Einführung
In den letzten Monaten haben Phishing- und Malware-Kampagnen mit Bezug zu Steuern stark zugenommen, insbesondere während und nach der Steuererklärungssaison. Angesichts der anhaltenden öffentlichen Diskussionen über die Auszahlungsfristen für Steuererstattungen wirken diese Betrugsversuche glaubwürdiger und bieten Angreifern die perfekte Gelegenheit, überzeugende Köder zu erstellen.
Wir haben kürzlich E-Mails analysiert, die sich als indische Steuerbehörde (ITD) ausgaben. Auf den ersten Blick ähnelte die Nachricht einer offiziellen „Mitteilung zur Steuerprüfung“. Eine genauere Untersuchung ergab jedoch, dass sie Teil einer umfassenderen Phishing-Kampagne war, die indische Unternehmen mit einer mehrstufigen Infektionskette ins Visier nahm, um persistente Remote-Access-Trojaner (RATs) oder Infostealer-Malware einzuschleusen.
Dieser Blog bietet eine detaillierte Aufschlüsselung der E-Mail, des Infektionsablaufs, der Angreifertaktiken und wie diese Köder in die sich ständig weiterentwickelnde Bedrohungslandschaft von heute passen.
Anfangsvektor
Der erste Angriffsvektor in dieser Kampagne ist eine Spear-Phishing-E-Mail, die so gefälscht ist, dass sie wie eine offizielle Mitteilung des Finanzamts aussieht.
Eine genauere Prüfung der Absender-E-Mail-Adresse ergab, dass sie von einer Outlook.com-Domain stammt. Dies ist ungewöhnlich, da Regierungsbehörden für die offizielle Kommunikation in der Regel öffentliche Webmail-Dienste meiden. Das weckte Misstrauen. Zudem ist die Betreffzeile „Benachrichtigung über die Überprüfung der Steuererklärung“ ein gängiger Köder in aktuellen Phishing-Kampagnen zum Thema Einkommensteuererklärungen. Angreifer versuchen dabei, die Empfänger davon zu überzeugen, dass sie eine Pflichtverletzung begangen haben oder ihre Steuererklärungen überprüft werden.
Das Besondere an dieser E-Mail ist, dass der Textkörper keinerlei Text enthält. Stattdessen enthält sie ein einzelnes eingebettetes Bild, das einem authentischen ITD-Mitteilungsschreiben täuschend ähnlich sieht.
Diese Taktik hilft, textbasierte Spamfilter und die Keyword-Erkennung im E-Mail-Text zu umgehen. Das Bild zeigt:
- Emblem der indischen Regierung
- "Finanzministerium – Abteilung EinkommensteuerÜberschrift
- Eine gefälschte Dienstreferenz (Stellvertretender Leiter der Abteilung Einkommensteuer, Ermittlungen)
- Gefertigte Referenznummern, DIN-Nummern und Datumsangaben
- Und eine strikte Einhaltungsfrist
Die E-Mail enthielt einen Anhang mit der Bezeichnung „Review Annexure.pdf“, der offenbar als nächster Schritt in der Phishing- oder Malware-Verbreitungssequenz gedacht war. Die Vorlage ist offiziellen Schreiben des Finanzamts täuschend ähnlich, was ihre Wirksamkeit als Social-Engineering-Köder erhöht – insbesondere bei Empfängern mit geringen technischen Kenntnissen.
Infektionskette
Das folgende Diagramm veranschaulicht den gesamten Infektionsablauf dieser Kampagne. Er beginnt mit einer Phishing-E-Mail zum Thema Einkommensteuer und führt über eine PDF-Köderdatei, ein gefälschtes Compliance-Portal und den erzwungenen Download einer ZIP-Datei. Die zweistufigen NSIS-Installationsprogramme entpacken anschließend mehrere Dateien, etablieren Persistenz über einen Windows-Dienst und beginnen mit dem Sammeln von Systeminformationen, bevor sie Verbindungen zu mehreren C2-Servern herstellen. Dieser visuelle Ablauf verdeutlicht, wie eine scheinbar harmlose Compliance-Mitteilung letztendlich zu verdächtigen Fernzugriffsmöglichkeiten führt.
Analyse des Anhangs (Anhang prüfen.pdf)
Beim Öffnen der beigefügten PDF-Datei kam etwas weitaus Interessanteres zum Vorschein als eine einfache Steuermitteilung. Anstatt irgendwelche legitimen Informationen zur Einhaltung der Steuervorschriften zu liefern, enthielt das Dokument eine weiterführende Anweisung mit der Bezeichnung „Anlage A“, die die Dringlichkeit der vorherigen E-Mail noch einmal unterstreichen sollte.
Die Angreifer konstruierten eine Erzählung, in der behauptet wurde, dass am 03. Oktober 2025 eine Überprüfungsmitteilung ergangen sei und die Organisation dieser nicht nachgekommen sei. Dies ist eine klassische Social-Engineering-Drucktaktik – es wird ein Gefühl der vorherigen Nichteinhaltung erzeugt, um die Dringlichkeit zu erhöhen und die Wahrscheinlichkeit eines sofortigen Handelns seitens des Empfängers zu steigern.
Die beigefügte PDF-Datei enthielt eine schrittweise Anleitung, die den Benutzer anwies, sich in ein gefälschtes „ Compliance-Portal “ einzuloggen. In diesen Schritten war die schädliche URL versteckt: hxxps://www.akjys.top/
Gefälschtes ITD-Compliance-Portal und Auslöser für automatischen Malware-Download
Durch Anklicken des im PDF eingebetteten Links ( hxxps://www.akjys.top/ ) gelangt das Opfer zu einem gefälschten Portal der Finanzbehörde. Anstatt einer legitimen Anmeldeseite wird sofort eine Datei namens „ Review Annexure.zip “ heruntergeladen.
Dieses erzwungene Herunterladen ist heutzutage eine gängige Technik in Malware-Verbreitungsketten. Sie ermöglicht es Angreifern, die Schadsoftware sofort nach dem Besuch der Website durch das Opfer einzuschleusen. Wir haben diese Technik kürzlich auch bei einer Malware-Kampagne mit SVG-Dateien sowie bei der AsyncRAT-Malware beobachtet, die kolumbianische Nutzer ins Visier nahm.
Besonders verdächtig an dieser Seite ist die Nachricht, die in der Mitte des Bildschirms angezeigt wird:
„Einige Computer-RDR-Programme sind möglicherweise nicht mit diesem Client kompatibel…“
Um Fehlalarme von Sicherheitssoftware zu vermeiden, deaktivieren Sie bitte Ihr Antivirenprogramm vor der Nutzung des Clients.“
Kein Regierungsportal, insbesondere nicht im Bereich Steuerberatung oder Ermittlungen, würde Nutzer jemals auffordern, ihren Virenschutz zu deaktivieren. Cyberkriminelle wenden diese Taktik häufig an, wenn ihre Schadsoftware von gängigen Endpoint-Sicherheitstools erkannt wird. Indem sie das Problem als „Kompatibilitätsproblem“ darstellen, versuchen sie, die Wachsamkeit der Opfer zu schwächen und die Erfolgswahrscheinlichkeit ihrer Angriffe zu erhöhen.
Die Angreifer fügten sogar eine irreführende Beruhigungserklärung hinzu:
„Bitte denken Sie daran, Ihren Virenschutz nach der Nutzung des Clients der Finanzbehörde wieder zu aktivieren.“
Diese zusätzliche Anweisung ist eine klassische Social-Engineering-Taktik, die die Anfrage als Routine erscheinen lassen soll. Tatsächlich ist das Deaktivieren von Sicherheitskontrollen vor der Ausführung unbekannter Software ein gängiges Vorgehen von Schadsoftware, einschließlich Ransomware, um eine erfolgreiche Kompromittierung zu gewährleisten.
Die heruntergeladene Datei „ Review Annexure.zip “ enthält nach dem Entpacken eine ausführbare Datei mit dem Namen „ setup_Ir5swQ3EpeuBpePEpew=.exe “ und einer Größe von ca. 150 MB. Die Analyse dieser Datei wird im nächsten Abschnitt beschrieben.
Phase 1: Analyse der heruntergeladenen Datei (setup_Ir5swQ3EpeuBpePEpew=.exe)
Diese Installationsdatei wurde mit NSIS kompiliert und ist digital von Hengshui Shenwei Technology Co., Ltd. signiert . Das Hinzufügen von Signaturdetails ist eine gängige Methode von Cyberkriminellen, um Erkennungsversuche zu umgehen und Benutzer zu täuschen, sodass diese Datei als legitimes Installationsprogramm erscheint.
Beim Entpacken dieser Datei stellten wir fest, dass sie mehrere Dateien enthält.
Dieser NSIS-Installer läuft als stiller Loader und entpackt alles in ein temporäres Verzeichnis, ohne dem Benutzer eine Installationsschnittstelle anzuzeigen.
Es entfernt mehrere unterstützende Komponenten, darunter den signierten Wrapper und die interne ausführbare Datei –
Entfernt die zugehörigen Binärdateien und Datendateien und führt „ Sibuia.exe “ mit den analysierten Argumenten aus.
Sibuia.exe erzeugt einen weiteren Prozess „ setup_Ir5swQ3EpeuBpePEpew=.exe “ als Kindprozess aus dem temporären Verzeichnis \0\ und übergibt die Ausführung damit effektiv an die andere signierte Installationsnutzlast, nämlich „ setup_Ir5swQ3EpeuBpePEpew=.exe “.
Sobald die Nutzlast gestartet wird, beginnt das Skript sofort mit der Selbstbereinigung, indem es die abgelegten Dateien und den Ordner löscht, um Spuren auf der Festplatte zu minimieren.
Die von einem gefälschten Portal zur Einhaltung der Einkommensteuerbestimmungen heruntergeladene Setup-Datei leitet also lediglich die nächste Stufe ein, übergibt den eigentlichen Payload-Installer und löscht anschließend ihre eigenen Spuren.
Phase 2: Analyse der nächsten Phase (setup_Ir5swQ3EpeuBpePEpew=.exe)
Die Installationsdatei der nächsten Stufe trägt ebenfalls den Dateinamen „setup_Ir5swQ3EpeuBpePEpew=.exe“, unterscheidet sich jedoch von der Datei der Stufe 1. Diese Datei ist mit ca. 147 MB erneut deutlich größer und verfügt über eine gültige digitale Signatur von „ Shandong Anzai Information Technology CO.,Ltd “.
Bei diesem Installationsprogramm handelt es sich um ein chinesisches, GUI-basiertes Paket mit dem Namen „客户端安装包 3.7.85.1000“. Nach der Ausführung wird die unten stehende Installations-GUI angezeigt.
Das Paket extrahiert eine große Anzahl von Binärdateien, DLLs, Treibern, Tools usw. unter „ C:\Programme\Gemeinsame Dateien\NSEC “. Alle Dateien und Ordner in diesem Installationsverzeichnis sind streng versteckt und durch Systemattribute geschützt.
Es installiert Kernel-Treiber, Outlook-Add-Ins, Remote-Desktop-Komponenten, curl.exe, certutil.exe und diverse Sysinternals-Dienstprogramme.
Zusammengenommen bilden diese Binärdateien ein vollständiges Überwachungs- und Steuerungspaket, das einen Fernzugriff oder eine Endpunktsteuerung ermöglicht und keine normale Produktivitätsanwendung darstellt.
Beharrlichkeit
Der zweite Installer erreicht die Persistenz durch die Nutzung von Windows-Diensten. Der Konfigurationseintrag in der Datei buildin.cfg weist NSecRTS.exe sowohl für 32-Bit- als auch für 64-Bit-Systeme als aktiven Prozess zu. Die ausführbare Datei wird anschließend beim Dienst „ Windows Echtzeitschutz “ registriert.
Die Konfiguration in der Datei listet also nicht nur die Komponenten auf, sondern weist das System an, NSecRTS.exe standardmäßig im Hintergrund auszuführen, wodurch es zu einem permanenten Dienst wird.
Sobald die Persistenz hergestellt ist, startet der Dienst NSecRTS.exe autonom und beginnt sofort mit der Vorbereitung des Hosts für die Fernadministration. Zu diesem Zweck erstellt der Dienst innerhalb seines Installationsverzeichnisses ein Verzeichnis mit dem Namen „ Data “.
- C:\Programme (x86)\Gemeinsame Dateien\NSEC\Daten
Das Verzeichnis dient als Sammlungsverzeichnis, in dem das Implantat gesammelte Details vom Rechner des Opfers speichert, wie z. B. die Version des Betriebssystems, installierte Anwendungen, laufende Dienste und Hardware-Details usw.
Das Verzeichnis „ .\Data “ folgt einem strukturierten Format, wie es typischerweise bei Fernverwaltungs- oder Überwachungstools zu finden ist.
Ein Beispiel für erfasste Daten im Zusammenhang mit der Nutzung einer Anwendung durch einen Benutzer liegt im folgenden Format vor –
Nach der Datenerfassung versucht das System, eine Verbindung zu seinem C2-Server herzustellen. Sobald die Verbindung zum C2-Server hergestellt ist, registriert TA die betroffenen Rechner im C2-Panel anhand einer UID. Diese UID dient der eindeutigen Identifizierung und Verfolgung des betroffenen Rechners.
Sobald die Verbindung hergestellt ist, lädt TA die gesammelten Daten in der „Post“-Anfrage hoch und empfängt zusätzlich Befehle zur Ausführung oder Bereitstellung weiterer Dateien auf dem Rechner des Opfers. Diese C2-/Netzwerkkommunikation wird durch die Aufrechterhaltung einer verschlüsselten Verbindung mittels ausgetauschter Verschlüsselungsschlüssel gesichert.
NSecRTS.exe stellt eine Verbindung zum C2-Server (154[.]91[.]84[.]3) über mehrere nicht standardmäßige Ports her, z. B. 48991, 48992, 3898 usw.
Außerdem versucht es, eine Netzwerkverbindung mit einigen anderen IP-Adressen herzustellen, nämlich 45[.]113[.]192[.]102:80 und 103[.]235[.]46[.]102:80 als alternative C2-Adresse.
Wir haben festgestellt, dass diese IP-Adressen von einer Reihe anderer Dateien, darunter auch schädlichen Dateien, übermittelt werden.
Die bei der Analyse der Installationsprogramme beobachteten technischen Indikatoren deuten insgesamt eher auf eine Entwicklungsumgebung mit Bezug zu China als auf ein global bezogenes Produkt hin. Das Ökosystem der Installationsprogramme, die weitverbreitete Verwendung der vereinfachten chinesischen Sprache und die Präsenz einer in China registrierten Codesignaturstelle legen nahe, dass die Tools entweder innerhalb eines chinesischen Software- oder Bedrohungsökosystems entwickelt, kompiliert oder verpackt wurden.
Das Installationsprogramm verhält sich eher wie ein RAT als wie ein einfacher Datensammler, indem es Persistenz aufrechterhält, Systemdetails sammelt und über Fernsteuerungsfunktionen verfügt.
Fazit
Diese Kampagne ist ein Beispiel für eine hochgradig orchestrierte Social-Engineering-Taktik, bei der eine gefälschte indische Einkommensteuer-Compliance-Mitteilung genutzt wird, um Opfer dazu zu verleiten, eine mehrstufige Infektionskette auszulösen.
Anstatt lediglich Dokumente zu exfiltrieren, nistet sich das installierte Programm dauerhaft ein, sammelt umfangreiche Systeminformationen und unterhält Kommando- und Kontrollkanäle, die die Ausführung von Aufgaben aus der Ferne ermöglichen. Sein Verhalten ähnelt eher einem vollwertigen Remote-Access-Trojaner (RAT) als einem einfachen Überwachungsprogramm. Mehrere technische Indikatoren deuten auf eine mit China verbundene Entwicklungsumgebung hin.
Der Köder mag simpel erscheinen, doch die zugrundeliegende Infrastruktur ist alles andere als das – ein wichtiger Hinweis für die Verteidiger: Selbst vertraute Phishing-E-Mails mit Finanzbezug können bis zur vollständigen Kompromittierung des Geräts eskalieren und gehen weit über den bloßen Diebstahl von Zugangsdaten hinaus.
IOCS:
Dateihashes (MD5) –
4001854be1ae8e12b6dda124679a4077
F00F824FCAFBA9B26675AE8242F0B6A0
IP-Adressen/Domäne –
hxxps://www.akjys.top/
154 [.] 91 [.] 84 [.] 3
45 [.] 113 [.] 192 [.] 102
103 [.] 235 [.] 46 [.] 102
154[.]91[.]84[.]3[:]48991
154[.]91[.]84[.]3[:]48992
154[.]91[.]84[.]3[:]3898
QH/Seqrite Erkennungen:
PUA.NSecsoftCiR
Trojan.AgentCiR
MITRE-Angriffstaktiken, -techniken und -verfahren (TTPs) –
| Taktiken (ATT&CK ID) | Techniken / Subtechnik (ID) | Ablauf |
| Erstzugriff (TA0001) | Phishing: Spear-Phishing-Anhang (T1566.001) | Gefälschte Einkommensteuer-PDF-Datei, die als „Review Annexure.pdf“ zugestellt wurde. |
| Erstzugriff (TA0001) | Phishing: Spearphishing-Link (T1566.002) | Die PDF-Datei leitet den Benutzer auf eine gefälschte ITD-Portal-URL weiter und löst den automatischen Download einer Malware-ZIP-Datei aus. |
| Ausführung (TA0002) | Benutzerausführung (T1204) | Das Opfer führt die extrahierte ausführbare Datei „setup_Ir5swQ3EpeuBpePEpew=.exe“ manuell aus. |
| Ausführung (TA0002) | Signierte Binär-Proxy-Ausführung (T1218) | Digital signierte NSIS-Installationsprogramme sollen legitim erscheinen. |
| Verteidigungsflucht (TA0005) | Unterwanderung von Vertrauenskontrollen: Codesignierung (T1553.002) | Chinesische, code-signierte Nutzdaten werden verwendet, um Sicherheitsprüfungen zu umgehen. |
| Verteidigungsflucht (TA0005) | Artefaktlöschung (T1070.004) | Der Loader der ersten Stufe löscht nach der Ausführung abgelegte Dateien und temporäre Ordner. |
| Verteidigungsflucht (TA0005) | Verschleierte/verschlüsselte Nutzdaten (T1027) | Mehrstufige NSIS-Wrapper-Implementierung mit versteckten Komponenten und geschützten Verzeichnissen. |
| Persistenz (TA0003) | Systemprozess erstellen/ändern: Windows-Dienst (T1543.003) | NsecRTS.exe wurde als dauerhafter Hintergrunddienst registriert. |
| Persistenz (TA0003) | Automatischer Start beim Booten/Anmelden (T1547.001) | Der Dienst wird beim Systemstart automatisch ohne Benutzerinteraktion ausgeführt. |
| Entdeckung (TA0007) | Systeminformationsermittlung (T1082) | Erfasst Betriebssystemversion, Maschinendetails, Hardware und Dienste. |
| Entdeckung (TA0007) | Software Discovery (T1518) | Erfasst Details zu installierten Anwendungen. |
| Führung und Kontrolle (TA0011) | Webprotokolle (T1071.001) | Verwendet HTTP/HTTPS mit UID-Registrierung zur Aufrechterhaltung der Netzwerkkommunikation. |
| Führung und Kontrolle (TA0011) | Nicht-Anwendungsschichtprotokoll (T1095) | C2 nutzt mehrere nicht standardmäßige Ports (48991/48992/3898 usw.) zur Kommunikation. |
| Führung und Kontrolle (TA0011) | Häufig verwendeter Port (T1043) | Alternativer Fallback-Kommunikationsweg über Port 80 auf zwei zusätzlichen C2-IPs. |
| Exfiltration (TA0010) | Exfiltration über Webdienste (T1567.002) | Die erfassten Telemetriedaten wurden per HTTP POST an den primären C2-Server zurückgesendet. |
| Exfiltration (TA0010) | Geplante Überweisung (T1029) | Es werden regelmäßig Daten hochgeladen, während der verdächtige Prozess im Hintergrund weiterläuft. |
| Fernzugriff (TA0012) | Fernzugriffstools (T1219) | NSecRTS.exe ermöglicht den Empfang, die Ausführung und die Persistenz von Remote-Befehlen. |
