Wie ein gefälschtes Zoom-Update legitime Remote-Support-Tools in Backdoors verwandelte

Ich habe vor Kurzem einen Nachmittag damit verbracht, ein forensisches Abbild einer Workstation zu überprüfen, die einer Rechtsanwaltsfachangestellten in einer spezialisierten Anwaltskanzlei gehörte. Die Benutzerin war davon überzeugt, dass sie lediglich ihren Zoom-Client aktualisiert hatte, um an einer morgendlichen Zeugenaussage teilzunehmen. In Wirklichkeit war die Datei, die sie ausführte, der Ausgangspunkt für SMOKE#SCREEN, eine mehrstufige Kampagne, die autorisierte IT-Tools gegen genau die Netzwerke einsetzt, die sie eigentlich unterstützen sollen. Die Benutzerin bemerkte nichts, bis ihr Computer eine Woche später als Ausgangspunkt für Lateral Movement im internen Server-VLAN fungierte.

Dies ist die Realität des modernen Social Engineering. Angreifer müssen keine komplexen, maßgeschneiderten Backdoors mehr schreiben, wenn sie einen Benutzer einfach dazu verleiten können, ein legitimes Remote Monitoring and Management (RMM)-Tool zu installieren. Konstruktionsbedingt verfügen diese Tools über administrative Privilegien, umgehen in vielen Umgebungen das standardmäßige Application Whitelisting und bieten eine stabile Verbindung zur Außenwelt. Hinter den Kulissen demonstriert die SMOKE#SCREEN-Kampagne eine hohe operative Reife, indem sie ihre Bereitstellungsmethoden und Umgehungstechniken ständig anpasst, um automatisierten Erkennungssystemen einen Schritt voraus zu sein.

Die Anatomie der SMOKE#SCREEN-Infektionskette

Forscher von Securonix haben diese Kampagne kürzlich identifiziert, die Köder verwendet, die von Adobe- und Zoom-Updates bis hin zu Überprüfungen von Geschäftsdokumenten reichen. Der Angriff beginnt typischerweise mit einer Spear-Phishing-E-Mail, die einen obfuskierte Visual Basic Script (VBScript)-Dropper enthält. Ich habe letzten Monat ein ähnliches Sample analysiert, und das Ausmaß an Paranoia im Code ist beeindruckend. Bevor das Skript irgendetwas anderes tut, führt es eine Reihe von Umgebungsprüfungen durch, um festzustellen, ob es in einer Sandbox ausgeführt oder von einem Sicherheitsforscher überwacht wird.

Es sucht gezielt nach Prozessen wie Wireshark, Process Monitor und verschiedenen Diensten für virtuelle Maschinen wie VMware und VirtualBox. Wenn es eines dieser Programme erkennt, bricht es sofort ab. Proaktiv gesehen verhindert dies, dass das Skript seine wahre Absicht gegenüber automatisierten Malware-Analyseplattformen offenbart. Sobald es feststellt, dass die Luft rein ist, entschlüsselt das Skript einen PowerShell-Befehl. Dieser Befehl verbindet sich mit einem Staging-Server unter 207.189.11[.]170, um eine C#-Payload abzurufen.

Aus einer Risikoperspektive liegt die Raffinesse in dem, was als Nächstes passiert. Die Payload installiert keinen Virus im herkömmlichen Sinne. Stattdessen installiert sie einen ConnectWise ScreenConnect-Agenten. Dies ist ein legitimes Tool, das von IT-Abteilungen weltweit eingesetzt wird. Da der Agent signiert und seriös ist, umgeht er oft grundlegende Antiviren-Prüfungen. Einmal installiert, sendet der Agent Signale an einen vom Angreifer kontrollierten Relay-Server auf Port 8041, was dem Operator vollen Remote-Desktop-Zugriff auf den Rechner des Opfers ermöglicht.

Warum Angreifer Remote-Monitoring- und Management-Tools wählen

Die Verwendung von RMM-Tools wie ScreenConnect ist ein De-facto-Standard für moderne Bedrohungsakteure. Es löst das Problem der Persistenz. Wenn ein Angreifer einen maßgeschneiderten Trojaner verwendet, könnte ein einziges Signatur-Update seinen Zugang beenden. Wenn sie ein legitimes RMM-Tool verwenden, verschmelzen sie mit autorisierten IT-Aktivitäten. Die meisten Security Operations Center (SOCs) sehen täglich ScreenConnect-Traffic, sodass eine einzelne zusätzliche Verbindung zu einem neuen Relay-Server möglicherweise keinen Alarm auslöst.

In einer Variante der SMOKE#SCREEN-Kampagne verwenden die Angreifer ein Batch-Skript, um die lokale Verteidigung vor der Installation aggressiv zu demontieren. Das Skript versucht, das Windows Antimalware Scan Interface (AMSI) zu deaktivieren, modifiziert die Registry, um SmartScreen-Schutzfunktionen auszuschalten, und entfernt sogar den Zone.Identifier Alternate Data Stream aus dem heruntergeladenen Installer. Dieser letzte Schritt ist bedeutend, da er das "Mark of the Web" entfernt, eine Sicherheitsfunktion, die Windows mitteilt, dass eine Datei aus dem Internet stammt. Durch das Entfernen dieser Markierung verhindert der Angreifer, dass bestimmte Sicherheitshinweise erscheinen, wenn die MSI-Datei ausgeführt wird.

Umgehung der Erkennung mit Cloud-Tunneln und vertrauenswürdigen Plattformen

Einer der interessantesten Aspekte dieser Kampagne ist die Art und Weise, wie sie ihre Infrastruktur verbirgt. Die Akteure haben ihre Bereitstellungsstrategie über mehrere vertrauenswürdige Hosting-Dienste hinweg rotiert. Zum Beispiel haben sie Dropbox-Shared-Links verwendet, um ihre initialen Payloads zu hosten. Da Dropbox in fast jeder Unternehmensumgebung eine erlaubte Domain ist, löst der Download selten eine Blockierung durch Webfilter aus.

In jüngster Zeit haben die Angreifer begonnen, Cloudflare Quick Tunnels zu nutzen. Dieser Dienst ermöglicht es einem Benutzer, einen lokalen Server vorübergehend ohne statische IP oder registrierte Domain im Internet verfügbar zu machen. Der Staging-Server führt eine Cloudflare-Binärdatei aus, um ephemere Tunnel mit Namen wie "subscription-magnetic-recommended-meat.trycloudflare.com" zu generieren. Da diese URLs temporär sind und mit einem vertrauenswürdigen Anbieter in Verbindung stehen, ist es fast unmöglich, sie allein aufgrund ihrer Reputation zu blockieren. Infolgedessen verfügt der Angreifer über einen heimlichen, kurzlebigen Pfad, um seine bösartigen Binärdateien auszuliefern und die Befehls- und Kontrollstruktur (C2) über die infizierte Flotte aufrechtzuerhalten.

Von Geschäftsködern zu Gaming-Cheats

Die SMOKE#SCREEN-Kampagne ist nicht die einzige Bedrohung, die diese Strategie nutzt. Eine separate Kampagne, die kürzlich von Bitdefender dokumentiert wurde, zielt auf eine völlig andere Zielgruppe ab: Gamer. Diese Aktivität umfasst gefälschte Xeno Roblox-Cheats und "Executors", die auf Discord und in Gaming-Foren beworben werden. Während sich die Fachkraft in einer Anwaltskanzlei Sorgen um ein Zoom-Update macht, sucht ein Teenager nach einem Vorteil in einem Videospiel. Das Ergebnis ist dasselbe: ein kompromittiertes System.

Der Köder ist hier ein gefälschter Xeno Executor-Installer. Wenn der Benutzer die ausführbare Datei startet, initiiert sie eine mehrstufige Java-basierte Infektion. Die endgültige Payload ist ein Stealer namens Powercat. Diese Malware ist ein Schweizer Taschenmesser für Datendiebstahl. Sie prüft, ob eine Java Runtime Environment vorhanden ist, und wenn diese fehlt, extrahiert sie einfach ihre eigene. Anschließend liest sie eine lokale Bilddatei namens "XenoIcon.jpg" aus, um die Schlüssel zu finden, die für die Kommunikation mit ihrem C2-Server unter solthere[.]net benötigt werden.

Der Powercat-Stealer und der Diebstahl digitaler Identitäten

Powercat ist mehr als ein einfacher Credential-Harvester. Es ist ein Überwachungstool, das Angreifern ein vollständiges Bild des digitalen Lebens des Opfers vermittelt. Es zielt speziell auf Webbrowser wie Chrome und Brave, Kryptowährungs-Wallets wie Atomic und Exodus und sogar Entwickler-Tools wie Git und Visual Studio ab.

Für Nutzer des Exodus-Kryptowährungs-Wallets geht die Malware noch einen Schritt weiter. Sie prüft, ob die Version 26.1.5 installiert ist, und wenn ja, entpackt sie die internen Dateien der Anwendung, um bösartiges JavaScript zu injizieren. Dies ermöglicht es dem Angreifer, Sitzungstoken direkt zu erfassen. Die Malware zeichnet außerdem Tastatureingaben auf, erstellt Screenshots, greift auf die Webcam zu und streamt den Desktop in Echtzeit. Dieses Maß an Zugriff ist eine digitale Geiselnahme. Der Angreifer stiehlt nicht nur ein Passwort; er sitzt am virtuellen Schreibtisch des Benutzers.

In meinen eigenen Tests von Java-basierten Stealern habe ich gesehen, wie schwierig sie mit Standard-Dateiscans zu erkennen sind. Da sich die bösartige Logik in einer obfuskierte JAR-Datei befindet und diese JAR-Datei oft von einem legitimen Java-Prozess ausgeführt wird, sieht die Aktivität für das Betriebssystem wie eine normale Softwareausführung aus. Aus diesem Grund bleiben Gaming-bezogene Köder so effektiv. Sie nutzen den Wunsch des Benutzers nach Funktionalität und seine Bereitschaft aus, Sicherheitssoftware zu deaktivieren, damit ein "Cheat" funktioniert.

Praktische Erkenntnisse für die Verteidigung

Die Bewertung der Angriffsfläche für diese Kampagnen zeigt, dass die menschliche Firewall der erste Schwachpunkt ist. Technische Kontrollen müssen jedoch eine Absicherung bieten. Organisationen und Einzelpersonen sollten eine Zero-Trust-Mentalität annehmen, bei der jedes Software-Update oder Dienstprogramm als verdächtig behandelt wird, bis es verifiziert ist.

• MSI-Ausführung einschränken: Standardbenutzer sollten MSI-Installer nicht ohne administrative Genehmigung ausführen können. Verwenden Sie AppLocker oder Windows Defender Application Control (WDAC), um dies durchzusetzen.
• RMM-Tools überwachen: Überprüfen Sie Ihre Umgebung auf alle RMM-Agenten. Wenn Ihre IT-Abteilung TeamViewer verwendet, ist jede Instanz von ScreenConnect oder AnyDesk ein Alarm mit hoher Priorität.
• PowerShell und CMD prüfen: Überwachen Sie auf verdächtige Befehlszeilenargumente, insbesondere solche, die "encodedcommand" enthalten oder versuchen, AMSI zu umgehen und die Registry zu modifizieren.
• Striktes UAC erzwingen: Stellen Sie sicher, dass die Benutzerkontensteuerung (User Account Control) auf die höchste Stufe eingestellt ist. Dies verhindert, dass Malware Privilegien stillschweigend eskaliert, ohne dass der Benutzer eine Eingabeaufforderung bemerkt.
• Cloudflare-Tunnel blockieren: Sofern Ihr Unternehmen diese nicht ausdrücklich benötigt, sollten Sie in Betracht ziehen, die Domain trycloudflare.com am Netzwerkperimeter zu blockieren, um zu verhindern, dass Angreifer ephemere Tunnel für C2 nutzen.

Checkliste für wichtige Abwehrmaßnahmen

Die Bewältigung dieser Bedrohungen erfordert mehr als eine reaktive Haltung. Abgesehen vom Patchen findet der eigentliche Kampf darüber statt, was auf dem Endpunkt ausgeführt werden darf. Wenn Sie zulassen, dass jede signierte Binärdatei ausgeführt wird und mit dem Internet kommuniziert, lassen Sie im Grunde die Tür für jeden Akteur offen, der ein legitimes Werkzeug für den Missbrauch findet.

Quellen: Securonix SMOKE#SCREEN Report, Bitdefender Powercat Analysis, MITRE ATT&CK Framework, NIST Special Publication 800-207 (Zero Trust Architecture).

Haftungsausschluss: Dieser Artikel dient ausschließlich Informations- und Bildungszwecken und ersetzt keine professionelle Cybersicherheitsprüfung oder einen Incident-Response-Service.