GHOSTPULSE-malware wordt verspreid via valse MSIX-applicaties

Er is een recente cyberaanvalcampagne gedetecteerd, waarbij gebruik werd gemaakt van valse MSIX Windows-applicatiepakketbestanden voor bekende software zoals Google Chrome, Microsoft Edge, Brave, Grammarly en Cisco Webex als middel om een nieuwe malware-lader genaamd GHOSTPULSE te verspreiden.

MSIX is een formaat voor Windows-applicatiepakketten die ontwikkelaars kunnen gebruiken om hun applicaties op Windows-systemen te bundelen, distribueren en installeren, zoals uitgelegd door Elastic Security Labs-onderzoeker Joe Desimone in een recent technisch rapport. Niettemin is het de moeite waard om op te merken dat MSIX afhankelijk is van toegang tot legitieme of gestolen certificaten voor het ondertekenen van code, waardoor het een aantrekkelijk doelwit is voor groepen met aanzienlijke middelen.

Op basis van de misleidende software-installatieprogramma's die als lokaas worden gebruikt, wordt vermoed dat potentiële slachtoffers worden misleid om deze MSIX-pakketten te downloaden via verschillende methoden, waaronder gecompromitteerde websites, manipulatie van zoekmachineoptimalisatie (SEO) of kwaadaardige advertenties.

Infectiemethode

Bij het starten van het MSIX-bestand vraagt een Windows-dialoogvenster gebruikers om op de knop "Installeren" te klikken. Als u dit doet, wordt het clandestien downloaden van GHOSTPULSE naar het gecompromitteerde systeem geactiveerd vanaf een externe server op "manojsinghnegi[.]com" via een PowerShell-script.

Dit proces verloopt in meerdere fasen, waarbij de initiële payload een TAR-archiefbestand is dat een uitvoerbaar bestand bevat. Dit uitvoerbare bestand doet zich voor als de Oracle VM VirtualBox-service (VBoxSVC.exe), maar het is in feite een legitiem binair bestand gebundeld met Notepad++ (gup.exe).

In het TAR-archief bevindt zich ook een bestand met de naam handoff.wav en een gemanipuleerde versie van libcurl.dll. Dit DLL-bestand wordt geladen om het infectieproces naar de volgende fase te brengen door misbruik te maken van de kwetsbaarheid van gup.exe voor side-loading van DLL.

Het gemanipuleerde DLL-bestand gaat vervolgens verder met het onderzoeken van handoff.wav, dat op zijn beurt een gecodeerde payload verbergt die wordt gedecodeerd en uitgevoerd via mshtml.dll, een techniek die bekend staat als module stamping. Deze actie leidt tot het ultieme laden van GHOSTPULSE.

GHOSTPULSE dient als lader en maakt gebruik van een andere methode die bekend staat als process doppelgänging om de uitvoering van de laatste malware te initiëren, waaronder SectopRAT, Rhadamanthys, Vidar, Lumma en NetSupport RAT.