Table of Contents:
- Einführung:
- Infektionskette:
- Zielsektoren:
- Erste Erkenntnisse zur Kampagne:
- Analyse des Lockvogels:
- Technische Analyse:
- Phase-1: Analyse der Windows-Verknüpfungsdatei (.LNK).
- Phase 2: Analyse der Batch-Datei.
- Phase 3: Detailanalyse der verdeckten Überwachungskameras.
- Fazit:
- Seqrite Reichweite:
- IOCs
- MITRE ATT & CK
Einführung:
Seqrite Labs hat eine weltweit aktive Spear-Phishing-Kampagne aufgedeckt, die auf den argentinischen Justizsektor abzielt. Die Kampagne nutzt eine mehrstufige Infektionskette, um einen schwer auffindbaren Remote-Access-Trojaner (RAT) einzuschleusen, was ein hohes Maß an operativer Raffinesse beweist. Diese Spear-Phishing-Kampagne missbraucht legitime argentinische Bundesgerichtsentscheidungen im Zusammenhang mit der Überprüfung von Untersuchungshaft, um einen in Rust geschriebenen Remote-Access-Trojaner zu verbreiten.
Infektionskette:
Zielsektoren:
Die Kampagne zielt primär auf den argentinischen Justizsektor ab und umfasst Juristen, mit der Justiz verbundene Regierungsbehörden, akademische Einrichtungen und Rechtsberatungsorganisationen. Sie nutzt hochauthentische juristische Attrappen, um das Vertrauen in die Gerichtskommunikation auszunutzen und so einen verdeckten Remote-Access-Trojaner erfolgreich einzuschleusen. Dadurch wird langfristiger Zugriff auf sensible juristische und institutionelle Daten ermöglicht.
Südamerika (Hauptfokus): Argentinien
Justizinstitutionen, Juristen, dem Justizwesen nahestehende Regierungsbehörden
Begründung: Die gefälschten Dokumente beziehen sich auf argentinische Bundesgerichte und verwenden regionsspezifische Rechtsterminologie, was auf eine gezielte Zielsetzung innerhalb Argentiniens hindeutet.
Erste Erkenntnisse zur Kampagne:
Auf Grundlage einer detaillierten Analyse bewerten wir diese Aktivität als eine hochgradig zielgerichtete, mehrstufige Eindringkampagne, die vertrauenswürdige Plattformen, fortgeschrittene Anti-Analyse-Techniken und einen verdeckten, auf Rust basierenden Remote Access Trojan (RAT) nutzt, um dauerhaften Zugriff in Justizumgebungen zu erlangen.
Die Kampagne erfolgt über gezielte Spear-Phishing-E-Mails mit einem ZIP-Archiv. Dieses Archiv enthält eine präparierte LNK-Datei, ein BAT-basiertes Loader-Skript und ein täuschend echt wirkendes juristisches PDF als Köder. Sobald der Nutzer mit der LNK-Datei interagiert, wird die Ausführungskette gestartet, während dem Opfer das Köderdokument angezeigt wird. Dies ermöglicht die unbemerkte Installation der eigentlichen Schadsoftware.
Zip: D:\auto_black_abuse\resources\unzipped\20251215_141941_2025-11-28\13adde53bd767d17108786bcc1bc0707c2411a40f11d67dfa9ba1a2c62cc5cf3.zip
- LNK: info/juicio-grunt-posting.pdf.lnk
- BAT: info/health-check.bat
- Lockvogel/PDF: info/notas.pdf
Analyse des Lockvogels:
Das in dieser Kampagne verwendete gefälschte Dokument ist ein authentisch wirkender Beschluss eines argentinischen Bundesgerichts in formellem juristischem Spanisch. Es gibt vor, von der argentinischen Justizbehörde (Poder Judicial de la Nación) zu stammen und verweist auf ein reales Gericht (Tribunal Oral en lo Criminal y Correccional N° 2 de la Capital Federal), inklusive Aktenzeichen, richterlichen Unterschriften und verfahrenstechnischer Formulierungen. Das Dokument behandelt die gerichtliche Überprüfung der Untersuchungshaft und gewährt dem Beschuldigten unter Berufung auf medizinische Gutachten, rechtliche Begründungen und spezifische Artikel der argentinischen Strafprozessordnung die bedingte Freilassung (excarcelación). Struktur, Terminologie und Formatierung entsprechen weitgehend authentischen Gerichtsurteilen, was die Glaubwürdigkeit des Dokuments unter Juristen und Richtern erheblich erhöht.
Der Köder dient als Social-Engineering-Mechanismus, der das Vertrauen in die Kommunikation der Justiz ausnutzt. Indem die Angreifer die Malware-Verbreitungskette hinter einem Dokument verbergen, das mit routinemäßigen juristischen Arbeitsabläufen – wie Haftprüfungen und Gerichtsbeschlüssen – übereinstimmt, erhöhen sie die Wahrscheinlichkeit einer Nutzerinteraktion und minimieren gleichzeitig den Verdacht. Die Relevanz des Dokuments für Justizpersonal, Rechtsanwälte und zugehörige Institutionen deutet stark auf ein gezieltes, branchenspezifisches Vorgehen und nicht auf eine opportunistische Verbreitung hin. Der Einsatz eines autoritativen juristischen Köders in Kombination mit einer verdeckten Ausführungskette lässt auf ein kalkuliertes Vorgehen schließen, um einen unbemerkten Erstzugang und eine langfristige Persistenz im Justizwesen zu erreichen.
Technische Analyse:
Wir analysierten ein heruntergeladenes ZIP-Archiv (D:\auto_black_abuse\resources\unzipped\20251215_141941_2025-11-28\13adde53bd767d17108786bcc1bc0707c2411a40f11d67dfa9ba1a2c62cc5cf3.zip), das eine schädliche LNK-Datei (info/juicio-grunt-posting.pdf.lnk), ein BAT-basiertes Loader-Skript (info/health-check.bat) und ein PDF-Dokument mit juristischem Bezug enthielt. Das Archiv diente als Ausgangspaket für die mehrstufige Ausführungskette der Kampagne.
Phase 1: Analyse der Windows-Verknüpfungsdatei (.LNK) – info/juicio-grunt-posting.pdf.lnk:
Im Rahmen unserer Analyse haben wir den Inhalt der LNK-Datei mit dem oben genannten Namen extrahiert. Diese enthielt einen sehr einfachen Code, wie unten dargestellt.
| Windows System32 Windows PowerShell powershell.exe C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe grunt-pc Windows System32 Windows PowerShell powershell.exe *C:\Windows\System32\WindowsPowerShell\v1.0(-ep bypass -w hidden -f health-check.bat%E:\repos\C2R2-v2\dropper\pdf_icon.ico |
Die LNK-Datei dient dazu, ein Batch-Skript unbemerkt auszuführen, indem PowerShell aus dem Systemverzeichnis gestartet wird. Sie umgeht die Ausführungsrichtlinie von PowerShell und läuft im versteckten Modus, um nicht vom Benutzer entdeckt zu werden. Das enthaltene PDF-Symbol deutet darauf hin, dass die Verknüpfung als legitime Datei getarnt ist, was auf den Versuch hindeutet, Benutzer zu täuschen und die Schadsoftware im Hintergrund auszuführen.
Phase 2: Analyse der BAT-Datei – info/health-check.bat:
Die Batch-Datei stellt eine Verbindung zu einer auf GitHub gehosteten URL her und ruft eine Payload der zweiten Stufe ab, bei der es sich anscheinend um einen Remote Access Trojan (RAT) handelt, was auf einen mehrstufigen Malware-Verbreitungsmechanismus hindeutet.
Dieser PowerShell-Befehl lädt im Hintergrund eine Payload aus einem GitHub-Repository herunter und führt sie aus, indem er PowerShell im versteckten Modus startet und die Ausführungsrichtlinie umgeht. Dadurch werden Benutzerzugriffe und Sicherheitskontrollen vermieden. Es wird ein WebClient-Objekt erstellt und ihm ein legitim aussehender User-Agent-String zugewiesen, um sich unauffällig in den normalen Browserverkehr einzufügen und Erkennungsmechanismen zu umgehen.
Der Befehl lädt eine Datei namens health-check.exe von GitHub herunter und speichert sie als msedge_proxy.exe im Benutzerdatenverzeichnis von Microsoft Edge. Dabei werden ein vertrauenswürdiger Dateiname und Speicherort verwendet, um legitim zu wirken. Anschließend wird die heruntergeladene Binärdatei mit Start-Process ausgeführt, wodurch die Schadsoftware aktiviert wird und wahrscheinlich eine zweite Phase der Malware-Ausführung eingeleitet wird.
Die EXE-Datei zeigt ein Verhalten zur Erkennung von Umgebungen und Virtualisierungen, indem sie mehrere Befehlszeilenprozesse startet, die bestimmte Windows-Registrierungsschlüssel abfragen. Sie sucht nach Artefakten gängiger Virtualisierungs- und Sandbox-Plattformen wie VMware, VirtualBox und Hyper-V, indem sie die Registrierungspfade der zugehörigen Tools und Dienste abfragt. Dieses Verhalten deutet darauf hin, dass die ausführbare Datei versucht festzustellen, ob sie in einer virtualisierten Umgebung oder einer Analyseumgebung ausgeführt wird.
Phase 3: Detailanalyse von RAT – msedge_proxy.exe:
Bei der Analyse stellten wir fest, dass msedge_proxy.exe umfangreiche Anti-VM-, Anti-Sandbox- und Anti-Debug-Prüfungen durchführt und die Ausführung sofort beendet, wenn Analyseartefakte erkannt werden.
Es sammelt Informationen über das Hostsystem, stellt eine robuste C2-Verbindung mit IPv4/IPv6-Fallback her und bietet einen modularen Befehlssatz, der Persistenz, Dateiübertragung, Datenerfassung, Verschlüsselung und Rechteausweitung unterstützt.
Die Befehle sind Base64-kodiert und werden dynamisch ausgeführt (einschließlich DLL-basierter Ransomware und Stealer-Module). Es wird eine vollständige Lebenszyklusunterstützung für die persistente Installation und die saubere Entfernung gewährleistet.
Nachfolgend die detaillierte Analyse von msedge_proxy.exe.
- WMIC-Herstellerprüfung Nr. 1
Die Funktion beginnt mit:
wmic Computersystem Hersteller
Es erfasst die Ausgabe → wandelt sie in Kleinbuchstaben um → vergleicht sie mit einer Reihe von Zeichenketten von Virtualisierungsanbietern:
- VMware
- virtualbox
- qemu
- Microsoft Corporation (Hyper-V)
- Xen
- Parallelen
- Registrierungspfade, die zu virtuellen Umgebungen gehören
Wenn die Ausgabe übereinstimmt → beendet sich die Malware sofort.
- MASSIVE TEILSTRING-ÜBEREINSTIMMUNG: VM-/Sandbox-Indikatoren
Es lädt eine sehr große, verkettete Zeichenkette, die Folgendes enthält:
Registrierungsschlüssel:
HKLM\SOFTWARE\VMware, Inc.\VMware Tools
HKLM\SYSTEM\ControlSet001\Services\vmmouse
HKLM\SYSTEM\ControlSet001\Services\vmhgfs
HKLM\SOFTWARE\Oracle\VirtualBox Guest Additions
HKLM\HARDWARE\ACPI\DSDT\VBOX__
HKCU\Software\Wine
VM/Analysedateien:
C:\windows\System32\Drivers\Vmmouse.sys
C:\windows\System32\Drivers\vmhgfs.sys
C:\windows\System32\Drivers\VBoxMouse.sys
C:\windows\System32\Drivers\VBoxGuest.sys
C:\windows\System32\Drivers\VBoxSF.sys
C:\windows\System32\vboxdisp.dll
C:\windows\System32\vboxhook.dll
C:\windows\System32\vboxogl*.dll
Sandbox-Verzeichnisse:
C:\Analyse
C:\sandbox
C:\sample.exe
C:\malware.exe
VM-MAC-Präfixe:
00:05:69 (VMware)
00:0c:29 (VMware)
00:1c:14 (VMware)
00:50:56 (VMware)
08:00:27 (VirtualBox)
52:54:00 (QEMU/KVM)
00:15:5d (Hyper-V)
Analyse-Tools:
procmon.exe
procexp.exe
wireshark.exe
fiddler.exe
ollydbg.exe
ida.exe
ida64.exe
x64dbg.exe
x32dbg.exe
windbg.exe
Es durchläuft alle diese Fälle: Teilzeichenkette vorhanden → Programm beenden
- Aufgabenlisten-Scan: Analyseprozesse erkennen
Es wird ausgeführt:
Aufgabenliste
Anschließend werden verdächtige Prozesse gesucht:
- vmsrvc.exe
- vmusrvc.exe
- vboxtray.exe
- vmwaretray.exe
- vmwareuser.exe
- vmacthlp.exe
- sandboxiedcomlaunch.exe
- sandboxierpcss.exe
- procmon.exe
- procexp.exe
- wireshark.exe
- fiddler.exe
- ollydbg.exe
- ida.exe / ida64.exe
- x64dbg.exe / x32dbg.exe
- windbg.exe
Falls gefunden → Beenden
- Dateiexistenzprüfungen
Anschließend werden rund 128 Dateipfade überprüft:
if Path::exists(path[i]):
Ausfahrt()
Dies sind die VM-Treiberdateien, Debug-Tools, Beispielordnernamen usw.
Diese Schleife führt eine einfache Pfadprüfung gegen Sandboxes und Analysetools durch: Sie durchläuft eine Liste fest codierter Pfade in 16-Byte-Schritten und ruft für jeden Pfad `std::path::Path::exists()` auf. Existiert einer dieser Pfade – typischerweise Verzeichnisse oder Dateien, die mit virtuellen Maschinen, Analysetools oder Sandboxes verknüpft sind –, ist die Bedingung erfüllt, und die Malware beendet den Prozess sofort.
Anti-Debugging: PEB-Prüfungen:
Dieser Code führt mehrere Anti-Debugging-Prüfungen durch: Zuerst erkennt er Debugger mithilfe von `IsDebuggerPresent` und dem Flag `BeingDebugged` des PEB und beendet sich sofort, falls einer der beiden Werte zutrifft. Anschließend führt er einen zeitbasierten Anti-Analyse-Test durch, indem er die Zeit vor und nach einer kurzen Wartezeit misst, um Verzögerungen an Haltepunkten oder Verlangsamungen der virtuellen Maschine zu erkennen. Abschließend validiert er den hochauflösenden Leistungsindikator des Systems mithilfe von `QueryPerformanceFrequency`. Verhält sich der Timer ungewöhnlich – wie beispielsweise in Emulatoren oder instrumentierten Umgebungen –, löst die Malware einen Fehler aus und beendet sich.
- Systeminformationserfassung:
Diese Funktion dient der Malware als Systeminformationssammler.
Es schafft die Werte für:
- hostname
- Benutzername
- Name des Betriebssystems
- Berechtigungsstufe (Admin/Benutzer)
- Nachdem das Feld ermittelt wurde, wird Folgendes ausgeführt:
- Hostname → PowerShell WMI-Abfrage
- Benutzername → echo %USERNAME% oder WMI-Fallbacks
- Betriebssystem → WMI-Produktname oder Registry-Fallback
- Berechtigungen → Netzwerksitzungstechnik
(net session >nul 2>&1 && echo Admin || echo User)
- C2C-Verbindung:
Nach den Anti-VM-Prüfungen versucht die Malware, eine Netzwerkverbindung herzustellen.
Die Routine versucht zunächst, die C2-Adresse als Standard-IPv4-Endpunkt im Format IP:Port zu parsen, zum Beispiel 181.231.253.69:4444.
Falls diese IPv4-Analyse fehlschlägt – sei es aufgrund ungültiger numerischer Oktette, fehlender Trennzeichen oder eines falschen Formats –, greift sie auf eine IPv6-Analyseroutine zurück, die geklammerte Formate wie [xxxx:xxxx:xxxx::1]:Port unterstützt und den Adressblock korrekt vom Port trennt.
Wenn sowohl die IPv4- als auch die IPv6-Analyse fehlschlagen, greift die Malware schließlich auf eine fest codierte, eingebettete Command-and-Control-Zeichenkette (C2) zurück, um sicherzustellen, dass sie immer einen Ausweichserver zur Kontaktaufnahme hat.
181.231.253.69:4444__PERSIST__:PERSIST_REMOVE____BEACON:DOWNLOAD:UPLOAD|HARVEST” “ENCRYPT:DECRYPT:__ELEVATE__\n” “<>\n”;
Dies ist der standardmäßige Fallback-Befehls- und Kontrollserver.
Wenn das Parsen fehlschlägt, greift die Malware auf diese Zeichenkette zurück.
Führen Sie den ersten C2-Handshake durch.
Nach der Verbindungsherstellung muss sich die Malware gegenüber dem Server „identifizieren“.
Dies umfasst üblicherweise:
Senden einer BEACON-Nachricht
Enthält üblicherweise:
| Feld | Zweck |
| Opfer-ID | Einzigartiger Wirtsfingerabdruck |
| Process Name | Hilft dem Betreiber, den Host zu identifizieren |
| Privilege Level | SYSTEM / Administrator / Benutzer |
| OS Version | Zur Kompatibilität |
| Architektur | x86 / x64 |
| Aktuelle Uhrzeit | Wird für die Terminplanung verwendet |
| Kompetenzen | Was der Agent unterstützt |
Befehlssatz:
| C2-Befehl | Action |
| __BESTEHEN__ | Persistenz installieren (Aufgabenplanung, Autostart usw.) |
| __PERSIST_REMOVE__ | Persistenz entfernen |
| __LEUCHTFEUER__ | Re-Beacon / Herzschlag |
| __HERUNTERLADEN__ | Datei herunterladen (C2 → Opfer) |
| __HOCHLADEN__ | Datei hochladen (Opfer → C2) |
| __ERNTE__ | Daten stehlen |
| __VERSCHLÜSSELUNG__ | Datei(en) verschlüsseln |
| __ENTSCHLÜSSELN__ | Datei(en) entschlüsseln |
| __ERHEBEN__ | Versuchen Sie eine Rechteausweitung. |
Dies sind die genauen Befehlskennungen, die die Malware an C2 sendet.
Dies entspricht einer modularen Backdoor für die Post-Exploitation.
__PERSIST_-Befehl (Persistenz- und Berechtigungsverwaltung)
Registry-Ausführung (Benutzer):
Fügt Werte unter HKCU\Software\Microsoft\Windows\CurrentVersion\Run mithilfe von reg add-Argumenten hinzu, die über std::process::Command erstellt werden. Dabei werden zufällig generierte, scheinbar legitime Wertnamen wie SecurityHealthSystray, OneDriveSetup, AdobeAAMUpdater, GoogleChromeAutoLaunch, MicrosoftEdgeAutoLaunch und Teams Machine Installer verwendet. Fehlermeldungen umfassen unter anderem „Error en reg add“ (Spanisch).
Geplante Aufgaben:
Erstellt Aufgaben mittels schtasks mit /TN, /TR, /DELAY0001:00, optional /RL HIGHEST. Die Binärdatei erstellt Argumentvektoren und gibt Command::output aus, zusammen mit Aufräummeldungen wie „Scheduled Tasks limpiadas“.
| PERSIST_REMOVE (Persistenz entfernen): |
Nach der Implementierung mehrerer Persistenzmechanismen (Registry Run, geplante Aufgaben und WMI-Abonnements) beinhaltet diese in Rust geschriebene Malware auch eine vollständige Bereinigungsfunktion.
Dies wird ausgeführt, wenn die C2-Station den Befehl sendet:
PERSIST_REMOVE____BEACON:DOWNLOAD:UPLOAD|HARVEST____ENCRYPT:DECRYPT:ELEVATE <>
Registry-Bereinigung: Löscht alle zuvor erstellten Run-Schlüsseleinträge.
Geplante Aufgabenentfernung: Löscht alle Aufgaben, die mit ihrer Persistenz verbunden sind.
BEACON (Re-Beacon / Herzschlag):
Der BEACON-Befehl ist von zentraler Bedeutung für die Aufrechterhaltung der Kommunikation zwischen einem infizierten Host und dem Kommando- und Kontrollzentrum (C2) des Angreifers.
Der folgende Codeausschnitt stellt die Logik der Malware zur Verarbeitung des Befehls dar:
__BEACON__:__DOWNLOAD__:__UPLOAD__|__HARVEST____ENCRYPT__:__DECRYPT__:__ELEVATE__
< >
Dieser Befehl weist das Implantat an:
Sende ein Herzschlagsignal / ein Beacon zurück an den Server
Geräteinformationen einbeziehen
Optional können Sie sich auf weitere Befehle vorbereiten.
Am Leben bleiben und stillschweigend Beharrlichkeit bewahren
_HERUNTERLADEN_:
Der Befehl _DOWNLOAD__ dient nicht dem Abrufen von Dateien vom C2-Server. Vielmehr handelt es sich um einen Mechanismus zur Dateiexfiltration – das Stehlen von Dateien des Opfers und deren Weiterleitung an den Angreifer. Diese Namensgebung ist bei RATs und Stealern üblich.
Dies ist die wichtigste Phase.
Die Schadsoftware erstellt eine formatierte Nachricht mit folgendem Inhalt:
Dateiname
Dateigröße
Base64-Daten
Die Formatierungsstruktur: [ Dateiname | Größe | Base64-Daten ]
HOCHLADEN:
Diese Malware bietet außerdem ein vollumfängliches Datei-Upload-Modul, das durch folgenden Befehl ausgelöst wird:
__UPLOAD__|__HARVEST____ENCRYPT__:__DECRYPT__:__ELEVATE__
< >
Dies ermöglicht es dem Angreifer, beliebige Dateien an den Rechner des Opfers zu senden.
Diese Fähigkeit ist erforderlich für:
Abwurf zusätzlicher Nutzlasten
Aktualisierung der Implantate
Bereitstellung von Ransomware-Modulen
DLLs seitlich laden
Durchführung der Folgephasen
ERNTE:
Der Codeblock wird ausgelöst, wenn der Server Folgendes sendet:
__ERNTEN____VERSCHLÜSSEN__:__ENTSCHLÜSSELN__:__ERHEBEN__
< >
Dieser Befehl aktiviert ein ruhendes Modul zum Sammeln von Anmeldeinformationen, das auf der Festplatte als verschlüsselte Dateien gespeichert ist.
Die Schadsoftware setzt voraus, dass auf dem Opfer bereits zwei Dateien vorhanden sind:
stealer.enc → verschlüsselte DLL
stealer.key → XOR-Schlüssel
Falls eines von beiden fehlt, antwortet die Schadsoftware:
__FEHLER__: Stealer.enc wurde nicht gefunden. Der Server muss zunächst untergeordnet werden.
__ERROR__: Stealer.key wurde nicht gefunden. Der Server muss zunächst untergeordnet werden.
ENSCRYPT- und DECRYPT-Befehle:
Die Malware empfängt C2-Befehle wie __ENCRYPT__:__DECRYPT__:__ELEVATE__ oder __DECRYPT__:__ELEVATE__ und analysiert den Zielordner + Modus.
Es prüft auf ransomware.enc (verschlüsselte DLL) und ransomware.key und entschlüsselt die DLL anschließend mithilfe des bereitgestellten Schlüssels.
Es lädt die DLL dynamisch und ruft je nach Befehl entweder encrypt_directory oder decrypt_directory auf.
Die Ransomware-Engine verarbeitet alle Dateien im angegebenen Pfad und gibt ein Textergebnis zurück (OK, Fehler oder verschlüsselte Daten).
__ELEVATE__-Befehl:
Die vollständige Implementierung des __ELEVATE__-Befehls der Malware – des Moduls zur Rechteausweitung.
Es generiert ein PowerShell-Skript zur Rechteerweiterung, schreibt es auf die Festplatte, führt es mit RunAs aus, wartet auf die Benutzerkontensteuerungserhöhung, löscht das Skript und sendet eine Statusmeldung an den C2-Server zurück.
7. BEFEHLSEMPFEHLUNG & -DEKODIERUNG:
Die Befehle werden in BASE64 kodiert empfangen und verarbeitet von:
agent::base64_decode::_$u7b$$u7b$closure$u7d$$u7d$::h968157c94086d467
Das Dekodierungsverfahren dekodiert jeweils 4-Byte-Sequenzen und rekonstruiert die ursprüngliche Nachricht:
3 Byte Ausgabe pro 4 Byte Eingabe
Behandelt Fälle mit Auffüllung '='
Schieben Sie das dekodierte Byte in Vektorstrukturen
Dies beweist, dass C2-Befehle immer Base64-kodiert sind.
Fazit:
Wir haben diese Kampagne „Operation Covert Access“ genannt, um ihren Schwerpunkt auf unauffälligem Erstzugriff und dauerhafter Fernsteuerung innerhalb von Justizbereichen widerzuspiegeln, anstatt auf die Nutzung einer bestimmten Malware-Familie oder bestimmter Tools.
Die Operation „Covert Access“ demonstriert, wie gezieltes Spear-Phishing mit juristischem Bezug, kombiniert mit präparierten LNK-Dateien und einem getarnten Remote-Access-Trojaner (RAT), genutzt werden kann, um sich langfristigen Zugriff auf sicherheitskritische institutionelle Umgebungen zu verschaffen. Die Kampagne unterstreicht die anhaltende Wirksamkeit von Shortcut-basierten Angriffen und verdeutlicht die Notwendigkeit verbesserter Transparenz und Abwehrmaßnahmen gegen Social-Engineering-Angriffe.
Seqrite Reichweite:
- Trojan.50322.SL
- Trojan.50321.SL
- CovertRATCiR
IOCs:
| Hasch CBD | Name |
| dc802b8c117a48520a01c98c6c9587b5 | info/juicio-grunt-posting.pdf.lnk |
| 45f2a677b3bf994a8f771e611bb29f4f |
D:\auto_black_abuse\resources\unzipped\20251215_140518_2025-11-28\13adde53bd767d17108786bcc1bc0707c2411a40f11d67dfa9ba1a2c62cc5cf3.zip |
| 02f85c386f67fac09629ebe5684f7fa0 | info/health-check.bat |
| 976b6fce10456f0be6409ff724d7933b | msedge_proxy.exe |
| 233a9dbcfe4ae348c0c7f4c2defd1ea5 | info/notas.pdf |
| C2 |
| 181.231.253.69:4444 |
MITRE ATT&CK:
| Praktikum | Technikname | Technik-ID |
| Erster Zugriff | Spear-Phishing-Anhang | T1566.001 |
| Benutzerausführung: Schädliche Datei | T1204.002 | |
| Archivierung per E-Mail | T1566.001 | |
| Ausführung | Windows-Befehlsshell | T1059.003 |
| Powershell | T1059.001 | |
| Befehlszeilenschnittstelle | T1059 | |
| Native API | T1106 | |
| Geplante Aufgabenausführung | T1053.005 | |
| Verteidigungsflucht | Maskierung (LNK als PDF) | T1036.004 |
| Verschleierung (Legitimer Name oder legitimer Ort) | T1036.005 | |
| Verstecktes Fenster | T1564.003 | |
| Verschleierte / kodierte Befehle (Base64) | T1027 | |
| Dateien oder Informationen entschlüsseln / dekodieren | T1140 | |
| Umgehung der Ausführungsrichtlinie | T1562.001 | |
| Registry ändern | T1112 | |
| Virtualisierung / Sandbox-Umgehung | T1497 | |
| Virtualisierung / Sandbox-Umgehung: Systemprüfungen | T1497.001 | |
| Virtualisierungs-/Sandbox-Umgehung: Überprüfung der Benutzeraktivität | T1497.002 | |
| Debugger-Umgehung | T1622 | |
| Indikatorentfernung auf dem Host | T1070 | |
| Bewertung | Systeminformationserkennung | T1082 |
| Kontoerkennung | T1087 | |
| Prozesserkennung | T1057 | |
| Registry-Erkennung | T1012 | |
| Datei- und Verzeichniserkennung | T1083 | |
| Softwareerkennung | T1518 | |
| Ermittlung von Berechtigungsgruppen | T1069 | |
| Zugang zu Anmeldeinformationen | Anmeldeinformationen aus Passwortspeichern | T1555 |
| Dumping von OS-Anmeldeinformationen | T1003 | |
| Beharrlichkeit | Registrierungsschlüssel ausführen / Startordner | T1547.001 |
| Geplante Aufgabe / Job | T1053.005 | |
| Boot- oder Anmelde-Autostart-Ausführung | T1547 | |
| WMI-Veranstaltungsabonnement | T1546.003 | |
| Command and Control | Protokoll der Anwendungsschicht | T1071 |
| Application Layer Protocol: Webprotokolle | T1071.001 | |
| Verschlüsselter Kanal | T1573 | |
| Verschlüsselter Kanal: Symmetrische Kryptographie | T1573.001 | |
| Verschleierter/Verschlüsselter Kanal | T1132 | |
| Fallback-Kanäle | T1008 | |
| Nicht-Standard-Port | T1571 | |
| Dynamische Auflösung (IPv4/IPv6-Parsing) | T1568 | |
| Ingress-Tool-Übertragung | T1105 | |
| Kollektion | Daten vom lokalen System | T1005 |
| Gesammelte Daten archivieren | T1560 | |
| Eingabeerfassung | T1056 | |
| Screen Capture | T1113 | |
| Exfiltration | Exfiltration über C2-Kanal | T1041 |
| Datenexfiltration über verschlüsselten Kanal | T1041 | |
| Auswirkungen | Datenverschlüsselung für mehr Wirkung | T1486 |
| Systemwiederherstellung sperren | T1490 | |
| Seitliche Bewegung | Remote-Dienste | T1021 |
Autoren:
Dixit Panchal
Soumen Burma
Kartik Jivani
