KamiKakaBot zielt auf asiatische Regierungsbehörden ab
Im Februar 2023 entdeckten Forscher von EclecticIQ eine Reihe von Malware namens KamiKakaBot.
Es wurde festgestellt, dass diese Malware-Instanzen auf Regierungseinrichtungen in ASEAN-Ländern abzielten. Es wurde beobachtet, dass die Angriffe, die im Februar stattfanden, denen ähnelten, die von Group-IB im Januar 2023 gemeldet wurden, wo die Angreifer ISO-Images verwendeten, um KamiKakaBot über eine DLL-Seitenladetechnik bereitzustellen. In der Februar-Kampagne wurde die Verschleierungsroutine jedoch verbessert, um Anti-Malware-Maßnahmen besser zu umgehen. Durch die Identifizierung mehrerer Überschneidungen konnten die Analysten von EclecticIQ die Angriffe der in der ASEAN-Region aktiven Dark Pink APT-Gruppe zuordnen.
Es wird angenommen, dass die Dark Pink-Gruppe Mitte 2021 ihre Tätigkeit aufgenommen hat und ihre Aktivitäten im Jahr 2022 verstärkt hat. Die Hauptfunktion von KamiKakaBot besteht darin, in Webbrowsern gespeicherte Daten wie gespeicherte Anmeldeinformationen, Browserverlauf und Cookies zu stehlen. Die Entwickler von KamiKakaBot verwenden verschiedene Techniken, um unentdeckt zu bleiben, während sie böswillige Aktionen auf infizierten Geräten ausführen, z. B. Living-off-the-Land-Binärdateien (LOLBINs) wie MsBuild.exe.
Verteilungsmethoden für KamiKaka und Funktionsweise
Phishing-E-Mails werden verwendet, um KamiKakaBot zu verteilen, der in Form eines bösartigen ISO-Dateianhangs vorliegt. Diese Datei enthält eine legitime, von Microsoft signierte WinWord.exe, die für das seitliche Laden von DLLs ausgenutzt wird. Wenn der Benutzer auf WinWord.exe klickt, wird der KamiKakaBot-Loader (MSVCR100.dll), der sich im selben Ordner wie WinWord befindet, automatisch in den Arbeitsspeicher geladen und ausgeführt.
Die schädliche ISO-Datei enthält auch ein Word-Dokument mit einem verschlüsselten Abschnitt, der XOR-codiert ist. Der KamiKakaBot-Loader verwendet diesen Abschnitt, um den XOR-codierten Inhalt aus der Köderdatei zu entschlüsseln, und schreibt dann die entschlüsselte XML-Nutzlast von KamiKakaBot auf die Festplatte (C:\Windows\temp) und führt sie über eine Live-off-the-Land-Binärdatei aus. MsBuild.exe.
KamiKakaBot ist in der Lage, vertrauliche Informationen aus den Webbrowsern Chrome, MS Edge und Firefox zu extrahieren, und die gestohlenen Daten werden in ein ZIP-Format komprimiert und an den Telegram-Bot-Kanal der Angreifer gesendet. Nach der Erstinfektion kann der Angreifer die Malware aktualisieren oder Remote-Code auf dem Zielgerät ausführen, was weitere Aktivitäten nach der Ausnutzung ermöglicht. Die gesamte Kommunikation zwischen der Malware und dem Command-and-Control-Center erfolgt über einen Telegram-Bot, der vom Angreifer kontrolliert wird.
