Inhalte
- Einführung
- Hauptziele
- Betroffene Branchen
- Geografischer Fokus
- Infektionskette
- Erste Erkenntnisse
- Ein Blick in das Lockvogeldokument
- Technische Analyse
- Phase 1 – Erstinfektion über die LNK-Datei
- Phase 2 – Analyse des PowerShell-Downloaders
- Phase 3 – Der .NET Dropper – Analyse von Document.exe
- Phase 4 – Köderlieferung und SheetAgent-RAT-Analyse
- Infrastruktur und Zuordnung
- Fazit
- SEQRITE Schutz
- Kompromissindikatoren (IOCs)
- MITRE ATT&CK-Mapping
- Autoren
Einführung
Das Seqrite Das APT-Forschungsteam überwacht kontinuierlich Bedrohungskampagnen, die weltweit auf Organisationen und Einzelpersonen abzielen. Im Rahmen unserer jüngsten Aktivitäten zur Bedrohungsanalyse identifizierten wir eine ausgeklügelte Kampagne, die es auf indische Regierungsstellensuchende abgesehen hatte. Der Angreifer nutzte eine laufende Stellenausschreibung der indischen Regierung für leitende Außendienstpositionen im Kabinettssekretariat als Köder, um potenzielle Opfer anzulocken.
Die Schadsoftware wird über eine ZIP-Datei verbreitet, die mehrere für die Infektionskette notwendige Dateien enthält, darunter eine schädliche LNK-Verknüpfung, ein PowerShell-Skript und eine ausführbare Datei. Während des Angriffs missbraucht der Angreifer außerdem das legitime RMM-Tool ControlR und Google-Dienste.
In diesem Blogbeitrag analysieren wir die finale Payload, die wir SheetAgent RAT genannt haben, detailliert. Wir untersuchen die Token und Schlüssel, die zur Kommunikation mit Google Drive und Google Sheets verwendet wurden, und die Infrastruktur der Kampagne, die mehrere Panels umfasst. Abschließend ordnen wir die beobachteten Techniken dem MITRE ATT&CK-Framework zu und nutzen diese Erkenntnisse, um den wahrscheinlichen Angreifer hinter der Kampagne zu identifizieren.
Hauptziele
Betroffene Branchen
- Regierung / Öffentlicher Sektor
- Bildung & Wissenschaft
- Technologie & Software
Geografischer Fokus
- Indien
Infektionskette
Erste Erkenntnisse
Das Seqrite Unser Team verfolgt Bedrohungen gegen Indien und hat kürzlich eine Malware-Kampagne identifiziert, die gezielt die indische Regierung und den Arbeitsmarktsektor ins Visier nimmt. Im Zuge unserer Bedrohungsanalyse stießen wir auf ein ZIP-Archiv namens „Approved Documents 2026.pdf.zip“. Auf den ersten Blick wirkte es wie eine Datei zur Dokumentenprüfung. Bei genauerer Betrachtung des Archivinhalts fanden wir jedoch drei Dateien unterschiedlicher Art.
Das Archiv enthielt die folgenden Dateien: Document.exe, Document-24062026-Y6352634.lnk und JT-agenda.ps1.
Die Infektion beginnt mit der LNK-Datei, die mit einem Microsoft Edge-Browsersymbol getarnt ist und somit wie ein legitimes Dokument aussieht. Wir haben außerdem festgestellt, dass die LNK-Datei das PowerShell-Skript (JT-agenda.ps1) startet, welches wiederum die ausführbare Datei (Document.exe) aufruft. Diese werden wir im folgenden Abschnitt analysieren.
In diesem Abschnitt untersuchen wir das im Rahmen der Kampagne verwendete Köderdokument. Dieses Dokument wird in der zweiten Phase der Infektion vom Command-and-Control-Server (C2-Server) des Angreifers heruntergeladen und dient dazu, das Opfer abzulenken, während die Schadsoftware im Hintergrund ausgeführt wird.
Ein Blick in das Lockvogeldokument
Das in dieser Kampagne verwendete Köderdokument wird auf einer verdächtigen Domain gehostet, die zur IP-Adresse des Angreifers (38[.]242[.]157[.]89) aufgelöst wird. Das Dokument scheint eine eingescannte Kopie der „Employment News“ einer bekannten indischen Zeitung zu sein, die Stellenangebote und Karriereinformationen im öffentlichen Dienst veröffentlicht. Im Header wird die offizielle Website www.employmentnews.gov.in angezeigt, und die Ausgabe ist auf den 13.–19. Juni 2026 datiert.
Bei der fingierten Anzeige handelt es sich um eine Stellenausschreibung für leitende technische Außendienstmitarbeiter im Kabinettssekretariat der indischen Regierung. Sie enthält detaillierte Informationen wie Zulassungsvoraussetzungen, erforderliche Bildungsabschlüsse, Altersgrenze, Anzahl der freien Stellen, GATE-Punktzahl, Bewerbungshinweise und Bewerbungsfrist.
Im nächsten Abschnitt werden wir die technischen Aspekte der in der Kampagne verwendeten Dateien analysieren und den Bedrohungsakteur anhand der während unserer Analyse identifizierten TTPs zuordnen.
Technische Analyse
Die technische Analyse ist in vier Phasen unterteilt. Zuerst analysieren wir die schädliche LNK-Datei, dann das PowerShell-Skript. Anschließend untersuchen wir den .NET-Loader (Document.exe) und schließlich die abgelegten Dateien Document.lnk und SheetAgent (agent.exe).
Phase 1 – Erstinfektion über die LNK-Datei
Nach dem Entpacken von „Approved Documents 2026.pdf.zip“ stellten wir fest, dass nur eine Datei, „Document-24062026-Y6352634.lnk“, für das Opfer sichtbar war. Die beiden anderen Dateien, „Document.exe“ und „JT-agenda.ps1“, waren als versteckt markiert und somit in den Standardeinstellungen des Windows-Explorers nicht sichtbar.
Bei der Analyse der LNK-Datei stellten wir fest, dass ihre Beschreibung auf „ControlR-Agent installieren“ eingestellt war, was mit den späteren Stadien der Infektion übereinstimmt, in denen der ControlR-Agent installiert wird. Wie bereits erwähnt, stellten wir fest, dass die Angreifer das Standard-LNK-Symbol durch das Symbol des Microsoft Edge-Browsers ersetzten, um die Datei als legitim erscheinen zu lassen.
Beim Blick auf den im LNK-File eingebetteten Befehl stellten wir fest, dass er powershell.exe aufruft, um JT-agenda.ps1 auszuführen. Das Skript wird im versteckten und nicht-interaktiven Modus gestartet.
Phase 2 – Analyse des PowerShell-Downloaders
Die LNK-Datei startet JT-agenda.ps1, welches die zweite Phase der Infektion darstellt. Bei der Untersuchung des Skripts stellten wir fest, dass es Folgendes aufruft: powershell.exe mit einem langen Base64-kodierten Befehl, der über den Parameter -EncodedCommand angegeben wird.
Nach der Entschlüsselung des eingebetteten Befehls stellten wir fest, dass das Skript den ControlR Agent Installer vom Server demo.controlr.app herunterlädt und im temporären Verzeichnis des Opfers speichert. Nach Abschluss des Downloads wird der Installer mit vordefinierten Installationsparametern ausgeführt, die den Rechner des Opfers automatisch in die ControlR-Instanz des Angreifers einbinden.
Der Befehl enthält drei wichtige Registrierungsparameter:
Mieter ID (d5eab065-bbe2-4178-9574-1cbac7e40c64)
Schlüsselgeheimnis (o3EdUNCztAZN8JOdSsTmezkOYz6tqnJgAHryon2ysg5vVhVDGNPJlKwUJCu826JRbmEMt-EqLKN1QbFwvBLHZw)
Schlüssel-ID (319fe2d0-027e-4435-8b29-52af76a1972b)
Nach der Analyse der heruntergeladenen ausführbaren Datei konnten wir bestätigen, dass es sich um ein legitimes, von Bitbound digital signiertes ControlR-Installationsprogramm handelt. Die Angreifer missbrauchen diese legitime Fernverwaltungssoftware, um dauerhaften Fernzugriff auf das System des Opfers zu erlangen.
Unsere Analyse legt nahe, dass die Ausführung des ControlR-Installationsprogramms dazu führen kann, dass das System des Opfers in die ControlR-Instanz des Angreifers eingebunden wird, was einen dauerhaften Fernzugriff ermöglicht. Nach der Einbindung kann der Angreifer das System fernsteuern, Befehle ausführen, Dateien übertragen und die Aktivitäten des Opfers überwachen.
Nach der Installation des ControlR-Agenten führt das PowerShell-Skript die zuvor extrahierte Datei Document.exe aus, die wir im nächsten Schritt analysieren.
Phase 3 – Der .NET Dropper – Analyse von Document.exe
Das dritte Stadium der Infektion beginnt mit der Hinrichtung von Document.exe, das durch das PowerShell-Skript gestartet wird.
Unsere erste Analyse von Document.exe mit Detect It Easy (DIE) ergab, dass es sich um eine 32-Bit-.NET-Anwendung handelt. Um die Funktionalität zu verstehen, analysierten wir die Binärdatei anschließend mit dnSpy.
Nach der Ausführung erstellt Document.exe ein Verzeichnis mit dem Namen %APPDATA%\Microsoft\WinSyncDefender\. Der Ordnername ähnelt stark einer legitimen Windows-Komponente und dient zum Speichern der für die späteren Phasen der Infektion benötigten Dateien.
Die Binärdatei extrahiert anschließend zwei eingebettete Ressourcen: agent.exe, die als eigentliche Nutzlast dient, und Document.lnk, die zum Anzeigen des Köderdokuments verwendet wird. Diese Ressourcen sind in die ausführbare Datei eingebettet und werden zur Laufzeit in das neu erstellte Verzeichnis geschrieben.
Im Rahmen unserer Analyse stellten wir fest, dass die Malware mithilfe zweier unterschiedlicher Methoden Persistenz herstellt, um sicherzustellen, dass die endgültige Nutzlast immer dann ausgeführt wird, wenn sich das Opfer im System anmeldet.
Der primäre Persistenzmechanismus basiert auf einer Windows-Aufgabe namens „WindowsDefenderSyncService“, die einem legitimen Windows-Dienst ähnelt. Die Malware erstellt dynamisch eine Aufgabe, die so konfiguriert ist, dass sie „agent.exe“ bei jeder Benutzeranmeldung und anschließend alle drei Minuten startet. Zur Registrierung der Aufgabe generiert die Malware eine temporäre XML-Konfigurationsdatei und importiert diese mit „schtasks.exe“.
Kann die geplante Aufgabe nicht erstellt werden, greift die Schadsoftware auf einen zweiten Persistenzmechanismus zurück, der den Windows-Autostartordner nutzt. Sie erstellt eine Verknüpfung namens WindowsDefenderSync.lnk, die auf die versteckte Datei agent.exe verweist, und platziert diese im Ordner %APPDATA%\Microsoft\Windows\Start Menu\Programs\Autostart\. Dadurch wird die Schadsoftware bei jeder Benutzeranmeldung automatisch ausgeführt.
Die Schadsoftware generiert ein temporäres VBScript, das mithilfe von WScript.Shell die LNK-Datei erstellt. Die Verknüpfung erhält die Beschreibung „Windows Netlogon System Synchronization Service“, um legitim zu wirken. Nach der Erstellung der Verknüpfung wird das VBScript über wscript.exe ausgeführt und anschließend gelöscht.
Als nächstes analysieren wir die beiden vom .NET-Programm abgelegten Dateien agent.exe und Document.lnk, um ihre Funktionalität zu verstehen.
Phase 4 – Köderlieferung und Analyse des Spritzmittels
Die beiden Dateien agent.exe und Document.lnk stellen die letzte Stufe der Infektionskette dar und erfüllen jeweils einen anderen Zweck. Wir werden zunächst den Inhalt der Datei Document.lnk analysieren.
Die Datei „Document.lnk“ dient der Anzeige des gefälschten Dokuments auf dem Bildschirm des Opfers. Sie startet „powershell.exe“, welches die gefälschte PDF-Datei vom Command-and-Control-Server (38[.]242[.]157[.]89) herunterlädt und als „document.pdf“ im temporären Verzeichnis des Benutzers speichert. Anschließend öffnet es die PDF-Datei sofort auf dem Bildschirm des Opfers. Wie in der Analyse des gefälschten Dokuments erläutert, wurde die PDF-Datei so gestaltet, dass sie indische Regierungsangestellte gezielt anspricht, indem sie als legitime Stellenausschreibung des Kabinettssekretariats getarnt ist.
Die zweite vom .NET-Loader abgelegte Datei ist agent.exe, die wir SheetAgent genannt haben. Nach dem Extrahieren auf das System des Opfers benennt der Loader sie um und führt sie als WindowsDefenderSyncService.exe aus. Diese ausführbare Datei ist ein spezieller, auf .NET basierender Remote-Access-Trojaner (RAT), der dem Angreifer als Backup-Befehls- und Kontrollkanal dient.
Der erste Schritt von SheetAgent ist die Authentifizierung bei Google Sheets. Die Malware enthält fest im Binärcode eingebettete Anmeldeinformationen für ein Google-Dienstkonto, darunter die Projekt-ID, die E-Mail-Adresse des Dienstkontos, die private Schlüssel-ID und den vollständigen privaten RSA-Schlüssel. Mithilfe dieser Anmeldeinformationen erstellt sie ein SheetsService-Objekt mit Zugriffsberechtigung auf die APIs von Google Sheets und Google Drive. Nach erfolgreicher Authentifizierung verbindet sie sich mit einem vom Angreifer kontrollierten Google Sheets-Dokument, das als Backup-Command-and-Control-Server (C2-Server) der Malware dient.
Im Rahmen unserer Analyse stellten wir fest, dass die Malware auf einem festen Google Sheets-Layout basiert, das direkt in die Binärdatei eingebettet ist. Jeder Spalte ist eine spezifische Funktion zugewiesen, die als Kommando- und Kontrollkanal (C2-Kanal) der Malware dient.
| Kolonne | Beschreibung |
| A | Speichert den Computernamen des Opfers |
| B | schreibt den aktuellen Zeitstempel |
| C | Enthält vom Angreifer ausgegebene Befehle |
| D | Speichert die Ausgabe ausgeführter Befehle. |
| E | Speichert die öffentliche IP-Adresse des Opfers |
| F | Speichert den aktuellen Status des Agenten, z. B. ONLINE oder FEHLER |
| H | Wird für Warnmeldungen verwendet |
| J | Leset URL-Überwachungsliste |
Die Schadsoftware nutzt das Google Sheets-Dokument, um alle infizierten Systeme zu erfassen. Beim ersten Start überprüft sie Folgendes: Spalte A Für den Rechnernamen des Opfers. Ist das System bereits aufgeführt, verwendet die Malware dieselbe Zeile. Andernfalls registriert sie das Opfer in der nächsten freien Zeile der Tabelle. Diese Zeile wird dann während der gesamten Infektion verwendet. Die Malware liest kontinuierlich die vom Angreifer in der Google-Tabelle eingegebenen Befehle, führt sie auf dem Rechner des Opfers aus und schreibt die Ergebnisse zurück in dieselbe Zeile.
Im Rahmen unserer Analyse stellten wir fest, dass agent.exe auch eine Reihe von Anti-Analyse-Techniken enthält.
Die Malware kombiniert mehrere Prüfungen mithilfe der Funktion IsRunningInVirtualMachine(). Insgesamt wendet die Malware 14 verschiedene Virtualisierungserkennungstechniken an.
Es überprüft mithilfe von WMI die Systemhersteller- und BIOS-Informationen, sucht nach virtualisierungsbezogenen Festplatten und Grafikkarten, sucht nach VMware- und VirtualBox-Prozessen, untersucht Registrierungsschlüssel auf Virtualisierungsartefakte, verifiziert MAC-Adresspräfixe, die mit virtuellen Maschinen verknüpft sind, und sucht nach VM-spezifischen Treibern und Installationsverzeichnissen.
Die Malware sucht außerdem nach Benutzernamen, die häufig in Analyseumgebungen verwendet werden, nach Artefakten im Zusammenhang mit Sandboxes wie Any.Run und Triage und erkennt virtualisierungsspezifische Geräte und Dienste.
Sobald eine dieser Prüfungen eine Analyseumgebung identifiziert, schaltet die Malware auf ihre Bereinigungsroutine um, anstatt ihre Ausführung fortzusetzen.
Die Bereinigungsroutine erstellt eine temporäre Batch-Datei namens cleanup.bat im Verzeichnis %TEMP%. Nach kurzer Verzögerung löscht das Skript die Malware-Datei, entfernt deren Konfigurationsdatei (service.json), löscht die Batch-Datei selbst und beendet sich anschließend.
Infrastruktur und Zuordnung
Im Zuge unserer Untersuchung analysierten wir auch die während der Kampagne genutzte Infrastruktur. Wir stellten fest, dass die Angreifer eine Kombination aus eigenen Servern und legitimen Cloud-Diensten nutzten, um Schadsoftware zu verbreiten, gefälschte Dokumente zu hosten und mit infizierten Systemen zu kommunizieren.
Im Rahmen unserer Untersuchung nutzten wir die in SheetAgent RAT (agent.exe) eingebetteten, fest codierten Anmeldeinformationen des Google-Dienstkontos, um uns bei den von der Malware genutzten Google Workspace-Ressourcen zu authentifizieren. Dies ermöglichte es uns, die über das Dienstkonto zugänglichen Google Drive-Inhalte zu untersuchen.
Das Dienstkonto (service@sheet12-500308.iam.gserviceaccount.com) gehört zum Google Cloud-Projekt sheet12-500308 und hat Zugriff auf Google Tabellen und Google Drive. Bei der Untersuchung des Kontos fanden wir im Stammverzeichnis zwei Ordner: R-MSI-00-15-5d-9b-ea-f9 und Data. Zum Zeitpunkt unserer Untersuchung waren beide Ordner jedoch leer, und wir konnten keine weiteren Dateien oder Artefakte darin feststellen.
Im Zuge unserer Untersuchung identifizierten wir außerdem das Gmail-Konto otp.applyanyjob@gmail.com, das mit der in dieser Kampagne verwendeten Google Workspace-Infrastruktur verknüpft ist. Dieses Konto war als Inhaber des Datenordners aufgeführt.
Wir stellten außerdem fest, dass die IP-Adresse 38[.]242[.]157[.]89 nicht nur für das Hosting des Köderdokuments verwendet wurde. Derselbe Server hostete auch mehrere webbasierte Verwaltungspanels auf verschiedenen Ports.
Wir stellten fest, dass auf den Ports 9000 und 7000 webbasierte Management-Panels gehostet wurden. Port 9000 hostete ein Panel namens SecureMonitor, während Port 7000 ein Dashboard namens PrivateRat hostete. Beide Schnittstellen erforderten eine Authentifizierung mit Benutzername und Passwort. Wir beobachteten außerdem, dass auf der PrivateRat-Anmeldeseite der Entwicklername „HeartMelt“ angezeigt wurde..
Wir haben außerdem ein weiteres webbasiertes Management-Panel identifiziert, das auf Port 8000 läuft. Ähnlich wie die anderen Schnittstellen erforderte es eine Authentifizierung, bevor der Zugriff gewährt wurde.
Aufgrund unserer Untersuchung gehen wir mit mittlerer Wahrscheinlichkeit davon aus, dass diese Kampagne mit APT36 in Verbindung steht. Die Kampagne zielt auf indische Regierungsjobsuchende ab und missbraucht legitime Dienste wie ControlR und Google Sheets, um sich Zugang zu verschaffen und diesen aufrechtzuerhalten. Sie verwendet zudem eine mehrstufige Infektionskette, einen Kommando- und Kontrollkanal sowie Persistenzmechanismen, die stark an die Vorgehensweise früherer APT36-Kampagnen erinnern.
Bei der Recherche zu ähnlichen Aktivitäten stießen wir auf einen Bericht von Zscaler ThreatLabz, der Folgendes beschreibt: Kampagne Diese verwendeten viele ähnliche Techniken, darunter die Nutzung von Google Sheets für die Befehls- und Kontrollverwaltung, .NET-basierte Malware und ähnliche Persistenzmechanismen.
Fazit
Produktion Schattenrekrut Es handelt sich um eine mehrstufige Malware-Kampagne, die über offizielle Stellenanzeigen auf indische Regierungsjobsuchende abzielt. Die Kampagne missbraucht die legitime Software ControlR für den Fernzugriff und eine eigens entwickelte, .NET-basierte Malware, die über Google Sheets als zusätzlichen Kommando- und Kontrollkanal kommuniziert.
Zusätzlich zur Malware-Infrastruktur entdeckten wir mehrere webbasierte Management-Panels, die auf demselben Server gehostet wurden, darunter SecureMonitor, PrivateRat und eine weitere Management-Oberfläche. Das PrivateRat-Panel zeigte außerdem den Entwicklernamen HeartMelt an.. Auf Grundlage unserer Ergebnisse schätzen wir mit mäßiger Sicherheit ein, dass diese Kampagne mit Folgendem in Verbindung steht: APT36.
SEQRITE Schutz
Lnk.Trojan.Loader.50884.GC
Script.Trojan.Dropper.50886.GC
Lnk.Trojan.Pantera.50898.SL
Lnk.Trojan.Pantera.50901.GC
Trojan.Agent.S39585887
Kompromissindikatoren (IOCs)
DateinameDateihash (SHA-256)
| Genehmigte Dokumente 2026.pdf.zip | 2b33b5185e93e1655eb27dbaa025d7ee088627db3d640fe4709be705646b189c |
| Document.exe | ee9dd2a180aea75af5c0eda16b83681c0a5fed451bfad6d5b3af85c3b62fa210 |
| Dokument-24062026-Y6352634.lnk | 434243e615b93a1b948c26ad55902bd78f9fa18e42375c15790634375c1ad3f4 |
| JT-agenda.ps1 | 70fe7576f20f5dd6a3d872753c922f1394d91487f5eabb417b240b83c22e31b2 |
| ControlR.Agent.Installer.exe | cf3f1bceb83fa3acefbabae4bdc275347cfe03dd7fc770052a33baef204a89f7 |
| MicrosoftSyncService.exe | b928e523b51187b932e48a65d36ce3d0c39ee9d409d493b90f98cf3d1e0e73b0 |
| Document.lnk | c4859db541b2bd0d266bbc44fafb5a767c862a57a3633a949dfaeebdf88ed529 |
| file.pdf | fd2ac3a761f66dc6954014532795f9108f65739f23e4b294d4563673b7996881 |
URLs
| hxxp://38[.]242[.]157[.]89/file.pdf |
| 38[.]242[.]157[.]89:9000/login |
| 38[.]242[.]157[.]89:7000/login |
| 38[.]242[.]157[.]89:8000/login |
MITRE ATT&CK-Mapping
TaktikTechnik-IDTechnikname
| Erster Zugriff | T1566.001 | Phishing: Spearphishing-Anhang |
| Ausführung | T1204.002 | Benutzerausführung |
| Ausführung | T1059.001 | Befehls- und Skriptinterpreter |
| Ausführung | T1106 | Native API |
| Beharrlichkeit | T1547.001 | Boot- oder Anmelde-Autostart-Ausführung |
| Beharrlichkeit | T1053.005 | Geplante Aufgabe |
| Privilegien Eskalation | T1548.004 | Missbrauch des Höhenkontrollmechanismus |
| Verteidigungsflucht | T1036.005 | Maskieren |
| Verteidigungsflucht | T1140 | Daten entschlüsseln/dekodieren |
| Verteidigungsflucht | T1027.011 | Verschleierte Dateien oder Informationen |
| Verteidigungsflucht | T1564.001 | Artefakte ausblenden |
| Verteidigungsflucht | T1070.004 | Blinker entfernen |
| Verteidigungsflucht | T1497.001 | Virtualisierung/Sandbox-Umgehung |
| Bewertung | T1082 | Systeminformationserkennung |
| Bewertung | T1614.001 | Erkennung des Systemstandorts |
| Exfiltration | T1041 | Exfiltration über C2-Kanal |
Autoren
Priya Patel
Kartik Jivani
Shrutirupa Banerjiee
