Inhaltsverzeichnis

• Einführung
• Schlüsselziele.
  • Betroffene Branchen.
  • Geografischer Schwerpunkt.
• Infektionskette.
• Erste Erkenntnisse
  • Blick in das Lockvogel-Dokument
• Technische Analyse
  • Stufe 1 – Bösartiges LNK-Skript
  • Stufe 2 – Pseudo-Polyglott-Trick: Alles in einem.
  • Phase 3 – Endgültige Nutzlast: LOTUSHARVEST
• Infrastruktur & Zuordnung.
• Fazit
• Seqrite Schutz.
• IOCs
• MITRE ATT&CK.
• Autoren

Einführung

Das SEQRITE Das APT-Team von Labs verfolgt Bedrohungen weltweit und hat kürzlich eine Kampagne entdeckt, die vietnamesische IT-Abteilungen und Personalverantwortliche mit gefälschten Lebensläufen in pseudo-polyglotter Sprache ins Visier nimmt. Andere Forscher haben dieselbe Aktivität ebenfalls beobachtet. Wir haben die Kampagne benannt. „Operation Hanoi-Dieb“ Aufgrund der finalen Payload und ihrer auf Stealer ausgerichteten Fähigkeiten sowie des im Lebenslauf angegebenen geografischen Standorts in der Nähe von Hanoi, der Hauptstadt Vietnams, verwendet der Angreifer hauptsächlich einen Dateityp, den wir als pseudo-polyglotte Payload bezeichnen, um seine böswilligen Absichten zu verschleiern.

In diesem Blogbeitrag erläutern wir die gesamte Infektionskette, angefangen beim Kampagnenverhalten bis hin zur technischen Analyse dieser mehrstufigen Kampagne. In der ersten Stufe sehen wir eine ZIP-Datei, die als Anhang einer schädlichen Spear-Phishing-E-Mail versendet wird. Die ZIP-Datei enthält zwei Dateien: ein Dokument, das sowohl als Köder als auch als Payload der zweiten Stufe dient, und eine LNK-Datei, die die erste Reaktion auslöst. Anschließend betrachten wir die Payload der letzten Stufe, ein C++-DLL-Implantat namens LOTUSHARVEST, das durch DLL-Sideloading auf dem Zielrechner ausgeführt wird. Abschließend gehen wir auf die Infrastruktur und weitere Details der Kampagne ein.

Hauptziele

Betroffene Branchen

• Informationstechnologie
• Personalvermittlungs- und HR-Firmen

Geografischer Fokus

• Vietnam

Infektionskette

Erste Erkenntnisse

Am 3. November 2025 entdeckte unser Team eine schädliche Spear-Phishing-ZIP-Datei namens Le-Xuan-Son_CV.zip, die sowohl in unseren privaten Telemetriedaten als auch in der bekannten öffentlichen Malware-Datenbank auftauchte. VirusTotalDas ZIP-Archiv enthält zwei Dateien.

Die erste Datei ist eine LNK-Datei namens CV.pdf.lnk. Die zweite Datei ist eine sogenannte Pseudo-Polyglot-Payload namens offsec-certified-professional.png, die als Köder und gleichzeitig als Container für die .bat-Payload (Batch-Skript) dient. Betrachten wir nun zunächst den Köder genauer.

Blick in das Lockvogel-Dokument

Beim Ausführen der PDF-Datei mit einem generischen PDF-Parser oder Dokumentenbetrachter sehen wir, dass sie einen Lebenslauf einer Person namens „“ enthält.Le Xuan Son".

Bei der Untersuchung des Inhalts der Köder-E-Mail, die unserer Einschätzung nach für Kampagnenzwecke konzipiert wurde, stellten wir fest, dass sich die Person offenbar auf eine Stelle als Softwareentwickler bewirbt. Der Name der zuvor eingesehenen Datei, „offsec-certified-professional“, der dem Bereich Informationssicherheit zuzuordnen ist, gibt jedoch Anlass zur Sorge hinsichtlich der Opferrolle, da der im ZIP-Archiv enthaltene Lebenslauf einem Softwareentwickler zuzuordnen ist.

Wie bereits erwähnt, fügte der Angreifer, um das Vertrauen des Opfers zu gewinnen, Glaubwürdigkeit aufzubauen und seine Social-Engineering-Motive zu verstärken, auch die URL eines GitHub-Kontos hinzu, das bereits 2021 erstellt worden war. Im Lebenslauf ist der Standort des Bewerbers angegeben als Hanoi, Vietnam.

Bei der Überprüfung des im Lebenslauf erwähnten GitHub-Profils stellten wir fest, dass das Konto keine Aktualisierungen oder Aktivitäten aufweist, was die Wahrscheinlichkeit erhöht, dass es speziell für diese Phishing-Kampagne eingerichtet wurde.

Im nächsten Abschnitt werden wir untersuchen, wie die LNK-Datei eine polyglotte Nutzlast ausführt und wie die daraus resultierende bösartige DLL-Datei funktioniert.

Technische Analyse

Unsere Analyse gliedert sich in drei Abschnitte. Zunächst untersuchen wir die schädliche Verknüpfungsdatei (.LNK). Anschließend analysieren wir die zweite Phase, auch bekannt als Pseudo-Polyglot, und wie die schädliche Befehlszeile in der Verknüpfungsdatei (.LNK) eine spezielle Methode zur Ausführung des Pseudo-Polyglots nutzt. Im dritten und letzten Abschnitt konzentrieren wir uns auf das DLL-Implantat LOTUSHARVEST. Im vierten Abschnitt gehen wir detailliert auf die Kampagne ein, beispielsweise auf die Infrastruktur.

Stufe 1 – Bösartiges LNK-Skript

Nach dem Entpacken der ZIP-Datei wird als erstes die LNK-Datei ausgeführt, die für die Ausführung der zweiten Stufe der pseudo-polyglotten Nutzlast verantwortlich ist.

Beim Blick auf die LNK-Details stießen wir auf einen interessanten Parameter unter den Befehlszeilenargumenten: die Verwendung von ftp.exe zum Ausführen der Pseudo-Polyglot-Datei mit dem Flag -s. Nach der Ausführung der LNK-Datei wird der Fortschritt auf dem Bildschirm angezeigt, während gleichzeitig das Batch-Skript, auf das wir im nächsten Abschnitt eingehen werden, mit LOLbin ftp.exe ausgeführt wird.

Nun, dies als LOLBIN-Missbrauch zu bezeichnen, wäre kein ganz eindeutiges TTP-orientiertes Verhalten, und wir werden es im nächsten Abschnitt erläutern.

Stufe 2 – Pseudo-Polyglott-Trick: Alles in einem.

Zunächst wurde der Dateityp einer angeblichen Klartextdatei von mehreren Dateiparsern als solche erkannt, während PDF-Parser sie als PDF-Datei kennzeichneten und entsprechend verarbeiteten. Um solche Verwechslungen zu vermeiden, ermittelten wir den Dateityp daher mithilfe eines allgemeinen Hex-Editors.

Bei der Untersuchung des Hex-Editors stellten wir fest, dass dieser eine Reihe schädlicher Skripte enthält, die ausgeführt werden, bevor die PDF-Magic-Header vorhanden sind. Daher haben wir das Skript extrahiert.

Nun folgt hier ein etwas interessanter, aber einfacher Aspekt, der entdeckt wurde von Sicherheitsforscher Vor einigen Jahren wurde ftp.exe in freier Wildbahn missbraucht. Obwohl es zum Verbinden mit einem FTP-Server und zum Ausführen von Befehlen wie Downloads oder Datenexfiltration dient, stellten wir in dieser Kampagne fest, dass die FTP-Binärdatei Befehle auf einem lokalen Rechner aufrief, die mit einem Ausrufezeichen (!) gekennzeichnet waren. Daher führte die ftp.exe-Binärdatei die oben genannten Befehle oder Skripte auf dem Zielrechner aus.

Bei genauerer Betrachtung des Skripts fällt auf, dass es zunächst eine LOLBIN-Datei namens DeviceCredentialDeployment.exe missbraucht, die im Grunde genommen … verwendet, um sich zu verstecken Die Datei cmd.exe wird gefunden. Bei genauerer Betrachtung der Skriptbefehle stellt man fest, dass die Datei certutil.exe gesucht und anschließend in lala.exe umbenannt wird. Danach benennt das Batch-Skript die Datei offsec-certified-professional.png in CV-Nguyen-Van-A.pdf um und öffnet anschließend den Datei-Explorer, um dem Opfer die gefälschte PDF-Datei anzuzeigen.

Anschließend sucht das Skript innerhalb der Pseudo-Polyglot-Datei nach einem Base64-kodierten Datenblock, in dem die Nutzdaten eingebettet sind. Es extrahiert diese kodierten Daten, dekodiert sie und erstellt eine DLL-Datei namens MsCtfMonitor.dll, die es anschließend im entsprechenden Verzeichnis ablegt. C: \ Programmdaten Verzeichnis, das wir als LOTUSHARVEST-Implantat verfolgen.

Das Skript kopiert außerdem die Originaldatei ctfmon.exe aus dem System32-Ordner in dasselbe Verzeichnis wie die DLL-Datei und führt sie anschließend aus. Wie wir gesehen haben, trägt die dekodierte DLL den Namen MsCtfMonitor.dll; es handelt sich dabei um eine Bibliotheksdatei, die importiert wird von ctfmon.exe-BinärdateiGemäß der DLL-Suchreihenfolge prüft Windows zuerst den gleichen Ordner wie die ausführbare Datei und lädt die DLL von dort, wodurch es sich um ein seitliches Laden der DLL handelt.

Im nächsten Abschnitt werden wir die Funktionsweise des bösartigen DLL-Implantats mit dem Namen LOTUSHARVEST untersuchen, das die finale Nutzlast der Kampagne darstellt.

Phase 3 – Endgültige Nutzlast: LOTUSHARVEST

Zunächst bestätigten wir dies mit Dateianalysetools und wie üblich, dass es sich um eine 64-Bit-PE-Binärdatei handelt. Die Analyse der DLL ergab, dass die Payload als Informationsdieb fungiert. Im nächsten Abschnitt dieses Blogbeitrags werden wir ihre Funktionsweise detailliert untersuchen.

Bevor wir uns mit den Kernfunktionen und Merkmalen dieses Implantats befassen, möchten wir noch auf einen interessanten PDB-Pfad hinweisen, in dem der TA es als DEV-LOADER kennzeichnet. Wir verfolgen es jedoch unter der Bezeichnung LOTUSHARVESTER.

Anti-Analyse-Prüfungen

Das Implantat nutzte einige der von uns entdeckten Anti-Analyse-Methoden, wie beispielsweise die Überprüfung, ob das Programm in einer virtuellen Umgebung ausgeführt wird. Wird dies festgestellt, wird ein Absturz erzwungen. Weitere Maßnahmen sind im Folgenden aufgeführt.

IstProzessorfunktionVorhandenEs prüft auf ein bestimmtes CPU-Feature und löst, falls gefunden, sofort einen Schnellabbruch aus, um als Anti-Analyse-Maßnahme die Ausführung auf modernen CPUs, VMs oder geschützten Umgebungen zu verhindern.

IsDebuggerPresentEine sehr gängige Technik, bei der geprüft wird, ob ein Benutzermodus-Debugger angehängt ist. Wird ein Debugger erkannt, stürzt das Programm ab.

Gefälschte AusnahmenDas Programm simuliert einen Absturz, indem es eine gefälschte Ausnahme und einen gefälschten CPU-Zustand erzeugt, den Ort, an dem der Code angeblich ausgeführt wird (RIP/RSP), ändert und ihn dann an UnhandledExceptionFilter() weiterleitet. Dadurch werden Debugger getäuscht, der Aufrufstapel durcheinandergebracht und das tatsächliche Verhalten des Programms verschleiert.

Nun kommen wir als Nächstes zu dem Teil, in dem sich das Implantat auf das Sammeln browserbasierter Anmeldeinformationen konzentriert.

Sammeln von Browserverlauf und gespeicherten Anmeldeinformationen

Wir haben nun gesehen, dass der andere Export, bekannt als DoMsCtfMonitor, den Schadcode enthält, der bestimmte Funktionen ausführt.

Bei der Untersuchung der Schadsoftware identifizierten wir zwei zentrale Routinen: eine zum Sammeln von Zugangsdaten und eine weitere zum Exfiltrieren der gesammelten Daten. Da diese DLL-Implantation primär als Datendieb fungiert, liegt ihr Hauptaugenmerk auf dem Extrahieren sensibler browserbezogener Informationen, wie wir in diesem Abschnitt zeigen werden.

Wie wir sehen können, zielt das Implantat auf Browser wie Google Chrome und Microsoft Edge ab. Es öffnet und liest zunächst die Inhalte der Dateien und fügt dann, sobald diese gesammelt sind, den Computernamen und Benutzernamen des Opfers hinzu, die von Funktionen wie GetComputerNameA und GetUserNameA zurückgegeben wurden, bevor es mit der Datenexfiltration beginnt und so einen eindeutigen Eintrag beim Bedrohungsakteur erstellt.

In den obigen Codefragmenten ist zu erkennen, dass die Malware die SQLite-Datenbank des Browsers öffnet. Geschichte Datenbanken, führt eine Abfrage aus, um die 20 zuletzt besuchten URLs zu extrahieren, und formatiert die Ergebnisse als JSON-Array, das die URL, den Seitentitel, die Besuchsanzahl und die letzte Besuchszeit enthält.

Dann öffnet es die Anmeldedaten Die Datenbank liest bis zu fünf gespeicherte Anmeldeinformationen und versucht, jedes Passwort mit Hilfe der klassischen CryptUnprotectData-API zu entschlüsseln.

Datenexfiltration

In der nächsten Funktion stellten wir fest, dass das Implantat Daten mithilfe der Windows WinINet API exfiltriert. Es öffnet eine HTTP-Sitzung und verbindet sich über Port 443 mit dem vom Angreifer kontrollierten Server eol4hkm8mfoeevs.m.pipedream.net. Nach Verbindungsaufbau sendet es eine POST-Anfrage an den Endpunkt /service und übermittelt die gestohlenen Browserinformationen als JSON-Payload.

Im nächsten Teil werden wir uns nun mit den infrastrukturellen Details der Kampagne befassen.

Infrastruktur und Zuordnung

Während der Analyse stellten wir fest, dass die Payload mit mehreren extern gehosteten Endpunkten kommuniziert. Eine der identifizierten Domains war uuhlswlx[.]requestrepo[.]com, eine zufällig generierte Subdomain. Die andere Domain, eol4hkm8mfoeevs[.]m[.]pipedream[.]net, ist ebenfalls eine zufällig generierte Subdomain und wurde primär zum Exfiltrieren der erbeuteten Zugangsdaten verwendet. Damit sind die infrastrukturellen Details dieses Implantats kurz zusammengefasst.

Mithilfe einer sehr einfachen OSINT-Recherche stießen wir auch auf die Tatsache, dass die Kontaktnummer, die der TA im gefälschten Lebenslauf verwendet hatte, nämlich +84912345678, zu einem guten Geschäft in der Nähe von Hanoi gehört, obwohl dies nicht mit Sicherheit gesagt werden kann, da häufig falsche oder gefälschte Kontaktnummern an verschiedenen Orten angegeben werden.

Die Fokussierung auf die Details der Ursachenforschung erfordert konkrete Belege zu verschiedenen Parametern wie der Wiederverwendung von Taktiken, Techniken und Verfahren, der Wiederverwendung von Infrastruktur und der Opferstatistik. Wie wir bereits im März 2025 gesehen haben, ist dies wahrscheinlich. Vom chinesischen Staat unterstützte Bedrohungsgruppe nahm Vietnam ins Visier Bei einem gefälschten, auf Flugzeugträgern basierenden Köder, dessen Name CV-Nguyen-Lam-San-Xuat-Noi-Dung-Compress.pdf lautet, wurde in derselben Kampagne auch ein Köder mit dem Namen `CV-Nguyen-Van-A` gefunden. Die Verwendung einer ähnlichen Nomenklatur trägt nur wenig dazu bei, die beiden Kampagnen einem ähnlichen Cluster derselben Bedrohungseinheit zuzuordnen.

Eine weitere, sehr häufige und dennoch einfache Überschneidung beider Kampagnen ist die Verwendung zufälliger DGA-orientierter Domains zur Auslieferung von Implantaten. Außerdem wurden in beiden Kampagnen Command-and-Control-Server (C2) eingesetzt, was die Zuordnung beider Kampagnen zusätzlich erschwert. Zu guter Letzt besteht eine weitere Ähnlichkeit zwischen beiden Kampagnen in der Verwendung ähnlicher Opfertypen, z. B. Targeting-Software und der Rekrutierungsbranche.

Als Forscher sind wir der Ansicht, dass unsere Herangehensweise nicht nur die Überschneidungen, sondern auch die einzigartigen, nicht ähnlichen Artefakte berücksichtigen sollte. In diesem Fall sehen wir, dass der Bedrohungsakteur das LOTUSHARVEST-Implantat eingesetzt hat, das wie ein Informationsdieb funktioniert. Dies gibt Anlass zur Sorge, da staatlich geförderte chinesische Akteure zwar DLL-Sideloading missbrauchen, aber auch bekannte Implantate wie PlugX und vieles mehr einsetzen. Daher wäre die Betrachtung eines Datendiebs ein widersprüchliches und einzigartiges Kriterium.

Daher haben wir uns, basierend auf der mittleren Sicherheit und unter Berücksichtigung der Überschneidungen und Unterschiede zwischen früheren Bedrohungskampagnen, die wir beobachtet haben, und ihren TTPs und vielem mehr, dazu entschlossen, diese Bedrohungseinheit als chinesischen Ursprungs einzustufen, obwohl für die Einstufung als staatlich gefördert zum jetzigen Zeitpunkt noch andere wichtige Kriterien erforderlich sind.

Fazit

SEQRITE Das APT-Team identifiziert die Operation Hanoi Thief als Spear-Phishing-Kampagne, die sich an IT- und Personalvermittler in Vietnam richtet. Die Angreifer nutzen gefälschte Lebensläufe und Verknüpfungsdateien, um Opfer zu täuschen und anschließend vertrauenswürdige Windows-Tools zu missbrauchen, um versteckte Skripte auszuführen. Die finale Payload, genannt LOTUSHARVEST, ist ein DLL-Implantat, das Browser-Anmeldeinformationen und -Verlauf stiehlt und an die Server der Angreifer sendet. Die Taktiken und die Überschneidungen mit früheren Aktivitäten deuten auf einen chinesischen Akteur hin, eine staatliche Unterstützung ist jedoch nicht bestätigt.

Seqrite Schutz

• Trojan.50086.SL
• Trojan.A18678918
• Anwendung

IOCs

Hash (SHA-256)	Malware-Typ
1beb8fb1b6283dc7fffedcc2f058836d895d92b2fb2c37d982714af648994fed	Zip-Datei
77373ee9869b492de0db2462efd5d3eff910b227e53d238fae16ad011826388a	LNK-Datei
693ea9f0837c9e0c0413da6198b6316a6ca6dfd9f4d3db71664d2270a65bcf38	Pseudo-polyglotte Nutzlast (PDF, Batch)
48e18db10bf9fa0033affaed849f053bd20c59b32b71855d1cc72f613d0cac4b	DLL-Datei

MITRE ATT & CK

Taktik	Technik-ID	Technikname
Erster Zugriff	T1566.001	Spearphishing-Anhang
Ressourcenentwicklung	T1587.001	Entwicklung von Nutzlasten: Malware
Ausführung	T1204.002	Benutzerausführung: Schädliche Datei
	T1218	Signierte binäre Proxy-Ausführung
Verteidigungsflucht	T1036.007	Maskierung: irreführende Dateiendung
	T1140	Deobfuskierte Datei
Privilegien Eskalation	T1574.002	DLL-Seitenladen
Bewertung	T1082	Systeminformationserkennung
	T1012	Dateisystemerkennung für Browserdaten
Zugang zu Anmeldeinformationen	T1555.003	Anmeldeinformationen aus Passwortspeichern
Kollektion	T1005	Daten vom lokalen System
Exfiltration	T1041	Exfiltration über C2-Kanal
Command and Control	T1071.001	Webprotokoll: HTTPS

Autoren

• Subhajeet Singha
• Priya Patel