Inhalte
- Einführung
- Hauptziele
- Betroffene Branchen
- Geografischer Fokus
- Infektionskette
- Erste Erkenntnisse
- Blick in das Lockvogel-Dokument
- Technische Analyse
- Stufe 1 – Schädliche RAR-Datei
- Stufe 2 – Bösartiger .NET-Malware-Dropper
- Stufe 3 – Bösartiger Golang-Shellcode-Loader
- Phase 4 – Shellcode-Übersicht
- Jagd und Infrastruktur
- Fazit
- Seqrite Schutz
- IOCs
- MITRE ATT & CK
- Autoren
Einführung
SEQRITE Das APT-Team von Labs hat eine Kampagne verfolgt und aufgedeckt, die auf Folgendes abzielt: Baltische Staatliche Technische Universität, eine bekannte Institution für verschiedene Verteidigungs-, Luft- und Raumfahrt- und fortschrittliche Ingenieurprogramme, die zum militärisch-industriellen Komplex Russlands beitragen. Verfolgt als Operation HollowQuill, nutzt die Kampagne Dokumente zu waffenfähigen Täuschungsmanövern getarnt als offizielle Forschungseinladungen zur Infiltration akademische, staatliche und verteidigungsbezogene Netzwerke. Die Bedrohungseinheit liefert eine bösartige RAR-Datei, die einen .NET-Malware-Dropper enthält, der außerdem weitere Golang-basierte Shellcode-Loader sowie eine legitime OneDrive-Anwendung und ein Lockvogel-basiertes PDF mit einer endgültigen Cobalt Strike-Nutzlast ablegt.
Hauptziele
Betroffene Branchen
- Akademische und Forschungseinrichtungen
- Militär- und Verteidigungsindustrie.
- Luft- und Raumfahrt & Raketentechnologie
- Staatlich orientierte Forschungseinrichtungen.
Geografischer Fokus
- Russische Föderation.
Infektionskette.
Erste Ergebnisse.
In den ersten Monaten des Jahres 2025 fand unser Team eine bösartige RAR-Archivdatei mit dem Namen Исх 3548 о ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ. Д.Ф. Устинова.rar , was übersetzt „Ausgehend 3548“ über die Bildung staatlicher Aufträge zur Durchführung grundlegender und explorativer Forschung an der BSTU „VOENMEKH“ bedeutet, benannt nach DF Ustinov.rar tauchte auf am Virus Gesamt. Bei der Untersuchung stellten wir fest, dass dieses RAR als vorläufige Infektionsquelle verwendet wurde und einen bösartigen .NET-Dropper enthielt, der neben einem PDF-basierten Köder mehrere andere Nutzlasten enthielt.
Das RAR-Archiv enthält eine bösartige .NET-ausführbare Datei namens „Исх 3548 о ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ. Д.Ф. Устинова”, was auch als ausgehende Nr. 3548 übersetzt werden kann, bezüglich der Bildung staatlicher Zuweisungen zur Durchführung grundlegender und explorativer Forschung an der BSTU „VOENMEKH“, benannt nach DF Ustinov. Dieser Dropper ist dafür verantwortlich, eine legitime ausführbare OneDrive-Datei zusammen mit einem bösartigen, in Golang geschriebenen Shellcode-Loader bereitzustellen. Bei der Ausführung führt die ausführbare .NET-Datei mehrere Vorgänge aus: Einer davon stellt den Golang-Loader mit Shellcode bereit, injiziert den Shellcode in den legitimen OneDrive-Prozess und erstellt ein Lockvogeldokument. Bevor wir uns in die technischen Details vertiefen, untersuchen wir zunächst das Lockvogeldokument.
Blick in das Lockvogeldokument.
Bei der Untersuchung des Lockvogeldokuments stellt sich heraus, dass es sich bei diesem Köder um ein Dokument handelt, das sich auf die Ministerium für Wissenschaft und Hochschulbildung Russlands, insbesondere in Bezug auf Baltische Staatliche Technische Universität „VOENMEKH“, benannt nach DF UstinovBei dem Dokument scheint es sich um eine offizielle Mitteilung an mehrere Organisationen zu handeln, in der möglicherweise staatlich beauftragte Forschungsprojekte oder verteidigungsbezogene akademische Kooperationen erörtert werden.
Das Obige ist eine übersetzte Version der ersten Abschnitte des Lockvogels.
Der Inhalt und die gesamte Anleitung bestätigen, dass dieses PDF als umfassender Leitfaden für die Zuweisung staatlicher Forschungsaufgaben dient und den Prozess für Organisationen zur Einreichung von Vorschlägen für Grundlagen- und angewandte Forschungsprojekte im Haushaltszyklus 2026–2028 beschreibt. Es enthält Anweisungen für Institutionen, insbesondere solche, die sich mit fortgeschrittener wissenschaftlicher und technologischer Forschung beschäftigen, zur fristgerechten Registrierung ihrer Technologieanfragen im Einheitlichen Staatlichen Informationssystem für wissenschaftliche Forschung und Technologieprojekte (ЕГИСУ НИОКТР).
Im weiteren Verlauf des Lockvogel-Dokuments wird deutlich, dass es zusätzliche Informationen zum Einreichungsprozess für staatlich vergebene Forschungsaufträge enthält und betont, dass die finanzielle Unterstützung dieser Projekte aus Haushaltsmitteln des russischen Ministeriums für Wissenschaft und Hochschulbildung erfolgt. Außerdem enthält das Dokument Kontaktdaten für Anfragen von Bogdan Evgenyevich Melnikov, einem leitenden Forscher in der Abteilung für Grundlagen- und explorative Forschung, sowie eine E-Mail-Adresse für die Kommunikation.
Nun, am Ende dieses Lockvogels ist zu sehen, dass er von AE Shashurin unterzeichnet wurde, der als Doktor der Technischen Wissenschaften identifiziert wird. (d.t.n.), Professor und amtierender Rektor (и.о. ректора) der Institution. Insgesamt dient dieses Lockdokument als offizielle Mitteilung des russischen Ministeriums für Wissenschaft und Hochschulbildung und bietet Organisationen Richtlinien für staatlich finanzierte Forschungsinitiativen.
Technische Analyse
Wir werden unsere Analyse in vier Hauptabschnitte unterteilen. Vorname, werden wir das bösartige RAR-Archiv untersuchen. Sekunde, werden wir uns mit dem bösartigen .NET-Dropper befassen. Drittens Wir konzentrieren uns auf die Analyse der Funktionsweise des bösartigen Golang-basierten Shellcode-Injektors und untersuchen abschließend die schädliche Cobalt Strike-Nutzlast. Diese detaillierte Untersuchung beleuchtet die angewandten Methoden und gibt Einblicke in die Taktiken des Bedrohungsakteurs innerhalb dieser speziellen Kampagne.
Stufe 1 – Bösartige RAR-Datei.
Bei der Untersuchung der schädlichen RAR-Datei wurde festgestellt, dass sie eine weitere schädliche ausführbare Datei mit dem Namen Исх 3548 enthält „ВОЕНМЕХ“ им. Д.Ф. Устинова. Nach einer ersten Analyse der Dateiartefakte stellte sich heraus, dass es sich um eine 32-Bit-.NET-basierte ausführbare Datei handelt. Im nächsten Abschnitt werden wir die Funktionalität dieser .NET-ausführbaren Datei untersuchen.
Stufe 2 – Bösartiger .NET-Malware-Dropper.
Sehen wir uns nun die Funktionsweise der im RAR-Archiv komprimierten .NET-Datei an. Wie im vorherigen Abschnitt festgestellt, handelt es sich bei der Binärdatei im Wesentlichen um eine 32-Bit-.NET-ausführbare Datei. Sie wurde beim Laden in Analysetools auch in SystemUpdaters.exe umbenannt.
Beim Blick in die Probe sind uns drei interessante Methoden aufgefallen. Lassen Sie uns nun näher auf sie eingehen.
Wenn wir uns die erste Methode ansehen, können wir sehen, dass die Main-Funktion eine andere Methode aufruft: MyCustomApplicationContext . Lassen Sie uns die Methode analysieren.
Als wir uns die Methode genauer ansahen, stellten wir fest, dass der Code zunächst prüft, ob die PDF-Datei im Verzeichnis C:\Users\Appdata\Roaming\Documents vorhanden ist. Falls die PDF-Datei nicht vorhanden ist, kopiert er die im Abschnitt „Ressourcen“ gespeicherte Datei und schreibt sie in das Verzeichnis.
Als wir uns den Code genauer ansahen, stellten wir fest, dass er prüft, ob die Datei OneDrive.exe, bei der es sich im Grunde um die legitime OneDrive-Anwendung handelt, vorhanden ist. Falls er sie nicht am gewünschten Speicherort findet, kopiert er die legitime Anwendung, die im Ressourcenabschnitt gespeichert ist, und schreibt sie an den Speicherort.
Bei der Untersuchung des späteren Teils des Codes haben wir festgestellt, dass er nach einer Datei mit dem Namen OneDrives_v2_1.exe unter dem Speicherort C:\Users\Appdata\Roaming\Driver sucht. Falls er die Datei nicht findet, kopiert er, genau wie bei ähnlichen Dateien, die ausführbare Datei aus dem Ressourcenabschnitt und schreibt sie an den Speicherort.
Einer der faszinierendsten Aspekte dieses Droppers ist die Verwendung einer Verknüpfungsdatei (.lnk) namens X2yL.lnk als Persistenzmechanismus. Diese wird im Windows-Startordner abgelegt, um die Ausführung beim Systemstart sicherzustellen. Bei der Analyse der H3kT7fXw-Methode stellten wir fest, dass diese für die Erstellung dieser Verknüpfungsdatei verantwortlich ist. Die Methode verwendet WshShell, um die .lnk-Datei zu generieren und weist ihr einen Microsoft Office-basiertes Symbol, wodurch es weniger verdächtig wird. Darüber hinaus wird der Zielpfad der Verknüpfung auf den Speicherort der schädlichen Nutzlast, d. h. OneDrives_v2_1.exe, festgelegt, wodurch sichergestellt wird, dass diese ausgeführt wird, wenn die Verknüpfung beim Booten ausgelöst wird.
Am Ende wird das PDF-Täuschungsmanöver auf dem Bildschirm angezeigt. Da wir die Analyse des bösartigen .NET-Droppers abgeschlossen haben, werden wir in den nächsten Abschnitten die von diesem Dropper abgelegte bösartige ausführbare Datei analysieren.
Stufe 3 – Bösartiger Golang-Shellcode-Loader.
Zunächst können wir anhand des Beispiels in den Analysetools bestätigen, dass diese ausführbare Datei mit Golang programmiert wurde. Als Nächstes untersuchen wir die Funktionsweise des Shellcode-Loaders und seines Injektionsmechanismus.
Beim Betrachten des ersten Teils dieses Shellcode-Loaders stellten wir fest, dass die Binärdatei ausgeführt wird Zeit_jetzt Funktion, um zunächst die aktuelle Systemzeit zu erfassen, dann ruft sie time_sleep auf, ebenfalls eine Golang-Funktion mit einem fest codierten Wert, und ruft dann erneut die Funktion time_now auf, die nach dem Ruhezustand den Zeitstempel prüft. Dann ruft sie time_Time_Sub auf, die die Differenz zwischen dem von der Funktion erfassten Zeitstempel prüft und weitermacht und prüft, ob die gesamte Ruhezeit weniger als 6 Sekunden beträgt. Falls die Ruhedauer kürzer ist, wird das Programm beendet. Dies fungiert als kleine Anti-Analyse-Technik.
Als wir dann weitergingen und den Code überprüften, stellten wir fest, dass die legitime ausführbare OneDrive-Datei, die vom .NET-Dropper gelöscht wurde, ein ähnlicher Prozess mithilfe der CreateProcess-API in Golang erstellt wird und dass der Prozess in einem angehaltenen Modus erstellt wird.
Anschließend wird der Shellcode, der bereits in dieser Loader-Binärdatei eingebettet ist, mithilfe der Golang-Funktion embed_FS_ReadFile gelesen, die den Shellcode zurückgibt.
Als Nächstes wird der Shellcode, der von der vorherigen Funktion in einem Base64-codierten Format zurückgegeben wurde, mit der nativen Golang-Funktion base64.StdEncoding.DecodeString decodiert und zurückgegeben.
Der Code verwendet dann grundsätzlich einen fest codierten Schlüssel mit einer Größe von 13 Byte, der grundsätzlich zum Decodieren des gesamten Shellcodes verwendet wird.
Anschließend führt der Code die APC-Injection-Technik aus, um den Shellcode in den Speicher einzufügen. Dazu wird zunächst mit dem Prozess in einem angehaltenen Zustand begonnen, anschließend wird der Shellcode dekodiert und entschlüsselt, anschließend wird Speicher für den angehaltenen OneDrive.exe-Prozess zugewiesen. Sobald der Speicher zugewiesen ist, schreibt er den Shellcode mit WriteProcessMemory in den Speicher und verwendet dann die QueueUserAPC-API, um einen Funktionsaufruf im Hauptthread des angehaltenen Prozesses in die Warteschlange zu stellen. OneDrive.exe Der Prozess wird abschließend durch ResumeThread ausgelöst, wodurch die in die Warteschlange gestellte APC-Funktion (mit dem Shellcode) ausgeführt wird. Dadurch wird der eingeschleuste Schadcode im Kontext von OneDrive.exe ausgeführt. Analysieren wir nun einige wichtige Artefakte des Shellcodes.
Stufe 4 – Shellcode-Übersicht.
Als wir uns den schädlichen Shellcode genauer ansahen und analysierten, stellten wir fest, dass es sich bei dem Shellcode tatsächlich um einen Loader handelt, der funktioniert, indem er zunächst eine Windows-Bibliothek wwanmm.dll lädt.
Sobald die DLL geladen ist, wird der Textabschnitt der DLL auf Null gesetzt. Die Windows-API DllCanUnloadNow wird verwendet, um den Beacon im Speicher vorzubereiten. Dies erleichtert die Arbeit des Shellcodes, der ein Cobalt Strike Beacon ist, zusätzlich.
Bei genauerer Analyse wird deutlich, dass sich der Beacon über einen bestimmten User-Agent mit dem vom Angreifer gehosteten C2-Server verbindet. Da dieses Tool weit verbreitet ist, gehen wir hier nicht näher auf die Funktionsweise des bösartigen Beacons ein. Die Konfiguration des Beacons lässt sich wie folgt ermitteln.
Extrahierte Konfiguration:
Methode: GETHost[Command & Control]: phpsympfony.comUser-Agent: „Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv:11.0) wie Gecko“
Jagd und Infrastruktur.
Bei der Analyse des in Golang programmierten Shellcode-Injektors fanden wir kleine OPSEC-bezogene Fehler des Bedrohungsakteurs, wie z. B. das Hinterlassen der Go-Build-ID zusammen mit dem Injektor. Dies half uns bei der Suche nach ähnlichen Payloads, die vom selben Bedrohungsakteur verwendet wurden. Die Go-Build-ID lautet wie folgt:
-_APqjT14Rci2qCv58VO/QN6emhFauHgKzaZvDVYE/3lVOVKh9ePO_EDoV_lSN/NL58izAdTGRId20sd3CJ
Bei genauerer Betrachtung der Infrastrukturartefakte fällt auf, dass der bösartige Command-and-Control-Server, der unter der Domain phpsymfony[.]com gehostet wurde, die Domain über mehrere ASN-Dienste hinweg rotierte. Außerdem gab es einen eindeutigen HTTP-Titel, der ebenfalls mehrfach über den C2-Server rotierte.
Wenn wir uns die Reaktionen im Verlauf ansehen, können wir erkennen, dass der Titel „Coming Soon – pariaturzzphy.makebelievercorp[.]com“ mehrfach eingerichtet wurde.
Bei der weiteren Suche nach demselben HTTP-Titel stellten wir fest, dass viele Hosts denselben Titel bereitstellen, von denen einige bösartige Binärdateien wie ASyncRAT und vieles mehr bereitstellen.
Bei Betrachtung der ASNs ist zu erkennen, dass der C2-Server seit dem Aktivierungsdatum rotiert. Die Liste sieht wie folgt aus.
| ASN | Geolokalisierung | Eigentümer |
| AS13335 | USA | Cloudflare Net |
| AS35916 | USA | MULTA-ASN1 |
| AS135377 | Hongkong | UCLOUD-HK-AS-AP UCLOUD INFORMATION TECHNOLOGY HK LIMITED |
| AS174 | USA | COGENT-174 |
| AS47846 | Deutschland | SEDO-AS |
| AS8560 | 🌍 Unbekannt | IONOS-AS |
Fazit
Wir haben herausgefunden, dass ein Bedrohungsakteur die Baltische Technische Universität mit einem forschungsorientierten Köder ins Visier nimmt. Dabei nutzt er einen .NET-Dropper zum Shellcode-Loader und liefert schließlich ein Cobalt Strike-Implantat in den Arbeitsspeicher. Die Analyse der gesamten Kampagne und der vom Bedrohungsakteur eingesetzten TTPs lässt darauf schließen, dass der Bedrohungsakteur bereits seit einigen Monaten (im Dezember 2024) mit seinen Angriffen begonnen hat.
SEQRITE Schutz.
- Trojan.Ghanarava.1738100518c73fdb
- Trojan.Ghanarava.1735165667615275
IOCs.
| MD5 | Dateiname |
| ab310ddf9267ed5d613bcc0e52c71a08 | Исх 3548 о ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ ВОЕНМЕХ. Д.Ф. Устинова.rar |
| fad1ddfb40a8786c1dd2b50dc9615275 | SystemsUpdaters.exe |
| cac4db5c6ecfffe984d5d1df1bc73fdb | OneDrives_v2_1.exe |
C2
| phpsymfony[.]com |
| hxxps://phpsymfony[.]com/css3/index2.shtml |
MITRE ATT&CK.
| Taktik | Technik-ID | Name |
| Erster Zugriff | T1566.001 | Phishing: Spear-Phishing-Anhang
|
| Ausführung | T1204.002
T1053.005 |
Benutzerausführung: Schädliche Datei
Geplante Aufgabe. |
| Beharrlichkeit | T1547.001 | Registrierungsschlüssel ausführen / Startordner |
| Verteidigungsflucht | T1036 T1027.009 T1055.004 T1497.003 |
Maskieren Eingebettete Nutzlasten. Asynchroner Prozeduraufruf Zeitbasiertes Ausweichen |
| Command and Control | T1132.001 | Datenkodierung: Standardkodierung |
Autoren
- Subhajeet Singha
- Sathwik Ram Prakki
