PureCrypter-Malware, die über Discord verbreitet wird

Das Sicherheitsunternehmen Menlo Labs hat eine Warnung über einen Bedrohungsakteur herausgegeben, der den PureCrypter-Downloader verwendet, um verschiedene Arten von Malware an Regierungsbehörden in den Regionen Asien-Pazifik und Nordamerika zu verteilen.

Als Teil dieser Angriffe verwenden die Angreifer Discord für Verteilungszwecke, während die Domain einer beschlagnahmten gemeinnützigen Organisation als Command-and-Control-Server (C&C) dient, um eine sekundäre Nutzlast zu hosten. Die gezielten Opfer werden von einer Reihe von Bedrohungen getroffen, darunter Redline Stealer, AgentTesla, Eternity, Blackmoon und Philadelphia-Ransomware. PureCrypter ist ein ausgeklügelter Downloader, der Persistenz bietet und seit März 2021 erhältlich ist.

Die Bedrohung ist in .NET geschrieben, unterstützt verschiedene Injektionsarten und Abwehrmechanismen und kann mit gefälschten Nachrichten und zusätzlichen Dateien angepasst werden. In der aktuellen Kampagne hosten die Angreifer PureCrypter auf Discord und senden per E-Mail einen Link zur Nutzlast an die beabsichtigten Ziele, während sie den Downloader in passwortgeschützten ZIP-Dateien verstecken, um bestehende Abwehrmaßnahmen zu umgehen. Sobald der PureCrypter-Loader auf dem System ausgeführt wird, versucht er, eine sekundäre Nutzlast von der Website einer beschlagnahmten gemeinnützigen Organisation abzurufen.

Die Nutzlast wurde als AgentTesla Information Stealer identifiziert, der mit einem FTP-Server in Pakistan kommuniziert, um Opferdaten zu exfiltrieren. Menlo stellt fest, dass auf den Server wahrscheinlich mit kompromittierten Anmeldeinformationen zugegriffen wurde, die online gefunden wurden.

Warum verwenden Bedrohungsakteure legitime Plattformen von Drittanbietern, um Malware zu verbreiten?

Bedrohungsakteure verwenden legitime Plattformen von Drittanbietern wie Discord, um Malware zu verbreiten, da diese Plattformen ein gewisses Maß an Anonymität bieten und es Sicherheitslösungen erschweren, böswillige Aktivitäten zu erkennen und zu blockieren. Durch die Nutzung dieser Plattformen können die Angreifer gefälschte Konten erstellen oder legitime Konten nutzen, um bösartige Links oder Dateien zu verbreiten, die oft als harmlose Inhalte getarnt sind. Darüber hinaus bietet die Verwendung von Plattformen von Drittanbietern den Angreifern Zugang zu einer großen Anzahl potenzieller Opfer, was es ihnen erleichtert, anfällige Systeme zu finden und anzugreifen.

Darüber hinaus verwenden Angreifer häufig legitime Domains als Command-and-Control-Server (C&C), um der Erkennung zu entgehen, da der Datenverkehr zu diesen Domains mit geringerer Wahrscheinlichkeit von Sicherheitslösungen blockiert wird.

Insgesamt ermöglicht die Verwendung legitimer Plattformen von Drittanbietern, Sicherheitsmaßnahmen zu umgehen und ihre Malware effektiver an die Opfer zu liefern.