Inhaltsverzeichnis
- Einführung
- Infektionskette
- Technische Analyse
- Fazit
- Seqrite Abdeckung
- Kompromissindikatoren (IOCs)
- MITRE ATT&CK-Mapping
Einführung
Das Seqrite Das Threat Research Team identifizierte eine gezielte Spear-Phishing-Kampagne, die als legitime Geschäftsrechnung getarnt war. Die Phishing-E-Mail gibt sich als seriöses russisches Forschungsinstitut im Bereich Luft- und Raumfahrt aus und wird über eine gefälschte Domain versendet, die die Organisation imitieren soll. Die schädliche E-Mail enthält einen passwortgeschützten Anhang, der weitere Schadsoftware auf dem System des Opfers installiert. Die Analyse deutet darauf hin, dass das Hauptziel des Angreifers darin besteht, durch unbemerkte Konfiguration dauerhaften Fernzugriff zu erlangen. AnyDesk zum unbeaufsichtigten Zugriff, zum Exfiltrieren von AnyDesk-Konfigurationsdaten an ein vom Angreifer kontrolliertes E-Mail-Konto und zum Implementieren von Persistenzmechanismen, um die langfristige Kontrolle über den kompromittierten Host zu behalten.
Die Verwendung eines Köders mit Bezug zur Luft- und Raumfahrt, kombiniert mit den beobachteten Werkzeugen und operativen Vorgehensweisen, deckt sich weitgehend mit zuvor dokumentierten Kampagnen, die folgenden Personen zugeschrieben werden: Seltener Werwolf (auch bekannt als Bibliothekar-Ghoule), ein Bedrohungsakteur, der dafür bekannt ist, Organisationen ins Visier zu nehmen Russland, Belarus und KasachstanInsbesondere jene, die in Industrieunternehmen, Produktionsbetrieben, Ingenieurinstitutionen, Luft- und Raumfahrtorganisationen, Raketen- und Weltraumforschungseinrichtungen, petrochemischen Anlagen und anderen strategisch wichtigen Sektoren tätig sind. Aufgrund der vorliegenden Beweise vermuten wir einen Zusammenhang dieser Aktivitäten mit der Kampagne „Rare Werewolf“.
Die seltene Werwolf-Gruppe beschäftigt überwiegend Leben von der Natur (LotL) Techniken, bei denen legitime Software missbraucht wird, um sich in den normalen Systembetrieb einzufügen. Der Erstzugriff erfolgt typischerweise über Spear-Phishing-E-Mails, die Rechnungen oder Dokumente als E-Mails getarnt haben und passwortgeschützte Archive enthalten. Diese Archive installieren selbstextrahierende Installationsprogramme und Befehlsskripte. In den folgenden Schritten werden vertrauenswürdige Hilfsprogramme wie beispielsweise … verwendet. AnyDesk, Blat und WinRARwährend zusätzliche Hilfsprogramme wie Tablettminimierer werden verwendet, um die Sichtbarkeit der Nutzer zu reduzieren. Öffentliche Berichte haben auch den Einsatz der XMRig Kryptowährungs-Miner während der Aktivitäten nach der Kompromittierung. Jedoch Unsere Analyse ergab keine Hinweise auf Kryptojacking-Aktivitäten in dieser Stichprobe.Wir gehen davon aus, dass Kryptowährungs-Mining, falls es eingesetzt wird, wahrscheinlich ein Zielsetzung nach dem Kompromiss die die Betreiber einsetzen können, nachdem sie einen dauerhaften Fernzugriff auf die Umgebung des Opfers hergestellt haben.
Infektionskette
Die obige Abbildung veranschaulicht die gesamte Infektionskette, die wir im Rahmen unserer Analyse beobachtet haben. Sie beginnt mit einer Phishing-E-Mail und gipfelt in der Installation von AnyDesk für dauerhaften Fernzugriff. Der Angriff nutzt mehrere legitime Anwendungen, um sich dauerhaft einzunisten, Daten zu exfiltrieren und seine Präsenz auf dem kompromittierten System zu verschleiern.
Technische Analyse
Bei der Analyse stellten wir fest, dass der erste Zugriff über eine Spear-Phishing-E-Mail erfolgt, die auf die russische Luft- und Raumfahrt- sowie Elektronikbranche abzielt. Die E-Mail gibt sich als Absender der Föderalen Haushaltsinstitution „VNIIR“ aus und wird von sales@vniir-avia.space mit dem Betreff „счет на оплату (или договор поставки, если требуется).“ („Rechnung (oder Liefervertrag, falls erforderlich)“) versendet. vniir-avia.space Die Domain wurde erst kürzlich registriert. Cyberkriminelle registrieren solche Domains für Kampagnen. Das echte VNIIR-Institut würde eine etablierte Regierungsdomain (.ru /.gov.ru) verwenden, keine brandneue „.Raum" Domain. E-Mails werden an diese Domain gesendet. „nicht genannte Empfänger“Das Feld „An“ ist ausgeblendet, was auf eine Massenmailing-Kampagne hindeutet. Legitime B2B-Rechnungen sind an eine bestimmte Person adressiert. Diese E-Mail wurde gleichzeitig an viele Empfänger versendet.
Um die Empfänger zum Öffnen des Anhangs zu verleiten, enthält die E-Mail ein passwortgeschütztes Archiv mit dem Namen счет на оплату.rar. Das Passwort (dsa9568-4444) Der Text wurde in den E-Mail-Text eingefügt, damit das Opfer die E-Mail öffnen kann und Scanner den Inhalt nicht untersuchen können. Dies ist eine gängige Methode, um E-Mail-Sicherheitskontrollen zu umgehen und die Wahrscheinlichkeit der Benutzerausführung zu erhöhen. Die Nachricht enthält außerdem das Logo des russischen Ministeriums für Industrie und Handel, um ihre Legitimität zu erhöhen.
Die extrahierte ausführbare Datei wurde mit Delphi und der Programmiersprache Pascal kompiliert. Eine der interessantesten Erkenntnisse ist der Installer: Smart Install Maker (5.04). Dies deutet darauf hin, dass es sich bei der ausführbaren Datei nicht nur um eine Anwendung handelt, sondern um ein mit Smart Install Maker erstelltes Installationspaket. Das bedeutet, dass während der Ausführung mehrere Dateien abgelegt, Ordner erstellt, eingebettete ausführbare Dateien ausgeführt, Registrierungsschlüssel geschrieben, Dienste erstellt und Befehle ausgeführt werden können.
Bei der Ausführung öffnet der Dropper eine Köder-PDF-Datei und schreibt mehrere Dateien unter dem Ordner C:\temp\ChromioumTemp*.
Es führt eine Reihe von Befehlen aus, wie unten dargestellt:
Ein interessanter Befund ist die Art und Weise, wie es Dateien auf dem System speichert. Angreifer nutzen dabei „echo>>” um eine neue temporäre Datei mit dem Namen zu erstellen „mat-debug-*.txt“. Anschließend werden Befehle hinzugefügt und die Datei schließlich in „.cmd“-Datei umbenannt, wie in der Abbildung unten gezeigt.
Wir sehen einige Dateien mit der Erweiterung cmd – dabei handelt es sich um nichts anderes als Batch-Befehle, die nacheinander ausgeführt werden sollen.
„xml_Die Datei „file.cmd“ versucht, eine Verbindung zum C2-Server herzustellen, um die schädliche RAR-Datei herunterzuladen. Anschließend wird die RAR-Datei mit dem in „xml_file1.cmd“ angegebenen Passwort entpackt. – siehe unten (unter Verwendung von driver.exe – einem Befehlszeilen-Archivierungsprogramm).
Die Rar-Datei extrahiert dann mehrere Komponenten, darunter eine portable AnyDesk-Instanz und das Blat SMTP-Dienstprogramm (blat.exe), Tray Minimizer und ein Batch-Skript (wctF522.bat).
Das Tray-Dienstprogramm wird ebenfalls zusammen mit den anderen Ausführungen ausgeführt.
Beim Durchsuchen des Trays-Ordners stellen wir fest, dass er mehrere ausführbare Dateien, DLLs, Dokumentationen und zugehörige Dateien enthält, die mit dem legitimen System verknüpft sind. 4t Tray-Minimierer Anwendung. Das Verzeichnis enthält die primäre ausführbare Datei (Trays.exe), unterstützende Bibliotheken (Tray.dll, ShellEh6055.dll, ShellEh6055x64.dll), Installations-/Deinstallationskomponenten und verschiedene Anwendungsressourcen, was darauf hindeutet, dass die komplette Anwendung im Archiv gebündelt war und nicht als eigenständige ausführbare Datei vorlag.
Die CMD-Datei führt auch die Batch-Datei aus, wie unten gezeigt.
Die Ausführung des Batch-Skripts (wctF522.bat) ergab Folgendes:
- Zunächst wird eine Ausführungsverzögerung von ungefähr einer Minute eingeführt. ping -n 60 127.0.0.1Dies dient wahrscheinlich dazu, die vollständige Datenextraktion sicherzustellen und möglicherweise automatisierte Sandbox-Umgebungen zu umgehen.
- Konfiguriert den unbeaufsichtigten AnyDesk-Zugriff durch Angabe eines vordefinierten Passworts QWERTY1234566 Mit der Option `--set-password` wird die AnyDesk-Befehlszeilenschnittstelle aufgerufen. Das portable AnyDesk-Paket wird extrahiert und unter `%ProgramData%\AnyDesk` bereitgestellt, wodurch Remote-Verbindungen ohne Benutzerinteraktion möglich sind. Anschließend wird die bereitgestellte AnyDesk-Anwendung gestartet.
- Erstellt das Archiv AnyDesk.rar mit dem Passwort limpid2903392 enthält Konfigurationsdateien, Client-Kennungen, Verbindungseinstellungen, Protokolle und Zertifikate.
- Das Archiv wird anschließend über SMTP exfiltriert. Blat.
- Erstellt eine geplante Aufgabe mit dem Namen „Auto apdate“, die Trays.exe -tray bei der Benutzeranmeldung mit der höchsten Ausführungsebene ausführt und so die Persistenz sicherstellt.
- Löscht temporären Befehl (.cmd), Text (.txt), Archiv (.rar), ausführbare Datei (.exe-Dateien und PDF-Dateien (*.pdf) aus dem temporären Arbeitsverzeichnis zu entfernen, um Artefakte zu beseitigen und die forensische Analyse zu behindern.
Blat.exe ist ein legitimer SMTP-Client für die Kommandozeile, der häufig von Angreifern zur Datenexfiltration missbraucht wird. Obwohl Blat das Versenden von E-Mails, die SMTP-Authentifizierung, Dateianhänge und die Kommandozeilenautomatisierung unterstützt, zeigt unsere Analyse, dass es ausschließlich zur Exfiltration archivierter AnyDesk-Daten auf die Infrastruktur von Angreifern verwendet wird.
Die Wireshark-Netzwerkaufzeichnung zeigt, dass das Archiv (AnyDesk.rar) anschließend über SMTP exfiltriert wird. Blat, unter Nutzung des Servers mail.versio.nl zum Senden von out@okbm-bus.nl zu in@okbm-bus.nl, wobei der E-Mail-Betreff wie folgt formatiert ist: AnyDesk %COMPUTERNAME%/%USERNAME% um den kompromittierten Host eindeutig zu identifizieren.
Dies sind die Inhalte der Dateien service.conf und system.conf von AnyDesk, die die lokale Konfiguration von AnyDesk auf einem infizierten Host speichern. Die beobachteten Aktivitäten deuten darauf hin, dass die Kampagne darauf abzielt, eine Infektion zu etablieren und aufrechtzuerhalten. verdeckter Fernzugriff in die Opferumgebung. Die Exfiltration des passwortgeschützten AnyDesk.rar-Archivs, das Bereitstellungs- und Konfigurationsdaten von AnyDesk enthält, liefert den Betreibern wahrscheinlich die Informationen, die zur Verwaltung erforderlich sind. bereitgestellter Fernzugriff Beispielsweise ermöglichen diese Maßnahmen, zusammen mit der Konfiguration des unbeaufsichtigten Zugriffs, der Persistenz geplanter Aufgaben und der Verschleierung der AnyDesk-Oberfläche, dem Angreifer, langfristigen Zugriff auf kompromittierte Systeme zu behalten und sich je nach Bedarf der Betriebsziele wieder zu verbinden.
Schließlich löscht das Skript temporäre Archive, ausführbare Dateien und PDF-Dateien aus dem Staging-Verzeichnis, wodurch forensische Artefakte reduziert und die Untersuchung nach einem Kompromittierungsfall erschwert werden.
Fazit
Unsere Analyse zeigt eine mehrstufige Phishing-Kampagne, die legitime Software missbraucht, um dauerhaften Fernzugriff zu erlangen und gleichzeitig ihre forensischen Spuren zu minimieren. Anstatt auf ausgefeilte, selbst entwickelte Malware zu setzen, nutzen die Angreifer vertrauenswürdige Hilfsprogramme wie AnyDesk, Blat, eine modifizierte WinRAR-Datei (driver.exe) und Tray Minimizer, um Persistenz zu erreichen, Bereitstellungsdaten zu exfiltrieren, Fernzugriffsaktivitäten zu verschleiern und Ausführungsspuren zu entfernen. Dieser Ansatz, sich unauffällig in den normalen Systembetrieb einzufügen, reduziert die Wahrscheinlichkeit einer Entdeckung.
Obwohl eine eindeutige Zuordnung allein anhand der verfügbaren Artefakte nicht möglich ist, weisen die beobachteten Vorgehensweisen große Ähnlichkeit mit öffentlich dokumentierten Kampagnen der Seltenen Werwölfe (Bibliothekar-Ghoule) auf. Infektionskette, Werkzeuge, Zielauswahl und operative Methodik zeigen deutliche Überschneidungen mit zuvor gemeldeten Aktivitäten, einschließlich Kampagnen, die im Jahr 2025 dokumentiert wurden.
Zusätzlich zu der analysierten Stichprobe beobachteten wir in den letzten Monaten mehrere ähnliche Stichproben mit demselben Arbeitsablauf. Obwohl die Phishing-Köder, Dateinamen und Payload-Hashes variierten, deutet die durchgängige Verwendung derselben Tools und Ausführungsmethoden auf eine fortlaufende Kampagne hin, in der der Angreifer einzelne Elemente aktualisiert, seine zugrundeliegenden Methoden aber beibehält. Diese Konsistenz bestärkt unsere Einschätzung, dass es sich bei den Aktivitäten wahrscheinlich um einen Teil einer umfassenderen und andauernden Operation und nicht um einen Einzelfall handelt.
Seqrite Reichweite:
- Trojan.Anydesk.S39566972
- Script.Trojan.Dropper.50878.GC
- Script.Trojan.Dropper.50879
- Mehrstufiger Payload-Download und -Ausführung via Curl und Command Shell
- Bereitstellung von Remote-Access-Tools und SMTP-Datenexfiltration
Kompromissindikatoren (IOCs)
- 47854deb456cb08c651b7f9ae2f9d87c72d0719de6af233340632efb3c1980f4
- 12648cd9d425f78db2dbc6e03c14f11e6ac6aadf8b3975c23cce9519e2b58d33
- F57e010541fb4ccbf23aefc4a827f753a6ff3f8792d9c04c3eea83f6963c6bae
- 0dc0fa727f900ed5033f46f8ba6cf2d97d20ab95fd334cabc0f216da6e0622b0
- 198.54.120[.]13
- 194.87.57[.]81
- 2.23.88[.]201
- 109.106.178.14
- aviatronika[.]online
- vniir-avia[.]space
- fgub-vniir[.]space
- vniir-info[.]space
- nova-stream[.]site
Referenzlink
https://x.com/askardyuss/status/2070084108118556868
MITRE ATT&CK-Mapping
| Taktik | Technikname | Technik-ID |
| Erster Zugriff | Phishing: Spear-Phishing-Anhang | T1566.001 |
| Ausführung | Benutzerausführung: Schädliche Datei | T1204.002 |
| Ausführung | Befehls- und Skriptinterpreter: Windows-Befehlsshell | T1059.003 |
| Ausführung | Befehls- und Skriptinterpreter: PowerShell | T1059.001 |
| Beharrlichkeit | Geplanter Task/Job: Geplanter Task | T1053.005 |
| Beharrlichkeit | Automatischer Start beim Booten oder Anmelden (über eine geplante Aufgabe beim Anmelden) | T1547 |
| Verteidigungsflucht | Maskieren | T1036 |
| Verteidigungsflucht | Verschleierte Dateien oder Informationen (Passwortgeschützte Archive) | T1027 |
| Verteidigungsflucht | Artefakte ausblenden: Verstecktes Fenster (Tablettminimierer, der AnyDesk verdeckt) | T1564.003 |
| Verteidigungsflucht | Entfernung des Indikators auf dem Host: Dateilöschung | T1070.004 |
| Command and Control | Application Layer Protocol: Webprotokolle (curl-Download von C2) | T1071.001 |
| Command and Control | Remotezugriffssoftware | T1219 |
| Kollektion | Gesammelte Daten archivieren | T1560 |
| Kollektion | Daten vom lokalen System (AnyDesk-Konfigurationsdateien gesammelt) | T1005 |
| Exfiltration | Exfiltration über alternatives Protokoll: Exfiltration über E-Mail | T1020 |
Autoren:
Anjali Raut
Shrutirupa Banerjiee
