/szlv_XQBR-lx4sDx1j_Y/?p=1

Die Regel hat Übersetzungen für die folgenden Plattformen:

SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, LogPoint, Humio

EDR: Carbon Black, Elastic Endpoint

MITRE ATT&CK:

Taktiken: Verteidigungsausweichen, Persistenz

Techniken: Indikatoren-Entfernung auf dem Host (T1070), Registrierungsausführungsschlüssel / Startordner (T1060)

Finden Sie mehr Erkennungsinhalte, um AZORult-Malware und zugehörige Dropper zu entdecken, bei Threat Detection Marketplace.

Bereit, SOC Prime TDM auszuprobieren? Kostenlos registrieren. Oder Treten Sie dem Threat Bounty Programm bei um Ihre eigenen Inhalte zu erstellen und sie mit der TDM-Community zu teilen.