Das Fernzugriffstool wird normalerweise für legitime Zwecke verwendet, um Administratoren den Fernzugriff auf Client-Rechner zu ermöglichen. Kriminelle installieren es jedoch auf den Systemen ihrer Opfer und verschaffen sich so unbefugten Zugriff. [...]
Palo Alto Networks und dessen Malware-Forschungsabteilung Unit 42 haben ein schädliches und potentiell gefährliches Microsoft-Word-Dokument identifiziert, das als kennwortgeschütztes NortonLifelock-Dokument getarnt war. Dieses wurde in einer Phishing-Kampagne zur Bereitstellung des kommerziell erhältlichen Fernzugriffstools (Remote Access Tool, RAT) NetSupport Manager verwendet. Der Einsatz eines fiktiven NortonLifelock-Dokuments um Benutzer zur Aktivierung von Makros zu verleiten, macht diesen speziellen Angriff für die Sicherheitsexperten interessant.
Dieses RAT wird normalerweise für legitime Zwecke verwendet, um Administratoren den Fernzugriff auf Client-Rechner zu ermöglichen. Kriminelle installieren das RAT jedoch auf den Systemen ihrer Opfer und verschaffen sich so unbefugten Zugriff. Die Verwendung von NetSupport Manager bei Phishing-Kampagnen um sich unbefugten Zugriff zu verschaffen, wird von Bedrohungsforschern mindestens schon seit 2018 beobachtet.
Bei einer ersten Überprüfung der aktuellen Erkennung, die zuvor von der Cortex XDR Engine markiert wurde, stellten die IT-Sicherheitsexperten fest, dass die Kausalitätskette begann, als ein Microsoft-Word-Dokument aus Microsoft Office Outlook heraus geöffnet wurde. Obwohl den Forschern die eigentliche E-Mail nicht zur Verfügung steht, konnten sie den Schluss ziehen, dass diese Aktivität Teil einer größeren Kampagne zu sein scheint.
Bei dieser Aktivität setzen die Cyberangreifer Ausweichtechniken ein, um sowohl die dynamische als auch die statische Analyse zu umgehen. Zur Installation der bösartigen Dateiaktivität kommt das PowerShell PowerSploit-Framework zum Einsatz. Durch zusätzliche Analysen hat das Forschungsteam verwandte Aktivitäten identifiziert, die bis Anfang November 2019 zurückreichen.
Im ausführlichen Bericht zu dieser Bedrohung beschreibt Unit 42 die anomalen Aktivitäten, die durch die Verhaltenserkennungsfunktionen von Cortex XDR beobachtet wurden.
Be the first to comment