Ande Loader-Malware verbreitet sich über Phishing
Es wurde beobachtet, dass der Bedrohungsakteur Blind Eagle eine Loader-Malware namens Ande Loader einsetzt, um Fernzugriffstrojaner (RATs) wie Remcos RAT und NjRAT zu verbreiten. Berichten von eSentire zufolge richteten sich diese durch Phishing-E-Mails initiierten Angriffe speziell gegen spanischsprachige Personen im verarbeitenden Gewerbe in Nordamerika.
Blind Eagle, auch bekannt als APT-C-36, ist ein finanziell motivierter Bedrohungsakteur mit einer Erfolgsbilanz bei der Durchführung von Cyberangriffen gegen Ziele in Kolumbien und Ecuador und liefert verschiedene RATs, darunter AsyncRAT, BitRAT, Lime RAT, NjRAT, Remcos RAT und Quasar-RATTE. Die jüngsten Erkenntnisse deuten auf eine Ausweitung der Angriffsstrategie des Bedrohungsakteurs hin und nutzen Phishing-Taktiken mit RAR- und BZ2-Archiven, um den Infektionsprozess einzuleiten.
Ande Loader-Infiltrationsmethode
Die durch Kennwörter geschützten RAR-Archive enthalten eine schädliche Visual Basic Script (VBScript)-Datei, die dafür verantwortlich ist, eine Persistenz im Windows-Startordner herzustellen und den Ande Loader zu starten, der dann die Remcos RAT-Nutzlast lädt. Alternativ wird bei einer anderen beobachteten Angriffsmethode ein BZ2-Archiv mit einer VBScript-Datei über einen CDN-Link (Content Delivery Network) von Discord verteilt, wobei Ande Loader NjRAT anstelle von Remcos RAT ablegt.
eSentire stellte fest, dass Blind Eagle Crypter verwendet hat, die von Personen namens Roda und Pjoao1578 entwickelt wurden. Einer von Rodas Cryptern enthält einen fest codierten Server, auf dem sowohl Injektorkomponenten des Crypters als auch zusätzliche Malware gehostet werden, die in der Blind Eagle-Kampagne verwendet wird.
Diese Entwicklungen fallen mit der Offenlegung einer anderen Loader-Malware-Familie namens DBatLoader durch SonicWall zusammen, die einen legitimen, aber anfälligen Treiber im Zusammenhang mit der RogueKiller AntiMalware-Software (truesight.sys) ausnutzt, um Sicherheitslösungen bei einem Bring Your Own Vulnerable Driver (BYOVD)-Angriff letztendlich zu deaktivieren Lieferung von Remcos RAT.
