Inhalte

• Einführung
• Hauptziele
  • Betroffene Branchen
  • Geografischer Fokus
• Infektionskette.
• Erste Erkenntnisse
  • Blick in das Lockvogel-Dokument
• Technische Analyse
  • Stufe 1 – Schädliche ISO-Datei
  • Phase 2 – Schadhafte LNK-Datei
  • Phase 3 – Endgültige Nutzlast: FALSECUB
• Infrastruktur und Zuordnung
• Fazit
• SEQRITE Schutz.
• IOCs
• MITRE ATT&CK.
• Autoren

Einführung

Das SEQRITE Das Labs APT Team analysiert Bedrohungen in verschiedenen Regionen und verfolgt seit Kurzem eine Angreifergruppe, die afghanische Regierungsangestellte ins Visier nimmt. Die Angreifer nutzen ein gefälschtes Dokument, das einem offiziellen Regierungsdokument nachempfunden ist, um Ministerien und Verwaltungsstellen anzugreifen. In diesem Blogbeitrag erläutern wir die gesamte Infektionskette dieser Kampagne sowie die operativen Sicherheitslücken der Angreifer. Wir zeigen außerdem auf, wie die Angreifer auf kleinste Details im Dokument geachtet haben, um es wie eine authentische Mitteilung der afghanischen Regierung aussehen zu lassen.

Die Analyse dieser Operation gliedert sich in drei Teile. Zunächst konzentrieren wir uns auf das Verständnis des Köderdokuments selbst und analysieren anschließend die technischen Details einer ISO-Datei mit einer LNK-Datei, die zur Ausführung der eigentlichen Schadsoftware dient. Die ausführbare Schadsoftware wird umbenannt, um wie eine Bilddatei auszusehen und so ihre schädliche Natur zu verschleiern. Abschließend untersuchen wir die Infrastruktur- und Sicherheitslücken, die zur Lokalisierung des Angreifers geführt haben.

Hauptziele

Betroffene Branchen

• Organisationen des Regierungssektors

Geografischer Fokus

• Afghanistan

Infektionskette

Erste Erkenntnisse

Am 23. Dezember entdeckten wir die Malware-Probe zunächst durch unsere eigenen Telemetriedaten. Am 24. Dezember fanden wir dieselbe Probe auf der Malware-Plattform VirusTotal. Die Probe wurde über einen GitHub-Link hochgeladen, der mit TinyURL gekürzt worden war. Der Dateiname lautete „Afghanistan Islami Emirates.iso“.

Die ISO-Datei enthält drei Dateien. Die LNK-Datei „Doc.pdf.lnk“ dient dazu, dem Opfer die PDF-Datei anzuzeigen und die Schadsoftware auszuführen. Die PDF-Datei „doc.pdf“ enthält den Köder mit Regierungsbezug. Die eigentliche Schadsoftware ist eine ausführbare C++-Datei, die wir in den folgenden Abschnitten analysieren werden. Betrachten wir nun das Köderdokument genauer.

Blick in das Lockvogel-Dokument

Bei genauerer Betrachtung des gefälschten Dokuments stellten wir fest, dass es einem offiziellen Schreiben der afghanischen Regierung, ausgestellt vom Büro des Premierministers, ähnelt. Das Dokument ist in Paschtu verfasst und entspricht den üblichen Formvorschriften der Regierung, wie z. B. offiziellen Logos, Datumsangaben, Referenznummern und einer formellen Sprache.

Im Kopf des gefälschten Dokuments wird behauptet, es stamme vom Islamischen Emirat Afghanistan, genauer gesagt vom Verwaltungsbüro des Premierministers und dessen Direktion für Dokumenten- und Kommunikationsmanagement.

Das Dokument beginnt mit einer religiösen Einleitung und wendet sich formell an angesehene Ministerien und Verwaltungsbehörden. Der Hauptteil enthält offizielle Anweisungen zu finanziellen Zahlungen und setzt eine klare Frist, wodurch Dringlichkeit erzeugt und Druck auf die Betroffenen ausgeübt wird – in diesem Fall vermutlich Regierungsbeamte des Islamischen Emirats Afghanistan. Das Dokument endet mit einem Unterschriftenfeld, in dem ein hochrangiger Beamter aus dem Büro des Premierministers genannt wird, um das Vertrauen der anvisierten Personen zu gewinnen.

Im nächsten Abschnitt widmen wir uns der technischen Analyse der Malware der zweiten Stufe und konzentrieren uns dabei auf die LNK-Datei und wie diese die endgültige Nutzlast mit dem Namen img.jpg ausführt, bei der es sich tatsächlich um eine ausführbare Datei handelt.

Technische Analyse

Wir haben beschlossen, die technische Analyse und die Perspektiven der Kampagne in drei Teile zu unterteilen. Der erste Teil befasst sich mit der schädlichen containerbasierten Datei, der ISO-Datei. Anschließend untersuchen wir die schädliche Verknüpfungsdatei (.LNK). Zuletzt betrachten wir das schädliche Implantat, das wir FALSECUB genannt haben.

Phase 1: Schadsoftware in der ISO-Datei

Wir identifizierten die erste Datei, bekannt als افغانستان اسلامی امارت.iso, die sich nach der Übersetzung als AfghanistanIslamiEmirates.iso herausstellte. Wir gehen davon aus, dass der Angreifer eine ISO-basierte Zugriffsdatei nutzte, um gängige Sicherheitsvorkehrungen für E-Mails und Endgeräte zu umgehen, da Windows ISO-Dateien als virtuelle Laufwerke einbindet und so häufig verhindert, dass eingebettete Schadsoftware die Einschränkungen des Mark-of-the-Web erbt.

Bei der weiteren Extraktion des Inhalts aus der ISO-Datei stellten wir drei Dateien fest: die erste ist der Köder, den wir im obigen Abschnitt analysiert haben, und die beiden anderen Dateien sind die bösartige Verknüpfungsdatei und das bösartige FALSECUB-Implantat mit einer gefälschten .jpg-Erweiterung.

Phase 2: Schadhafte LNK-Datei

In diesem nächsten Schritt untersuchten wir die Datei Doc.pdf.lnk und stellten fest, dass diese ausgeführt wird, um die bösartige Malware FALSECUB auszuführen.

Zunächst öffnet es das Köderdokument auf dem Bildschirm des Ziels und führt anschließend einige interessante Aufgaben aus, wie beispielsweise das Kopieren des Inhalts der Datei img.jpg aus dem Verzeichnis in ein anderes Verzeichnis, nämlich C:\\ProgramData\\.

Nach dem Kopieren der Datei wird mithilfe des Befehls `mklink` ein Hardlink im Autostart-Ordner unter dem Namen `searchmgr.exe` erstellt, um die Persistenz zu gewährleisten. Dadurch verbindet sich das Implantat bei jedem Systemstart mit dem Command-and-Control-Server des Angreifers. Sobald die Persistenz eingerichtet ist, wird das Implantat mit dem Befehl `start` erfolgreich ausgeführt.

Der Zweck dieser LNK-Datei besteht also darin, den PDF-Köder zu öffnen, durch das Erstellen eines Hardlinks Persistenz unter StartUp herzustellen und anschließend das Implantat auszuführen. Im nächsten Abschnitt werden wir das FALSECUB-Implantat genauer betrachten.

Phase 3 – Endgültige Nutzlast: FALSECUB

Nachdem wir die Datei img.png in das Analysetool geladen hatten, stellten wir fest, dass es sich um eine in C++ programmierte Binärdatei mit dem Zeitstempel 11.12.2025 handelt. Dies verdeutlicht, dass die in der schädlichen ISO-Datei enthaltene Datei eine ausführbare Datei ist, die wir als FALSECUB-Malware identifizieren.

Als wir dann mit der Analyse des Inneren der Malware begannen, stellten wir fest, dass der Code einige Anti-Analyse-Funktionen enthält.

Bei der Analyse der Funktion stellten wir fest, dass sie bestimmte APIs wie GetTickCount64 verwendet, um zu ermitteln, ob die Probe debuggt, ausgeführt oder in einer Analyseumgebung läuft. Weiterhin wird die API GlobalMemoryStatusEx genutzt, um den gesamten verfügbaren physischen Speicher des Zielrechners zu überprüfen, insbesondere wenn die Anwendung in einer Analyseumgebung ausgeführt wird, da diese im Vergleich zum Hauptrechner üblicherweise nicht über ausreichend physischen Speicher verfügt. Schließlich wird auch die API IsDebuggerPresent verwendet, um zu prüfen, ob die Malware auf dem Zielrechner debuggt wird.

Sobald die Prüfungen bestätigt waren, gab es mehrere Sleep-APIs mit jeweils einem bestimmten Zeitrahmen, die die Malware in den Ruhemodus versetzen oder anhalten würden, bevor sie beendet wird.

Nach Abschluss der Anti-Analyse-Phase dieser Malware wird anschließend eine Verbindung zum Command-and-Control-Framework hergestellt, indem die C2-Adresse innerhalb der Funktion festgelegt wird.

Sobald die Adresse des C2-Knotens festgelegt ist, versucht dieser, eine Verbindung zum Server herzustellen. Sollte die Verbindung zum Server fehlschlagen, wird der Vorgang einfach abgebrochen.

Im nächsten Teil dieses Codes werden dann, falls die C2-Verbindung betriebsbereit ist, die Befehle des Bedrohungsakteurs empfangen und bestimmte Aufgaben ausgeführt. Die Befehle, die dieses Implantat empfängt, sind in bestimmten numerischen IDs hinterlegt.

Die erste Funktion in Bezug auf die Enumeration besteht darin, dass dieses Implantat den Benutzernamen und den Namen des Zielrechners mithilfe von APIs wie GetUserNameW und GetComputerNameW ermittelt. Darüber hinaus ermittelt es auch die Windows-Version des Zielrechners.

Als nächstes, mit Blick auf das zweite Feature, listet die Malware mithilfe der API namens GetDriveTypeW alle möglichen Laufwerke auf.

Sobald die oben genannten Daten gesammelt sind, wird eine Funktion aus der C++-Bibliothek namens _beginthreadex verwendet, wobei die StartAddress im Wesentlichen den Code zum Exfiltrieren der gesammelten Daten enthält.

Die Schadsoftware führt Datenexfiltration durch, indem sie einen curl-Befehl in mehreren Schritten erstellt. Zunächst wird der Befehl im stillen Modus ausgeführt, um jegliche Ausgabe zu verbergen. Anschließend werden mehrere benutzerdefinierte HTTP-Header hinzugefügt. Diese Header dienen dazu, Authentifizierungsdaten und grundlegende Opferinformationen zu senden, wie beispielsweise einen fest codierten Zugriffsschlüssel, den aktuellen Benutzernamen, den Computernamen und einen Base64-kodierten Wert, der sich auf die Zieldatei bezieht.

Nach dem Setzen der Header fügt die Malware die Option `--data-binary` hinzu, die direkt auf die Datei auf der Festplatte verweist. Dadurch können die Rohdaten der Datei an einen entfernten `/upload/`-Endpunkt hochgeladen werden, der auf einem nicht standardmäßigen Port läuft. Der fertige Befehl wird anschließend mit `CreateProcessW` und dem Flag `CREATE_NO_WINDOW` ausgeführt, sodass er im Hintergrund läuft und keine Konsole anzeigt. Nach Abschluss der Ausführung entfernt die Malware Prozesshandles und temporäre Puffer, um Spuren im System zu minimieren.

Das nächste Merkmal dieser Malware ist, dass sie alle Dateien und Inhalte im Desktop-Verzeichnis sowie im Dokumentenverzeichnis auflistet und diese mithilfe des oben genannten Exfiltrationsmechanismus exfiltriert.

Und schließlich, sobald die Malware den Befehl zum Beenden empfängt, greift sie im Grunde auf die Beendigungsmethode zurück, bei der sie sich mit closesocket beendet.

Damit wären die technischen Fähigkeiten dieses Implantats beschrieben. Im nächsten Abschnitt werden wir uns mit den infrastrukturellen Details und dem Arsenal des Bedrohungsakteurs befassen.

Infrastruktur und Zuordnung

Während der Analyse stellten wir fest, dass die Malware versucht, Verbindungen zu mehreren IP-Adressen und Domänen herzustellen.

Eine der IP-Adressen ist 104[.]18[.]38[.]233 und gehört zu Cloudflare.

Eine weitere IP-Adresse, zu der das FALSECUB-Implantat eine Verbindung herzustellen versucht, ist 207[.]244[.]230[.]94. Weitere Analysen mit FOFA ergaben, dass auf dieser IP-Adresse der Remote Desktop Protocol (RDP)-Dienst auf Port 3389 läuft. Basierend auf dieser Beobachtung ist es möglich, dass diese IP-Adresse zur Interaktion mit oder zum Zugriff auf den Zielrechner verwendet wird.

Darüber hinaus wird die Domain theepad0loc93x.ddns.net über einen dynamischen DNS-Dienst gehostet, was es dem Angreifer ermöglicht, die zugrunde liegende IP-Adresse zu ändern, während der gleiche Domainname aktiv bleibt.

Die bösartigen Infrastrukturen werden unter den ASN-Nummern AS 40021 und AS 13335 von den Organisationen CONTABO und CLOUDFLARENET gehostet.

Im Zuge unserer Recherchen zu den Bedrohungskampagnen, die dieser Kampagne zugrunde liegen, haben wir ein GitHub-Konto gefunden, von dem die Beispieldatei hochgeladen wurde.

Das GitHub-Konto trägt den Namen afghanking777000 und wurde am 23. Dezember erstellt. Unseren Beobachtungen zufolge wurde das Konto offenbar von dem Angreifer als Ablageplattform genutzt, und nach Abschluss der Operation wurde die Schadsoftware aus dem Repository entfernt.

Nachdem wir den Namen des Bedrohungsakteurs verfolgt hatten, stellten wir fest, dass die hinter dieser Kampagne stehende Organisation offenbar umfangreiche Recherchen über die afghanische Regierung und prominente, mit den Taliban verbundene Organisationen durchgeführt hatte.

Wir haben mehrere von diesem Akteur auf der Social-Media-Plattform Scribd veröffentlichte Rechts- und Verwaltungsdokumente gefunden, darunter Richtlinien der afghanischen Regierung, Mitteilungen des Verteidigungsministeriums sowie US-Dokumente zu Asyl und Menschenrechten mit Bezug zu Afghanistan. Es ist möglich, dass dieser Akteur diese Dokumente als Köder in seinen Kampagnen einsetzt.

Weitere Pinterest- und Dailymotion-Konten mit dem Nutzernamen „afghan Khan“ wurden identifiziert. Interessanterweise ist eines davon mit Pakistan verknüpft. Die VirusTotal-Telemetrie zeigt, dass die ursprüngliche Kurz-URL aus Pakistan hochgeladen wurde und auf das versteckte GitHub-Repository des Angreifers weiterleitete. Das Pinterest-Konto war zuletzt am 14. Mai 2025 aktiv.

Die Kampagne scheint von einem regional agierenden Akteur mit geringer bis mittlerer technischer Raffinesse durchgeführt zu werden. Die Wiederverwendung von Identitäten ist ein Sicherheitsfehler, der eher auf einen Einzeltäter oder eine kleine Gruppe als auf eine ausgereifte, staatlich geförderte APT-Gruppe hindeutet.

Fazit

Das SEQRITE Das APT-Team hat eine Kampagne identifiziert, die wie folgt verfolgt wird: Nomad Leopard Die Kampagne zielt auf Afghanistan ab, und wir gehen davon aus, dass sie auch andere Länder im Visier hat. Der Angreifer missbraucht legitime Plattformen wie GitHub, um Schadsoftware zu hosten und zu verbreiten. Beobachtungen in sozialen Medien deuten darauf hin, dass der Angreifer zwar nicht besonders raffiniert agiert, aber über mehrere juristische und behördliche Dokumente verfügt, die als Köder dienen könnten. Wir vermuten, dass diese Dokumente in zukünftigen Kampagnen eingesetzt werden.

SEQRITE Schutz

Trojan.Agentb

Lnk.Trojan.50326.GC

Lnk.Trojan.50327.SL

Lnk.Trojan.50326.GC

IOCs

Hash (SHA-256)	Malware-Typ
f817f65edbc77f7bbdd6e4f469e82c0e770b7e221bdb348f366a475a8a39242b	EXE-Datei
63f6c85fc16b346cc3f18da9380aee6ffbb3e735863e2e8f118f38737e0d1348	ISO-Datei
6c8936fea2fe9cbbcc6135941ac5fb6ea7819530a0914d8c0f39a015c0f2055d	LNK-Datei
5838c834482fb54f8a642d92e4ece7bbde03e161c2d02c4e70edbe05c8190955	PDF Datei
Host-/IP-Adressen
104 [.] 18 [.] 38 [.] 233
207 [.] 244 [.] 230 [.] 94
theepad0loc93x[.]ddns[.]net
hxxps://tinyurl.com/3hjb6f95
hxxps://raw.githubusercontent[.]com/afghanking777000/-/refs/heads/main/Afghanistan%20Islami%20Emirates.iso

MITRE ATT & CK

Taktik	Technik-ID	Technikname
Erster Zugriff	T1566.001	Phishing: Spearphishing-Anhang
	T1204.002	Benutzerausführung: Schädliche Datei
Verteidigungsflucht	T1553.005	Umgehung von Vertrauenskontrollen: Mark-of-the-Web-Bypass
	T1070.004	Entfernung des Indikators auf dem Host: Dateilöschung
	T1497.001	Sandbox-Umgehung: Systemprüfungen
Ausführung	T1059.003	Befehls- und Skriptinterpreter: Windows-Befehlsshell
	T1204.002	Benutzerausführung: Bösartige Verknüpfung
Beharrlichkeit	T1547.001	Automatische Ausführung beim Anmelden: Autostart-Ordner
Bewertung	T1082	Systeminformationserkennung
	T1033	Erkennung des Systembesitzers/Benutzers
	T1083	Datei- und Verzeichniserkennung
	T1086	Datenträgeraufzählung
Command and Control	T1071.001	Application Layer Protocol: Webprotokolle
	T1573	Verschlüsselter Kanal (via HTTPS / curl-basierter Upload)
Exfiltration	T1041	Exfiltration über C2-Kanal
	T1020	Automatisierte Exfiltration
Auswirkungen	T1485	Datenvernichtung

Autoren

Sathwik Ram Prakki

Priya Patel