VEIL#DROP-Kampagne missbraucht Blogger-Seiten zur Verbreitung des PureLogs-Stealers

Sicherheitsforscher haben eine neue mehrstufige Malware-Kampagne identifiziert, die Social Engineering und Googles Blogger-Plattform nutzt, um PureLogs, eine Malware zum Diebstahl von Informationen, zu verbreiten. Securonix hat die Aktivitäten als VEIL#DROP bezeichnet und erklärt, dass die Operation offenbar darauf ausgelegt ist, sich in normalen Webverkehr einzufügen und einer Erkennung zu entgehen.

Die Angriffskette beginnt den Berichten zufolge mit einer irreführenden JavaScript-Datei, die wie ein Dokument aussieht, beispielsweise mit einem Dateinamen, der an ein PDF-Transkript erinnert. Beim Öffnen wird das Skript über den Windows Script Host ausgeführt und startet PowerShell mit deaktivierten Sicherheitsbeschränkungen. Anschließend ruft das Skript die nächste Stufe von einer auf Blogger gehosteten Seite ab und nutzt dabei das Vertrauen aus, das legitimen Cloud-Diensten häufig entgegengebracht wird.

Den Forschern zufolge wird der heruntergeladene Inhalt verwendet, um eine offenbar harmlose Webseite wie Google zu laden. Dadurch entsteht beim Opfer der Eindruck, dass ein Dokument geöffnet wird, während die Malware im Hintergrund weiterarbeitet. Das Ergebnis ist die Bereitstellung des PureLogs Stealers, eines .NET-basierten Tools, das vertrauliche Informationen von infizierten Systemen sammeln kann.

Wie die Angriffskette einer Erkennung entgeht

Securonix zufolge enthält der Loader mehrere Techniken, die Sicherheitstools behindern und forensische Spuren reduzieren sollen. Dazu gehören das Löschen des ursprünglichen Skripts, das Beenden bestimmter Prozesse, das Entschlüsseln eingebetteten Codes sowie das direkte Ausführen schädlicher Komponenten im Arbeitsspeicher, anstatt sie auf die Festplatte zu schreiben.

• Dynamische Generierung von Blogger-URLs zur Vermeidung statischer Blockierungen
• Änderungen von Skriptwerten zur Laufzeit, um den Abgleich mit Signaturen zu verhindern
• Reflektives Laden von .NET-Nutzlasten für eine dateilose Ausführung
• Ausweichende Nutzung vertrauenswürdiger Microsoft-Binärdateien wie regsvcs.exe und msbuild.exe

Die Forscher stellten fest, dass sich die Malware nicht nur auf eine einzige „Living-off-the-Land“-Binärdatei verlässt. Stattdessen wechselt sie zwischen mehreren vertrauenswürdigen Tools, bis eines davon funktioniert. Dadurch kann sie auf kompromittierten Rechnern legitimer wirken.

Stealer-Malware wie PureLogs kann Folgen haben, die über die ursprüngliche Infektion hinausgehen. Sobald Angreifer Zugriff auf Browserdaten, Zugangsdaten und andere Informationen erlangen, können sie dieses Material nutzen, um tiefer in eine Umgebung vorzudringen, den Zugriff aufrechtzuerhalten oder verbundene Cloud-Dienste anzugreifen.

Securonix beschrieb VEIL#DROP als eine gezielt unauffällige Kampagne, die kompromittierte Infrastruktur, Verschleierung, eine ausschließlich im Arbeitsspeicher erfolgende Ausführung und vertrauenswürdige Systemtools kombiniert, um unentdeckt zu bleiben.