Verbreitung der SSLoad-Malware im Rahmen einer Phishing-Kampagne
Sicherheitsexperten haben eine laufende Angriffsstrategie identifiziert, die Phishing-E-Mails verwendet, um eine Form von Malware namens SSLoad zu verbreiten. Diese von Securonix als FROZEN#SHADOW bezeichnete Kampagne beinhaltet den Einsatz von Cobalt Strike und der Remote-Desktop-Software ConnectWise ScreenConnect.
Laut Forschern ist SSLoad darauf ausgelegt, Systeme diskret zu infiltrieren, vertrauliche Daten zu sammeln und diese an seine Betreiber zurückzusenden. Sobald SSLoad in einem System ist, erstellt es mehrere Hintertüren und Payloads, um unentdeckt und hartnäckig zu bleiben.
Der Angriff beginnt mit Phishing-Nachrichten, die nach dem Zufallsprinzip an Organisationen in Asien, Europa und Amerika gesendet werden. Diese E-Mails enthalten Links zu JavaScript-Dateien, die den Infektionsprozess einleiten.
SSLoad verwendet zwei verschiedene Verteilungspfade
Palo Alto Networks hat kürzlich zwei Verbreitungsmethoden für SSLoad aufgedeckt. Bei einer Methode werden bösartige URLs in Kontaktformulare von Websites eingebettet, bei der anderen werden Microsoft Word-Dokumente mit Makros verwendet. Letztere Methode ist bemerkenswert, da sie nicht nur SSLoad verbreitet, sondern auch die Bereitstellung von Cobalt Strike erleichtert. Erstere wurde inzwischen verwendet, um eine andere Malware namens Latrodectus zu verbreiten, die möglicherweise der Nachfolger von IcedID ist.
Die verschleierte JavaScript-Datei („out_czlrh.js“) ruft eine MSI-Installationsdatei („slack.msi“) von einer Netzwerkfreigabe ab und führt sie aus. Das MSI-Installationsprogramm kontaktiert dann eine vom Angreifer kontrollierte Domäne, um die SSLoad-Malware-Nutzlast herunterzuladen und auszuführen. Diese Nutzlast kommuniziert mit einem Befehls- und Kontrollserver und stellt Informationen über das kompromittierte System bereit.
Sobald die erste Erkundung abgeschlossen ist, wird Cobalt Strike eingesetzt. Mit dieser legitimen Software wird ScreenConnect heruntergeladen und installiert, sodass die Angreifer die Kontrolle über den Host aus der Ferne übernehmen können. Mit vollem Zugriff auf das System versuchen die Angreifer, Anmeldeinformationen und andere wichtige Systemdetails zu erhalten, indem sie nach gespeicherten Anmeldeinformationen und vertraulichen Dokumenten suchen.
Es wurde beobachtet, dass die Angreifer ihren Zugriff innerhalb des Netzwerks erweiterten, auch auf den Domänencontroller, und schließlich ihr eigenes Domänenadministratorkonto einrichteten. Mit dieser Zugriffsebene können sie jeden angeschlossenen Computer innerhalb der Domäne infiltrieren, was für Organisationen eine erhebliche Herausforderung darstellt.
