MadMxShell Backdoor verspreidt zich via kwaadaardige advertenties
Bij een recente malvertisingcampagne waarbij Google Ads wordt misbruikt, zijn een reeks websites betrokken die lijken op een legitieme IP-scanner, met als doel een nieuwe achterdeur genaamd MadMxShell te verspreiden. Onderzoekers van Zscaler ThreatLabz ontdekten dat de aanvallers talloze soortgelijke domeinen registreerden met behulp van typosquatting-tactieken. Ze gebruikten Google Ads om deze domeinen te promoten, waarbij ze specifieke zoektermen gebruikten om bezoekers aan te trekken. Tussen november 2023 en maart 2024 zijn ongeveer 45 domeinen aangemaakt, die zich voordeden als verschillende softwaretools zoals Advanced IP Scanner en ManageEngine. Dit is de eerste keer dat een dergelijke methode is gebruikt om een complexe Windows-achterdeur te verspreiden.
De eerste aanval begint met kwaadaardig JavaScript
Slachtoffers die naar deze tools zoeken, worden doorgestuurd naar misleidende websites die JavaScript-code bevatten die het downloaden van een kwaadaardig bestand ("Advanced-ip-scanner.zip") activeert. In het ZIP-bestand bevinden zich twee bestanden: "IVIEWERS.dll" en "Advanced-ip-scanner.exe." Deze laatste maakt gebruik van DLL-side-loading om het infectieproces te starten. De DLL injecteert vervolgens shellcode in het EXE-bestand via procesuitholling, waardoor extra bestanden worden uitgepakt – "OneDrive.exe" en "Secur32.dll." De legitieme OneDrive.exe wordt misbruikt om Secur32.dll te laden en de shellcode-achterdeur uit te voeren, terwijl ook persistentie wordt gecreëerd en Microsoft Defender Antivirus wordt uitgeschakeld.
MadMxShell Backdoor wordt geleverd met diverse toolkit
De achterdeur, genoemd naar het gebruik van DNS MX-query's voor command-and-control (C2), biedt mogelijkheden zoals het verzamelen van systeeminformatie, het uitvoeren van opdrachten en het beheren van bestanden. Het communiceert met de C2-server ("litterbolo[.]com") via DNS-tunneling, waarbij verschillende technieken worden gebruikt om beveiligingsmaatregelen te omzeilen, waaronder meerdere fasen van DLL-side-loading en anti-dumpingmethoden.
Hoewel de oorsprong en motieven van de malware-exploitanten onduidelijk blijven, ontdekte Zscaler twee accounts die aan hen gekoppeld waren op ondergrondse forums, aangemaakt met behulp van het e-mailadres wh8842480@gmail[.]com. Op deze forums zijn discussies geweest over het opzetten van Google AdSense-drempelaccounts, wat erop duidt dat de aanvallers geïnteresseerd zijn in een langdurige malvertisingcampagne.
