Einführung
Seqrite Labs hat kürzlich eine Malware-Kampagne aufgedeckt, die die Glaubwürdigkeit staatlicher Institutionen missbrauchte, um die Infektionsrate zu erhöhen. Die Angreifer gaben sich als legitime Regierungsstellen aus und versendeten Schad-E-Mails, die als offizielle Benachrichtigungen zu Steuern, Rückerstattungen, Compliance-Anforderungen und regulatorischen Angelegenheiten getarnt waren. Durch die Nutzung des bekannten Regierungslogos, der Dringlichkeitsdarstellung und finanzieller Anreize sollte die Kampagne die Empfänger dazu verleiten, schädliche Anhänge zu öffnen oder mit eingebetteten Inhalten zu interagieren. Diese Aktivität unterstreicht die anhaltende Wirksamkeit von Social-Engineering-Techniken mit Bezug zur Regierung bei der Verbreitung von Malware und der Kompromittierung von Zielnutzern.
Infektionskette:
Erste Erkenntnisse zur Kampagne:
Eine ausgeklügelte Phishing-Kampagne, die indische Unternehmen und Steuerzahler ins Visier nimmt, nutzt GST-bezogene Themen, um Schadsoftware zu verbreiten. Die Kampagne, die erstmals am 06. Juli 2026 auf VirusTotal identifiziert wurde, gibt sich als offizielle Regierungsmitteilung aus und verwendet steuerliche Köder, um die Interaktion der Nutzer zu erhöhen. Die Angreifer verwenden überzeugende Dokumente und Dateinamen, die offiziellen GST-Benachrichtigungen täuschend ähnlich sehen. Dadurch ist es für die Empfänger schwierig, schädliche Inhalte von legitimer Regierungskorrespondenz zu unterscheiden. Hauptziel der Kampagne scheint die Verbreitung von Schadsoftware und der Diebstahl sensibler Daten zu sein. Dies verdeutlicht den anhaltenden Missbrauch von Social-Engineering-Techniken mit Regierungsbezug, um das indische Finanz- und Steuersystem anzugreifen.
Erste E-Mail:
Im analysierten Fall verbreitete der Angreifer eine Phishing-E-Mail, die die Infrastruktur der indischen GST (Waren- und Dienstleistungssteuer) imitierte. Die E-Mail stammte von der Adresse donotreply.@gst.gov.in und hatte den Betreff „Antrag auf Rückerstattung GST RFD-01 eingereicht mit ARN AL27052600952P“. Die Nachricht war so gestaltet, dass sie wie eine offizielle Benachrichtigung über eine GST-Rückerstattung wirkte und die Empfänger davon überzeugen sollte, dass ein Rückerstattungsantrag bearbeitet oder geprüft wurde. Um die Glaubwürdigkeit zu erhöhen, enthielt die E-Mail einen Archivanhang namens GST-Refund_July-26_AL27052600952P.rar, der dieselbe Antragsreferenznummer (ARN) wie im Betreff enthielt. Die Verwendung übereinstimmender Kennungen im E-Mail-Inhalt und im Anhang ist eine gängige Social-Engineering-Taktik, die darauf abzielt, Legitimität zu erzeugen und Verdacht zu mindern.
Abb.: E-Mail
Technische Analyse:
Nach dem Entpacken enthielt das Archiv eine ausführbare Datei, die sich als Dokument oder Antrag im Zusammenhang mit einer Mehrwertsteuerrückerstattung tarnte. Eine erste Untersuchung ergab, dass es sich bei der Payload um eine .NET-basierte ausführbare Datei handelt, was darauf hindeutet, dass sie mit dem Microsoft .NET Framework entwickelt wurde. Angreifer nutzen häufig .NET-Binärdateien, da diese relativ einfach zu entwickeln sind, eine schnelle Bereitstellung schädlicher Funktionen ermöglichen und oft Verschleierungsmechanismen enthalten, die eine statische Analyse erschweren. Die ausführbare Datei dient als primäre schädliche Payload der Phishing-Kampagne und stellt die nächste Stufe der Angriffskette nach erfolgreicher Interaktion des Benutzers mit dem Anhang dar.
Die Analyse der extrahierten ausführbaren Datei ergab, dass es sich um eine auf dem Microsoft .NET Framework basierende Binärdatei handelt. Im Gegensatz zu nativen Windows Portable Executable (PE)-Dateien, die direkt in Maschinencode kompiliert werden, enthalten .NET-Anwendungen Zwischensprachencode, der von der Common Language Runtime ausgeführt wird.
Die Analyse beginnt mit einer .NET-Binärdatei, die eine in ihren Ressourcen eingebettete Bitmap (AF) enthält. Anstatt die Nutzdaten der nächsten Stufe als normale DLL-Ressource zu speichern, verbirgt der Autor sie im Bild, indem er die Nutzdatenbytes in die RGB-Werte der Pixel der Bitmap kodiert.
Beim Start der Anwendung wird die Funktion `ServiceChromatic()` aufgerufen und die eingebettete Bitmap als Eingabe übergeben. Obwohl die Funktion viel unverständlichen Code enthält, ist ihr eigentlicher Zweck klar: Sie durchläuft die Bitmap spaltenweise, liest die Rot-, Grün- und Blauwerte jedes Pixels und rekonstruiert den ursprünglichen Byte-Stream. Die Funktion extrahiert die ersten 64,000 Bytes des Bildes und gibt sie als Byte-Array zurück.
Das wiederhergestellte Byte-Array wird anschließend direkt an Assembly.Load() übergeben, wodurch die verborgene .NET-Assembly vollständig aus dem Speicher geladen wird, ohne auf die Festplatte geschrieben zu werden. In diesem Beispiel ist die extrahierte Nutzlast die Assembly der nächsten Stufe, Windows Health Optimizer Plus.dll, die anschließend per Reflektion ausgeführt wird.
Analyse des Laders der zweiten Stufe:
Nach der erfolgreichen Extraktion und dem Laden des Laders der zweiten Stufe in den Arbeitsspeicher, Windows Health Optimizer Plus.dllDie Malware ruft die Methode v3.aq() mit drei Parametern auf: v3.aq(“73537457”, “6C6E6A”, “CapitalCities”). Die ersten beiden Argumente sind hexadezimal kodierte Zeichenketten. Bei der Konvertierung von Hexadezimal in ASCII wird 73537457 zu „sStW“ und 6C6E6A zu „CapitalCities“ aufgelöst. „inj“Diese dekodierten Zeichenketten werden anschließend von der zweiten Stufe der Malware-Assemblierung als Befehls- oder Operationsbezeichner verwendet. Ihre Werte deuten darauf hin, dass die Malware die nächste Stufe anweist, die eingebettete Bitmap-Nutzlast (sStW) zu verarbeiten und eine Injektionsoperation (inj) durchzuführen. Dies legt nahe, dass diese Parameter als Ausführungsanweisungen dienen, die das Verhalten der Nutzlast der nächsten Stufe steuern.
Bitmap-basierte Nutzdatenextraktion:
Anschließend wird eine Bitmap-basierte Payload-Extraktionstechnik eingesetzt, die den Pixelspeicher missbraucht, um eingebettete Daten zu verbergen. Anstatt das Bild ausschließlich für den visuellen Inhalt zu verwenden, liest es die rohen ARGB-Werte einzelner Pixel und rekonstruiert die versteckte Binär-Payload aus dem extrahierten Byte-Stream. Die Bitmap dient dabei als Träger für die verborgenen Daten und ermöglicht es, dass die Payload in einem ansonsten legitimen Bildformat verborgen bleibt.
Die extrahierte Nutzlast wird mithilfe einer benutzerdefinierten XOR-basierten Entschlüsselungsroutine verarbeitet. Dabei wird der übergebene String-Parameter in UTF-16 Big-Endian-Bytes konvertiert und zusammen mit einem aus dem verschlüsselten Puffer abgeleiteten Wert als XOR-Schlüssel verwendet. Nach der Entschlüsselung wird die Nutzlast direkt im Speicher rekonstruiert, wodurch die Datei perfgurd.dll sichtbar wird. Die Malware lädt die DLL aus ihrer kodierten Darstellung, ohne sie auf die Festplatte zu schreiben. Dies ermöglicht eine dateilose Ausführungskette und reduziert somit die Entdeckungsmöglichkeiten.
Analyse des dritten Laders – perfgurd.dll
Die folgende Methode fungiert als dynamischer Ausführungs-Wrapper, der eine bestimmte Methode aus einer geladenen Assembly aufruft, ohne deren Namen direkt anzugeben. Zunächst wird die Variable `num` mit dem Wert 29 initialisiert. Läuft der Prozess jedoch in einer 64-Bit-Umgebung (`IntPtr.Size == 8`), wird der Wert auf 15 geändert. Diese bedingte Auswahl deutet darauf hin, dass die Assembly separate Methoden für 32-Bit- und 64-Bit-Ausführungspfade enthält.
Der Parameter `object_0` erwartet ein geladenes .NET-Assembly-Objekt. Der Code ruft alle Typen innerhalb der Assembly mit `GetTypes()` ab, wählt den Typ an Index 20 aus und ruft anschließend dessen Methoden mit `GetMethods()` ab. Abhängig von der Systemarchitektur wählt er entweder Methode 29 oder Methode 15 dieses Typs aus und ruft sie mittels Reflection über `Invoke(null, null)` auf.
Da beide Argumente von `Invoke()` null sind, handelt es sich bei der Zielmethode vermutlich um eine statische Methode ohne Parameter. Diese Technik ermöglicht es der Malware, den tatsächlichen Methodennamen und den Ausführungsablauf vor statischen Analysetools zu verbergen, da die Ausführung ausschließlich über Array-Indizes und nicht über explizite Bezeichner erfolgt. In der Praxis dient diese Funktion als Verteiler, der die Ausführung an die nächste Stufe der Malware weiterleitet. Die ausgewählte Methode enthält wahrscheinlich die primäre schädliche Funktionalität oder die Initialisierungsroutine der Payload.
Abhängig von der Architektur des Zielsystems ruft die Malware eine von zwei Methoden der Klasse `PerfGuard.Networking.EfficientServer` in der Datei `perfguard.dll` auf. Auf 32-Bit-Systemen wird die Methode `WaitForAdvancedController()` an Index 29 ausgeführt, auf 64-Bit-Systemen hingegen die Methode `WaitForGlobalAggregator()` an Index 15. Wie unten dargestellt, verwendet die Malware während der Ausführung Methodenindizes anstelle expliziter Methodennamen. Diese Technik trägt dazu bei, den Ausführungsablauf zu verschleiern und die statische Analyse zu erschweren.
Der Loader prüft zunächst, ob der Prozess mit Administratorrechten ausgeführt wird. Ist dies nicht der Fall, nutzt er cmstp.exe, ein legitimes Windows-Dienstprogramm, um den Hauptprozess mit erhöhten Rechten zu starten. Durch den Missbrauch dieser vertrauenswürdigen Systemdatei versucht die Schadsoftware, die normalen Ausführungsbeschränkungen zu umgehen und die Ausführung unter Administratorrechten fortzusetzen.
Um sich dauerhaft im System einzunisten, erstellt die Malware eine Kopie von sich selbst unter C:\Users\admin\AppData\Roaming mit dem Dateinamen RVKLmPcYcNO.exe (siehe Abbildung unten). Anschließend generiert sie ein PowerShell-Skript (.ps1) im temporären Verzeichnis, das die kopierte ausführbare Datei im versteckten Modus startet und so deren Sichtbarkeit für den Benutzer reduziert. Um die automatische Ausführung nach der Benutzeranmeldung zu gewährleisten, erstellt die Malware einen Registrierungseintrag unter HKCU\Software\Microsoft\Windows\CurrentVersion\Run, der auf das PowerShell-Skript verweist. Dadurch wird das PowerShell-Skript bei jeder Benutzeranmeldung ausgeführt, wodurch die kopierte Malware-Datei gestartet und die Persistenz auch nach Systemneustarts aufrechterhalten wird.
Der Loader der dritten Stufe entschlüsselt und rekonstruiert die endgültige Nutzlast direkt im eigenen Prozessspeicher. Nach der Entschlüsselung wird die wiederhergestellte Nutzlast aus dem bestehenden Prozesskontext geladen und ausgeführt, wodurch das Starten eines separaten ausführbaren Prozesses entfällt. Diese In-Memory-Ausführungstechnik trägt dazu bei, Dateisystemartefakte zu reduzieren und die Tarnung der Nutzlastausführung zu verbessern. Die während der Analyse extrahierte entschlüsselte Nutzlast wird unten dargestellt.
Endgültige Nutzlast Einsatz – Remcos RAT
Die Analyse der letzten Phase ergab, dass die Malware letztendlich den Remcos-RAT (Remote Access Trojan) einsetzt. Remcos ist ein kommerziell erhältliches Fernwartungstool, das häufig von Angreifern missbraucht wird, um dauerhaften Zugriff auf kompromittierte Systeme zu erlangen.
Die in dieser Kampagne beobachtete mehrstufige Loader-Architektur dient dazu, die endgültige Nutzlast zu verschleiern und die Erkennung zu erschweren. Die initiale ausführbare Datei, Windows Health Optimizer Plus.dll, und perfgurd.dll fungieren gemeinsam als gestaffelte Loader, die Remcos vollständig im Speicher entschlüsseln, rekonstruieren und ausführen.
Nach der Ausführung verschafft Remcos dem Angreifer umfassende Kontrolle über den kompromittierten Host.
Remcos Fähigkeiten:
Die analysierte Probe bietet Funktionen, die üblicherweise mit Remcos RAT in Verbindung gebracht werden, darunter:
- Remote-Befehlsausführung.
- Datei-Upload und -Download.
- Dateisystemverwaltung.
- Keylogging und Überwachung der Tastatureingaben.
- Credential Harvesting.
- Systemaufklärung.
- Prozess- und Servicemanipulation.
- Änderung der Registrierungsdatenbank.
- Etablierung von Persistenz.
- Screenshot-Aufnahme.
- Remote-Desktop-Funktionalität.
- Überwachung der Benutzeraktivität.
- Sammlung von System- und Netzwerkinformationen.
- Kommunikation mit der vom Angreifer kontrollierten Kommando- und Kontrollinfrastruktur (C2).
- Einsatz zusätzlicher Nutzlasten.
Diese Fähigkeiten ermöglichen es Angreifern, langfristigen Zugriff zu erhalten, die Aktivitäten der Opfer zu überwachen, sensible Informationen zu stehlen und weitere Operationen nach der Kompromittierung durchzuführen.
Fazit:
Diese Kampagne stellt eine ausgeklügelte Phishing-Aktion im Zusammenhang mit der indischen Waren- und Dienstleistungssteuer (GST) dar, die darauf abzielt, Remcos RAT über ein mehrstufiges .NET-Malware-Framework einzuschleusen. Der Angriff beginnt mit einer gefälschten Benachrichtigung über eine GST-Rückerstattung, die das Branding der indischen Regierung und steuerliche Themen nutzt, um das Vertrauen der Nutzer zu gewinnen und sie zum Ausführen eines schädlichen Anhangs zu verleiten.
Die Infrastrukturanalyse identifizierte mehrere randomisierte Subdomains unter aofmokighoig.hath.network Auflösung der Infrastruktur im Zusammenhang mit der Kommando- und Kontrollaktivität von Remcos RAT. Die Nutzung dynamischer DNS-Dienste, einschließlich hath.network und synology.meDie von M247 Europe SRL betriebene, rotierende Infrastruktur deutet auf Standard-Malware und finanziell motivierte Cyberkriminalität hin. Die Phishing-Angriffe auf angebliche GST-Rückerstattungen lassen zudem auf gezielte Angriffe auf indische Nutzer und Organisationen schließen. Obwohl die verfügbaren Indikatoren eine Zuordnung zu einem Cluster persistenter Cyberkriminalitätskampagnen nahelegen, reichen die derzeitigen Beweise nicht aus, um die Aktivitäten eindeutig einem öffentlich verfolgten Bedrohungsakteur zuzuordnen. Basierend auf der beobachteten Infrastruktur, den Malware-Eigenschaften und der Zielauswahl wird die Kampagne als von einem auf Indien fokussierten Remcos-Betreiber oder einem Initial Access Broker (IAB) mit temporärer dynamischer DNS-Infrastruktur durchgeführt eingeschätzt.
Die Kombination aus Phishing-basiertem Erstzugriff, gestaffelten .NET-Loadern, Bitmap-basierter Payload-Verschleierung, dateiloser Ausführung und einer robusten Command-and-Control-Infrastruktur verdeutlicht den gezielten Versuch, Sicherheitskontrollen zu umgehen und gleichzeitig dauerhaften, unautorisierten Zugriff auf die Systeme der Opfer zu erlangen. Die Kampagne spiegelt die kontinuierliche Weiterentwicklung gängiger Malware-Verbreitungstechniken wider und unterstreicht die Wirksamkeit mehrschichtiger Infektionsketten beim Diebstahl von Zugangsdaten, beim Fernzugriff und bei weitergehenden Operationen nach der Kompromittierung.
Seqrite Reichweite:
Trojan.Agent
Trojan.AgentCiR
Trojan.LoaderCiR
Trojan.Mauvaise.SL1
IOCs:
| 3757dccb2adae65ccdf8d5e5c948b927 | eml |
| 07d7d21c2c0920d198efb9ea54900a80 | GST-Rückerstattung_Juli-26_AL27052600952P.rar |
| 20476F3A51DFDDF3DC0603FC7858D894 | GST-Rückerstattung_Juli-26_AL27052600952P.com |
| 7842D12D9E37C75076133BE5B9904CB2 | Windows Health Optimizer Plus.dll |
| CC34D9760394104AD47877A0D57E9C63 | PerfGuard.dll |
| 2a34bdd25b404737ee5d3b52bf0b3b70 | RemcosRAT |
C2:
185.242.4.122
MITRE ATT&CK:
| Taktik | Kartierte Techniken |
| Erster Zugriff | T1566.001 |
| Ausführung | T1204.002, T1059.001, T1129 |
| Beharrlichkeit | T1547.001, T1036 |
| Privilegien Eskalation | T1548.002 |
| Verteidigungsflucht | T1027, T1027.013, T1140, T1218.003, T1620, T1055 |
| Zugang zu Anmeldeinformationen | T1056.001, T1555 |
| Bewertung | T1082, T1016, T1057, T1083 |
| Kollektion | T1113, T1005, T1039 |
| Command and Control | T1071.001, T1105 |
| Seitliche Bewegung | T1021 |
| Auswirkungen | T1489 |
Autoren:
Vaibhav Billade
Rumana Siddiqui
