Aktuelle Entwicklung: KMG-Unternehmensgruppe bestätigt Simulation, keinen echten Angriff
Glücklicherweise handelte es sich dabei, wie KMG öffentlich zugegeben hat, nicht um einen tatsächlichen Cyberangriff, sondern um eine interne Simulationsübung.
Inhalte
- Einführung
- Hauptziele
- Betroffene Branchen.
- Geografischer Schwerpunkt.
- Infektionskette.
- Erste Erkenntnisse
- Untersuchen Sie die bösartige E-Mail.
- Blick in das Lockvogeldokument.
- Technische Analyse
- Stufe 0 – Schädliche ZIP- und LNK-Dateien.
- Stufe 1 – Bösartige BATCH-Skripte.
- Stufe 2 – Bösartige DOWNSHELL-Loader.
- Stufe 3 – Bösartiges DLL-Implantat.
- Infrastruktur und Jagd.
- Anrechnung
- Fazit
- Seqrite Schutz.
- IOCs
- MITRE ATT&CK.
Autoren: Subhajeet Singha und Sathwik Ram Prakki
Einführung
Seqrite Das Labs APT-Team verfolgt und entdeckt seit April 2025 eine angeblich neue Bedrohungsgruppe, die wir unter dem Namen Noisy Bear führen. Lauter BärDiese Bedrohungsgruppe hat es auf Unternehmen in Zentralasien abgesehen, beispielsweise auf den Öl- und Gassektor oder den Energiesektor Kasachstans. Die Kampagne richtet sich gegen Mitarbeiter von KazMunaiGas oder KMG. Die Bedrohungsgruppe lieferte ein gefälschtes Dokument der IT-Abteilung von KMG, das die offizielle interne Kommunikation nachahmt und Themen wie Richtlinienaktualisierungen, interne Zertifizierungsverfahren und Gehaltsanpassungen aufgreift.
In diesem Blog untersuchen wir die technischen Details der Kampagne, die wir während unserer Analyse entdeckt haben. Wir untersuchen die verschiedenen Phasen dieser Kampagne. Die Infektion beginnt mit einer Phishing-E-Mail mit einem ZIP-Anhang, der einen bösartigen LNK-Downloader und einen Köder enthält. Dieser lädt ein bösartiges Batch-Skript herunter, das zu PowerShell-Loadern führt, die wir als DOWNSHELL bezeichnen und die ein bösartiges DLL-Implantat laden. Wir untersuchen auch die Infrastruktur der gesamten Kampagne.
Hauptziele
Betroffene Branchen
- Energiesektor [Öl und Gas]
Geografischer Fokus
- Kasachstan
Infektionskette
Erste Erkenntnisse
Wir haben diesen Bedrohungsakteur seit April 2025 verfolgt und beobachtet, dass er im Mai 2025 eine Kampagne gegen Mitarbeiter von KazMunaiGas startete, die auf Spear-Phishing basierte. Über eine kompromittierte Geschäfts-E-Mail wurde eine bösartige ZIP-Datei übermittelt, die einen Köder sowie eine bösartige, auf einer Erstinfektion basierende Verknüpfungsdatei (.LNK) enthielt, die als График зарплат.lnk, was mit Salary Schedule.lnk übersetzt werden kann. Das Beispiel tauchte erstmals in der ersten Maihälfte 2025 auf Virus Total auf.
Sehen wir uns nun die schädliche E-Mail und die Lockvogeldatei an.
Untersuchung der bösartigen E-Mail
Bei der Untersuchung des Absenders der E-Mail-Datei stellten wir zunächst fest, dass der Bedrohungsakteur die kompromittierte Geschäfts-E-Mail-Adresse einer Person aus der Finanzabteilung von KazMunaiGas verwendet hatte. Er verwendete die E-Mail mit dem dringenden Betreff „DRINGEND!“ und schickte sie per E-Mail an die Mitarbeiter von KMG.
Später, beim Betrachten des Inhalts der E-Mail, wurde klar, dass die Nachricht größtenteils so gestaltet war, dass sie wie eine interne HR-Kommunikation im Zusammenhang mit einer gehaltsorientierten Diskussion oder Entscheidung aussah. Die Nachricht besagt im Wesentlichen, dass aktualisierte Informationen zu vielen Themen wie Arbeitszeiten, Gehältern und Anreizen sowie Richtlinien und Entscheidungen überprüft werden sollen. Die TA weist die Zielpersonen von KMG außerdem an, nach einer Datei namens График.zip in Schedule.zip übersetzt und dann eine Datei namens График зарплат was übersetzt „Gehaltsplan“ bedeutet und im Grunde die Verknüpfungsdatei (LNK) ist, die zum Herunterladen weiterer Stager ausgeführt werden muss.
Und zu guter Letzt wird in der E-Mail auch erwähnt, dass die Anweisungen bis zum 15. Mai 2025 abgeschlossen sein müssen, was die Dringlichkeit verstärkt. Lassen Sie uns nun die Lockvogeldatei analysieren.
Blick in das Lockvogel-Dokument
Bei genauerem Hinsehen fällt auf, dass das Lockvogeldokument das offizielle Logo des Zielunternehmens KazMunaiGas sowie Anweisungen auf Russisch und Kasachisch enthält. Darin werden die Mitarbeiter durch eine Reihe einfacher Schritte geführt: Sie sollen den Download-Ordner im Browser öffnen, ein ZIP-Archiv namens KazMunayGaz_Viewer.zip extrahieren und eine Datei namens KazMunayGaz_Viewer ausführen. Der Dateiname ist zwar irrelevant, aber wir gehen davon aus, dass dies genau die Datei ist, die in der bösartigen E-Mail enthalten war. Der Lockvogel fordert die Benutzer außerdem auf, auf das Erscheinen eines Konsolenfensters zu warten und rät ausdrücklich, dieses nicht zu schließen oder damit zu interagieren, um den Verdacht auf die Ziele zu begrenzen. Und nicht zuletzt wird in der Anrede auch das IT-Support-Team erwähnt, um den Anschein von Legitimität zu erwecken, wobei die oben genannten Artefakte im Lockvogel vorhanden sind.
Technische Analyse
Wir haben die technische Analyse in vier Teile unterteilt. Zunächst untersuchen wir die schädliche ZIP-Datei mit der LNK-Datei, die anschließend das schädliche Batch-Skript herunterlädt, und fahren mit dem Herunterladen des Skript-basierten Loaders und anschließend der schädlichen DLL fort.
Stufe 0 – Schädliche ZIP- und LNK-Dateien.
Bei der Untersuchung der ZIP-Datei fanden wir zunächst drei Dateien. Eine davon ist das Lockvogeldokument, das wir zuerst gesehen haben. Die zweite Datei ist README.txt, was wiederum sicherstellt, dass die Anweisungen vorhanden sind, sodass sie nicht verdächtig wirkt. Die letzte Datei stellt sich als bösartige LNK-Datei heraus.
Als wir uns nun die bösartige Verknüpfungsdatei (.LNK) mit dem Namen „График зарплат“ ansahen, stellten wir fest, dass sie powershell.exe LOLBIN verwendet, um ein Downloader-basiertes Verhalten auszuführen.
Es lädt ein bösartiges Batch-Skript namens 123.bat von einem Remote-Server herunter, der hxxps[://]77[.]239[.]125[.]41[:]8443 ist. Nach dem Download speichert es das Batch-Skript unter dem Pfad C:\Users\Public und führt es dann mit dem Cmdlet Start-Process aus dem Pfad aus.
Auf ähnliche Weise haben wir bei der Suche nach einer ähnlichen LNK-Datei eine andere LNK gefunden, die zur gleichen Kampagne gehört und etwas anders aussieht.
Diese bösartige LNK-Datei verwendet einen kleinen Operandentrick, um die Erkennung statischer Signaturen zu vermeiden, aber sie führt eine Verkettung der Zeichenfolgenliterale durch und lädt anschließend ein Batch-Skript vom selben Remote-Server herunter, speichert es im öffentlichen Ordner und führt es anschließend per Cmdlet aus.
Im nächsten Abschnitt werden wir die bösartigen BATCH-Skripte untersuchen.
Phase 1 – Schädliche BATCH-Skripte
Wenn wir uns nun eines der BATCH-Skripte, d. h. it.bat, ansehen, können wir sehen, dass es PowerShell-Loader, die wir als DOWNSHELL bezeichnet haben, von einem Remote-Server namens support.ps1 und a.ps1 herunterlädt. Sobald sie heruntergeladen sind, schläft es insgesamt 11 Sekunden lang.
Wenn wir uns nun das zweite Batch-Skript, also die Datei 123.bat, ansehen, sehen wir, dass es dasselbe tut, nämlich die PowerShell-Loader herunterladen und anschließend 10 Sekunden in den Ruhezustand versetzen.
Im nächsten Abschnitt werden wir uns mit der Funktionsweise der in PowerShell geschriebenen DOWNSHELL-Loader befassen.
Stufe 2 – Bösartige DOWNSHELL-Loader
In diesem Abschnitt werden wir uns die Reihe bösartiger PowerShell-Skripte ansehen, die wir als DOWNSHELL bezeichnet haben. Die erste PowerShell-Datei, auch bekannt als support.ps1, ist im Grunde ein Skript, das für die Beeinträchtigung der Abwehr auf dem Zielcomputer verantwortlich ist, und das letztere ist für die Ausführung loaderorientierter Funktionen verantwortlich.
Bei der Untersuchung des Codes stellten wir fest, dass das Skript im Wesentlichen den Zielnamespace verschleiert, indem es „System.Management.Automation“ über eine Zeichenfolgenverkettung erstellt und dann alle geladene .NET-Assemblys in der aktuellen AppDomain und filtert nach derjenigen, deren vollständiger Name mit diesem Namespace übereinstimmt.
Anschließend wird mithilfe der Reflexionstechnik der interne Typ System.Management.Automation.AmsiUtils aufgelöst, der im Wesentlichen das private statische Feld amsiInitiFailed abruft. Durch Ändern oder Umschalten dieses Flags wird PowerShell davon überzeugt, dass die AMSI-Initialisierung fehlgeschlagen ist. Das andere schädliche Skript der DOWNSHELL-Familie wird daher nicht gescannt und kann problemlos oder ohne Unterbrechung ausgeführt werden. Sehen wir uns nun das zweite PowerShell-Skript an.
Der erste Teil des Codes ähnelt einer Kopie des bekannten Red-Team-Emulationstools PowerSploit. Die Funktion LookUpFunc ruft die Speicheradresse jeder exportierten Funktion dynamisch aus einer angegebenen DLL ab, ohne herkömmliche DllImport- oder Add-Type-Aufrufe zu verwenden. Dies geschieht durch Lokalisieren des Typs Microsoft.Win32.UnsafeNativeMethods in der bereits geladenen System.dll-Assembly und anschließendes Extrahieren und Aufrufen der versteckten .NET-Wrapper für GetModuleHandle und GetProcAddress. Indem zunächst die Basisadresse des Zielmoduls ($moduleName) aufgelöst und zusammen mit dem Zielfunktionsnamen ($functionName) übergeben wird, wird ein benötigter Rohfunktionszeiger auf die API zurückgegeben.
Im zweiten Teil des Codes erstellt die Funktion getDelegateType im Grunde einen benutzerdefinierten .NET-Delegaten im laufenden Betrieb, vollständig im Speicher. Sie übernimmt die Parametertypen und gibt einen bestimmten Typ zurück, erstellt daraus eine neue Delegate-Klasse und weist ihr eine Invoke-Methode zu, sodass sie wie eine normale Funktion verwendet werden kann. Dadurch kann das gesamte Skript die Rohfunktionszeiger (aus LookupFunc) in etwas packen, das PowerShell direkt aufrufen kann. Dies erleichtert die Ausführung von WinAPI-Funktionen, ohne sie wie gewohnt importieren zu müssen. Anschließend wird die Prozess-ID des Prozesses explorer.exe abgefragt und in einer Variablen gespeichert.
Dem letzten Teil des Skripts folgt ein Byte-Array, das den Meterpreter reverse_tcp enthältShellcode, bei dem grundsätzlich die klassische Create-RemoteThread-Injection-Technik mit OpenProcess, VirtualAllocEx, WriteProcessMemory und CreateRemoteThread verwendet wird, um den Shellcode in den Zielprozess explorer.exe einzufügen, gefolgt von der Meldung „Injected! Check your listener!“.
Ein interessanter Teil dieses Skripts ist, dass ein Teil davon kommentiert ist, der eine reflektierende DLL-Injektion in einen Remote-Prozess durchführt, in diesem Fall in Notepad, unter Verwendung eines Tools namens PowerSploit , gehostet auf dem Remote-Server, der heruntergeladen wird und die Meterpreter-basierte DLL verwendet. Ein weiterer interessanter Fall sind die Kommentare in russischer Sprache. Im nächsten Fall werden wir die DLL untersuchen.
Stufe 3 – Schädliche DLL-Implantation
Zunächst haben wir das DLL-Implantat in einem PE-Analysetool überprüft und es wurde bestätigt, dass das DLL-Implantat oder der Shellcode-Loader eine 64-Bit-Binärdatei ist.
Als wir den Code weiter durchgingen, sahen wir, dass das Implantat Semaphoren als eine Art Gatekeeper verwendet, um sicherzustellen, dass immer nur eine Kopie von ihm ausgeführt wird. In diesem Fall verwendet das Implantat ein Objekt mit dem Namen Local\doSZQmSnP12lu4Pb5FRD. Beim Start versucht es, dieses Semaphor zu erstellen. Ist es bereits vorhanden, bedeutet dies, dass eine andere Instanz aktiv ist. Zur Überprüfung verwendet es WaitForSingleObject auf dem Semaphor und sucht anschließend nach einem bestimmten benannten Ereignis. Ist das Ereignis vorhanden, weiß es, dass eine andere Instanz ihre Einrichtung bereits abgeschlossen hat. Ist dies nicht der Fall, erstellt es das Ereignis selbst.
Abhängig von der vorherigen Funktion, die für die Überprüfung der Anzahl der Instanzen verantwortlich ist, wird im nächsten Schritt ein angehaltener Prozess rundll32.exe gestartet.
Nachdem der Prozess im angehaltenen Zustand erstellt wurde, führt das Implantat eine klassische Thread-Kontext-Entführung durch: Es ruft GetThreadContext im primären Thread auf, reserviert mit VirtualAllocEx RWX-Speicher im Ziel, löscht mit WriteProcessMemory den Shellcode, aktualisiert den RIP des Threads, um über SetThreadContext auf diesen Puffer zu verweisen, und ruft schließlich ResumeThread auf, damit die Ausführung mit dem injizierten Shellcode fortgesetzt wird. In diesem Fall ist der Shellcode im Grunde eine umgekehrte Shell.
Infrastruktur & Jagd
Bei der Untersuchung der Infrastruktur, die die Bedrohungseinheit verwendet hatte, fanden wir einige interessante Details dazu.
Werkzeug-Arsenal
Neben den Tools, die unserer Beobachtung nach vom Bedrohungsakteur verwendet wurden, stellten wir auch fest, dass es weitere Open-Source-Tools für Red Teams gibt, die vom Bedrohungsakteur zur weiteren Verwendung gehostet wurden.
Schwenkbar
Mithilfe ähnlicher Fingerabdrücke haben wir eine ähnliche Infrastruktur aufgespürt, die einem ähnlichen Bedrohungsakteur gehört.
Einer der interessantesten Teile ist, dass die Infrastruktur bei einer sanktionierten Hosting-Firma gehostet wird, die als Aeza Group LLC.
Ein weiterer interessanter Aspekt ist, dass wir auch viele verdächtige gehostete Webanwendungen entdeckt haben, die mit Wellness, Fitness und Gesundheitshilfe für Russen zu tun haben.
Anrechnung
Die Attribution ist ein sehr wichtiges Maß bei der Beschreibung einer Bedrohung. Dabei werden verschiedene Bereiche analysiert und korreliert, darunter Taktiken, Techniken und Verfahren (TTPs), operative Fehler, Rotation und Wiederverwendung ähnlicher Infrastrukturartefakte, operative Fehler, die zu einer Attribution führen könnten, und vieles mehr.
Bei unserer laufenden Verfolgung von Noisy Bear sind uns zahlreiche Artefakte aufgefallen, wie etwa in den Tools vorhandene Sprachen, die Verwendung genehmigter Webhosting-Dienste und ähnliche Verhaltensartefakte im Zusammenhang mit russischen Bedrohungseinheiten, die zuvor ähnliche zentralasiatische Länder ins Visier genommen hatten. Wir gehen davon aus, dass der Bedrohungsakteur möglicherweise russischen Ursprungs ist.
Fazit
Wir haben festgestellt, dass eine Bedrohungseinheit namens NoisyBear den kasachischen Energiesektor mit unternehmensspezifischen Ködern ins Visier nimmt und dabei stark auf PowerShell und Open-Source-Post-Exploitation-Tools wie Metasploit angewiesen ist, die sie über einen genehmigten Webhosting-Anbieter hostet. Wir können auch davon ausgehen, dass der Bedrohungsakteur seit April 2025 aktiv ist.
SEQRITE Schutz
TBD
IOCs
| Dateityp | SHA-256 | |
| Outlook | 5168a1e22ee969db7cea0d3e9eb64db4a0c648eee43da8bacf4c7126f58f0386 | |
| Postleitzahl | 021b3d53fe113d014a9700488e31a6fb5e16cb02227de5309f6f93affa4515a6 | |
| Postleitzahl | f5e7dc5149c453b98d05b73cad7ac1c42b381f72b6f7203546c789f4e750eb26 | |
| LNK | a40e7eb0cb176d2278c4ab02c4657f9034573ac83cee4cde38096028f243119c | |
| LNK | 26f009351f4c645ad4df3c1708f74ae2e5f8d22f3b0bbb4568347a2a72651bee | |
| Batch-Skript | d48aeb6afcc5a3834b3e4ca9e0672b61f9d945dd41046c9aaf782382a6044f97 | |
| Batch-Skript | 1eecfc1c607be3891e955846c7da70b0109db9f9fdf01de45916d3727bff96e0 | |
| Powershell | da98b0cbcd784879ba38503946898d747ade08ace1d4f38d0fb966703e078bbf | |
| Powershell | 6d6006eb2baa75712bfe867bf5e4f09288a7d860a4623a4176338993b9ddfb4b | |
| Powershell | fb0f7c35a58a02473f26aabea4f682e2e483db84b606db2eca36aa6c7e7d9cf8 | |
| DLL | 1bfe65acbb9e509f80efcfe04b23daf31381e8b95a98112b81c9a080bdd65a2d | |
| Domänen/IPs | ||
| 77 [.] 239 [.] 125 [.] 41 | ||
| wellfitplan[.]ru | ||
| 178 [.] 159 [.] 94 [.] 8 | ||
MITRE ATT & CK
| Taktik | Technik-ID | Name |
| Aufklärung | T1589.002 | Sammeln Sie Informationen zur Opferidentität: E-Mail-Adressen |
| Erster Zugriff | T1204.002
T1078.002 |
Benutzerausführung: Schädliche Datei Gültige Konten: Domänenkonten |
| Ausführung | T1059.001
T1059.00 |
Befehls- und Skriptinterpreter: PowerShell |
| Verteidigungsflucht | T1562
T1027.007 T1027.013 T1055.003 T1620 T1218.011 |
Abwehrkräfte beeinträchtigen
Dynamische API-Auflösung Verschlüsselte/kodierte Datei Thread-Ausführungs-Hijacking Reflektierendes Laden von Code System-Binär-Proxy-Ausführung: Rundll32 |
| Command and Control | T1105 | Ingress-Tool-Übertragung |
| Exfiltration | T1567.002 | Exfiltration in den Cloud-Speicher |
Fußzeilenhinweis:
Klärung
Einige Cybersicherheitsmedien waren vertreten SeqriteDie Ergebnisse wurden so dargestellt, dass sie darauf hindeuteten, dass „NoisyBear hat im Mai das Postfach eines Finanzmitarbeiters von KazMunayGas kompromittiert und es zum Versenden von Phishing-E-Mails verwendet.“ Eine der Nachrichtenagenturen behauptete außerdem, sie habe uns um einen Kommentar gebeten, wir haben jedoch keine derartige Anfrage erhalten.
SeqritePosition von
Wie in unserem ursprünglichen Blog oben ausführlich beschrieben, hat unsere Forschung klar ergeben, dass „Die Nachricht wurde größtenteils so gestaltet, dass sie wie eine interne HR-Kommunikation aussieht.“ Dies verdeutlichte, dass es sich wahrscheinlich um eine gefälschte E-Mail und nicht um das Ergebnis einer Mailbox-Kompromittierung handelte. Unsere Erkenntnisse, die auf Samples in einem öffentlichen Malware-Repository basieren, deuten auf eine durchgängige Verwendung der russischen Sprache in der E-Mail, der Bedienungsanleitung und den Kommentaren zur Nutzlast hin. Wir stellten außerdem fest, dass die mit dieser Kampagne verbundene C&C-Infrastruktur bei der Aeza Group LLC gehostet wurde, einem Unternehmen, das im Juli 2025 von den USA wegen der Ermöglichung cyberkrimineller Aktivitäten sanktioniert wurde.
Es ist wichtig zu beachten, dass Test-IDs und Red-Team-Tools sowohl in Simulationsübungen als auch von bekannten Gegnern in realen Cyber-Operationen häufig verwendet werden. In diesem Fall bestätigen wir, dass die identifizierten Indikatoren im Rahmen einer internen Phishing-Übung von KMG und nicht von einer externen Bedrohungsgruppe generiert wurden. Wir verfolgen diese Aktivität weiterhin unter dem Namen Operation BarrelFire.
