WORLDTECHGefälschte Chocolatey- und Microsoft-Aktivierungsseiten verbreiten ArmorSteal-Malware
Angreifer verbreiten ArmorSteal, eine auf Python basierende Malware-Familie, über täuschend ähnliche Webseiten, die sich als Chocolatey und als Projekt Microsoft Activation Scripts ausgeben. Laut einem Bericht von GBHackers zielt die Kampagne auf Menschen, die nach Installationsbefehlen suchen.
Zwei Tippfehler-Domains, eine Operation
Die Tippfehler-Domain choclatey[.]org ahmte Chocolatey nach und zeigte einen schädlichen PowerShell-Installationsbefehl an. Eine zweite Domain, massgravel[.]net, gab sich als Projekt Microsoft Activation Scripts aus.
Gemeinsame Malware-Komponenten und ein auf beiden Seiten identischer RSA-2048-Schlüssel zur Signatur der Aufgaben verknüpfen die beiden Verbreitungswege mit einer einzigen Operation. Beide Installer verlangen erhöhte Rechte, verbergen die PowerShell-Konsole und legen ein Archiv in C:\Windows\SystemHealth\Update ab.
Echter Installer läuft parallel zur Schadsoftware
Beim Starten des gefälschten Installers wurde ArmorSteal installiert, während zugleich der originale Chocolatey-Installer lief. Der Paketmanager arbeitete wie erwartet weiter, wodurch sichtbare Anzeichen einer Kompromittierung unwahrscheinlicher wurden.
Das Paket enthält Python 3.11, Pyarmor-Laufzeitdateien und schädliche Skripte, die mit Pyarmor 9.1.7 geschützt sind. SysCheckX führt es als SYSTEM aus, 45 Sekunden nach dem Systemstart, während SysCheck2 das Fernzugriffsmodul beim Benutzeranmeldung mit den höchsten verfügbaren Rechten startet.
Fernzugriff und Überwachungsmodule
Das Fernzugriffsmodul SysMon.py erstellt ein Profil infizierter Rechner und leitet eine Maschinenkennung aus der Seriennummer des Mainboards ab. Alle 60 Sekunden fragt es Command-and-Control-Server nach opferspezifischen und kampagnenweiten Python-Aufgaben ab. Vor der Ausführung im Arbeitsspeicher prüft es RSA-2048-Signaturen und vergleicht Versionsnummern mit lokal gespeicherten Werten, sodass ältere oder bereits verarbeitete Anweisungen nicht erneut laufen.
Das Überwachungsmodul basrq.py protokolliert Tastatureingaben und Fenstertitel, prüft die Zwischenablage alle eine halbe Sekunde und tauscht Kryptowährungsadressen aus. Bei bestimmten Schlüsselwörtern erstellt es zudem Screenshots und zeigt gefälschte Transaktionsbenachrichtigungen von Exodus, MetaMask und Phantom an.
Prüfungen, die Cloud-Analysen umgehen könnten
ArmorSteal ermittelt die öffentliche IP-Zugehörigkeit über ipinfo[.]io. Erscheinen im Feld der Organisation bestimmte Cloud-Anbieter, zeigt die Malware einen gefälschten Speicherfehler an und beendet sich, was ihr helfen könnte, cloudbasierte Analyseumgebungen zu umgehen.