Ein etablierter Remote-Access-Trojaner verschafft sich über gefälschte Verfahren vor Bundesgerichten erneut Zugang zu Unternehmenscomputern.
Forscher von ThreatDown berichten, dass eine Phishing-Kampagne mit gefälschten rechtlichen Hinweisen und einer nachgemachten Gerichtswebsite mehr als 100.000 Unternehmen mit LodaRAT ins Visier nimmt. Ihr Bericht vom 21. Oktober beschreibt die mögliche Reichweite der Kampagne, nicht die Zahl bestätigter Infektionen. Der Köder gibt sich als US-Bezirksgericht für den südlichen Bezirk von Florida aus.
Nach der Ausführung kann LodaRAT Browser-Zugangsdaten und Sitzungscookies stehlen, Benutzeraktivitäten aufzeichnen, Audio und Video mitschneiden und die Fernsteuerung eines infizierten Windows-Computers ermöglichen.
Die Kampagne zeigt, wie Angreifer Nutzer mit bekannter Malware weiterhin kompromittieren können, indem sie die soziale Manipulationdahinter individuell anpassen, statt auf einen neuen Exploit oder eine bislang unbekannte Schwachstelle zu setzen.
Eine Malware, viele Gründe, zum Opfer zu werden
Die Angreifer kombinierten eine etablierte Malware-Familie mit einem personalisierten rechtlichen Köder, durch den sich schädliche Downloads legitim darstellen sollten.
Laut ThreatDown beginnt der Angriff wie mehrere andere mit einer Phishing-E-Mail. Diese gab sich als US-Bezirksgericht für den südlichen Bezirk von Florida aus.
Die von Resolution@courtadr[.]com versendete Nachricht trägt eine Betreffzeile, die mit „Court-Ordered ADR Notice“ beginnt und die Daten des Ziels sowie dessen ADR-ID enthält. Sie ahmt offizielle Gerichtskorrespondenz nach, einschließlich eines Aktenzeichens, das wie die Kennung eines Zivilverfahrens formatiert ist. In dem Schreiben wird das Unternehmen des Empfängers im Zusammenhang mit einem angeblichen Alternative-Dispute-Resolution-(ADR)-Verfahren genannt, und er wird für weitere Informationen auf eine Website verwiesen.
Statt sich auf eine allgemeine Anrede und eine vage Drohung zu verlassen, geben die Angreifer jedem Ziel eine gefälschte Fall-ID und verwenden sie sowohl in der Betreffzeile als auch in den Links der Nachricht.
Die Personalisierung setzt sich nach dem Klick fort. Die Website unter florida[.]courtadr[.]com sieht wie ein offizielles Gerichtsportal aus und zeigt die Unternehmensdaten genauso an, wie sie in der Phishing-E-Mail erschienen.
Damit nicht genug: Die gefälschte Website bietet außerdem mehrere Seiten mit Gerichtsbezug und eine Suchfunktion, über die Besucher anhand der ADR-ID nach erfundenen Fällen suchen können.
Diese Funktionen bieten dem Opfer mehr als eine überzeugende E-Mail; sie schaffen eine ganze Umgebung, in der der angebliche Fall tatsächlich zu existieren scheint.
Dann folgt der Download. Ein Klick auf „Ihre Fallakte herunterladen“ stellt ein passwortgeschütztes ZIP-Archiv bereit, das nach der ADR-Referenz des Empfängers benannt ist.
Darin befindet sich ein ISO-Datenträgerabbild mit der Bezeichnung „Alternative Dispute Resolution A“. Beim Öffnen werden drei Dateien sichtbar: eine .msc-Konsolendatei, ein .bat-Batchskript und eine .lnk-Windows-Verknüpfung. Jede trägt einen Namen mit Bezug zu Gerichtsverfahren, führt aber auf einem anderen Weg zum gleichen Ergebnis.
Jede Datei bietet einen anderen Weg, LodaRAT über legitime Windows-Komponenten herunterzuladen und auszuführen. Für den .msc-Weg ist ein zusätzlicher Klick im Konsolenfenster erforderlich.
Auswirkungen auf die Bedrohungslage
Die Forscher geben an, dass die Kampagne mehr als 100.000 Unternehmen ins Visier nahm. Die Zahl steht jedoch für angegriffene Unternehmen und nicht für bestätigte Infektionen mit der Payload.
Die Payload zielt auf Windows ab. Laut ThreatDown liefert die Phishing-Website ihren eigentlichen Inhalt nur Besuchern aus, deren Browser sich als Microsoft Edge identifiziert; diese Filterung ist von den Fähigkeiten der Malware unabhängig.
Nach der Installation kann der Remote-Access-TrojanerBrowser-Zugangsdaten und Sitzungscookies stehlen, Tastatureingaben protokollieren, Screenshots erstellen, Audio aufzeichnen, auf Webcams zugreifen und Befehle aus der Ferne ausführen. Außerdem kann er Persistenz einrichten, versuchen, Windows Defender zu schwächen, und Wege für weiteren Zugriff auf kompromittierte Systeme schaffen.
Was Verteidiger und Unternehmen tun können
Das Gericht für den südlichen Bezirk von Florida ist über die Kampagne informiert und hat die Öffentlichkeit mit seinem offiziellen Hinweis zu Phishing und betrügerischen Gerichtsmails. Wer eine unerwartete Mitteilung erhält, unabhängig davon, ob sie rechtlicher Natur ist, sollte sie anhand unabhängig beschaffter Kontaktdaten überprüfen und nicht über die in der Nachricht enthaltenen Links oder Telefonnummern.
Für Unternehmen besteht die praktische Gefahr darin, dass ein personalisiertes rechtliches Schreiben Mitarbeiter erreichen kann, die nicht in der Lage sind, die beigefügten Dateien zu beurteilen. Organisationen sollten einen klaren Prozess dafür einrichten, unerwartete Gerichtskorrespondenz an die Rechts- und Sicherheitsteams weiterzuleiten; die Überprüfung sollte anhand unabhängig beschaffter Kontaktdaten des Gerichts erfolgen. Mitarbeiter sollten keine angebliche Fallakte herunterladen müssen, um festzustellen, ob eine Mitteilung echt ist.
Sicherheitsteams sollten außerdem prüfen, wie ihre E-Mail- und Endpoint-Kontrollen mit passwortgeschützten Archiven, Datenträgerabbildern, Skripten und Verknüpfungen umgehen, die aus externen Quellen stammen. Wenn diese Dateitypen einem legitimen Geschäftszweck dienen, sollten die Teams bewerten, ob die Prüfungs- und Ausführungskontrollen die gesamte Download-Kette abdecken. Ein vertrauter Dateiname oder eine überzeugende Website sollte nicht als Beleg dafür gelten, dass eine Datei sicher ist.
Die Indikatoren im Bericht von ThreatDownbieten einen Ausgangspunkt für die Prüfung verfügbarer E-Mail-, DNS-, Proxy- und Endpoint-Protokolle. Teams sollten Treffer im Kontext untersuchen und die zugehörigen Prozessaktivitäten prüfen, statt das Fehlen eines bekannten Indikators als Beweis dafür zu werten, dass ein Gerät sauber ist. Verhaltensüberwachung kann dabei helfen, verdächtige Aktivitäten zu erkennen, wenn Angreifer Domains ändern oder Dateien umbenennen.
Wenn ein Mitarbeiter bereits eine verdächtige Datei geöffnet hat, sollte die Reaktion über das Löschen des Downloads hinausgehen. Sicherheitsteams sollten das Gerät auf Persistenz und unbefugten Zugriff prüfen, einen möglichen Diebstahl von Zugangsdaten oder Sitzungen untersuchen und ihre Verfahren zur Reaktion auf Sicherheitsvorfälle für Eindämmung und Wiederherstellung befolgen. Awareness-Schulungen sollten die sofortige Meldung entsprechender Vorfälle stärken, damit Mitarbeiter einen möglichen Fehler eskalieren, solange die Einsatzkräfte seine Auswirkungen noch begrenzen können.
Mehr lesen: Gefälschte rechtliche Hinweise sind ein Weg zu unbefugtem Zugriff; erfahren Sie, wie eine weitere Phishing-Kampagne geschäftsbezogene Dokumente nutzt, um Tools zur Fernverwaltung zu installieren und was Verteidiger überwachen können.