SuperBear-Trojaner gegen südkoreanische Ziele eingesetzt
Bei einem aktuellen Phishing-Angriff, der möglicherweise auf zivilgesellschaftliche Organisationen in Südkorea abzielte, wurde ein innovativer Remote-Access-Trojaner namens SuperBear aufgedeckt. Laut einem neuen Bericht von Interlabs richtete sich der Verstoß speziell gegen einen namentlich nicht genannten Aktivisten, der Ende August 2023 eine schädliche LNK-Datei von einer Adresse erhielt, die vorgab, Mitglied der gemeinnützigen Organisation Interlabs zu sein.
SuperBear nutzt eine mehrstufige Angriffskette
Bei der Ausführung löst die LNK-Datei einen PowerShell-Befehl aus, um ein Visual Basic-Skript auszuführen, das dann Nutzdaten der nächsten Stufe von einer legitimen, aber kompromittierten WordPress-Website abruft. Diese Nutzlast umfasst die Binärdatei Autoit3.exe (als „solmir.pdb“ bezeichnet) und ein AutoIt-Skript („solmir_1.pdb“), das mit ersterem ausgeführt wird.
Das AutoIt-Skript wiederum verwendet eine Prozessinjektionstechnik, die als „Process Hollowing“ bekannt ist und bei der bösartiger Code in einen angehaltenen Prozess eingefügt wird. In diesem Fall wird eine Instanz von Explorer.exe erstellt, um eine unbekannte RAT namens SuperBear einzuschleusen, die die Kommunikation mit einem Remote-Server zur Datenexfiltration, zum Herunterladen und Ausführen zusätzlicher Shell-Befehle und Dynamic-Link-Bibliotheken (DLLs) herstellt.
Interlab-Forscher Ovi Liber erklärte: „Die Standardaktion des C2-Servers scheint Clients anzuweisen, Systemdaten zu exfiltrieren und zu verarbeiten“, und fügte hinzu, dass die Malware ihren Namen verdient, weil „die bösartige DLL versucht, einen zufälligen Dateinamen für sich selbst zu generieren, und wenn dies fehlschlägt.“ , es wird „SuperBear“ heißen.“
Der Angriff wird vorläufig einem nordkoreanischen Nationalstaatsakteur namens Kimsuky (auch als APT43 oder unter Pseudonymen wie Emerald Sleet, Nickel Kimball und Velvet Chollima bezeichnet) zugeschrieben, da er Ähnlichkeiten mit dem ursprünglichen Angriffsvektor und der PowerShell aufweist verwendete Befehle.
Anfang Februar dieses Jahres gab Interlab bekannt, dass nordkoreanische nationalstaatliche Akteure im Rahmen einer Social-Engineering-Kampagne einen südkoreanischen Journalisten mit der Android-Malware RambleOn angegriffen haben.
