Von Samantha Clarke, Hiwot Mendahun und dem Mimecast Threat Research Team
Die Bedrohungsforscher von Mimecast haben eine Infostealer-Kampagne beobachtet und untersucht, die sich gegen verschiedene Organisationen richtet, wobei der Schwerpunkt auf den Branchen Einzelhandel, Reise und Gastgewerbe liegt (intern als MCTO1023 erfasst). Im Rahmen dieser Kampagne geben sich Angreifer als bekannte Anwaltskanzleien aus und kontaktieren Unternehmen wegen einer Urheberrechtsverletzung, um die Opfer dazu zu verleiten, schädliche Dateien von Dropbox herunterzuladen. Die schädlichen Dateien zielen darauf ab, Malware in Form verschiedener InfoStealer zu verbreiten.
Die Verteilung erfolgt über Mail Merge, einen Dienst, der die Verteilung personalisierter Massen-E-Mail-Kampagnen ermöglicht, indem empfängerspezifische Daten in Vorlagen integriert werden. Bedrohungsakteure nutzen kostenlose Testkonten von Mail Merge in Verbindung mit Google Mail, um groß angelegte E-Mail-Kampagnen zu organisieren und zu verbreiten. Indem sie legitime Plattformen missbrauchen, umgehen sie bestimmte DNS-Authentifizierungen und stellen so die erfolgreiche Zustellung ihrer bösartigen Kampagnen sicher.
Sobald der Benutzer die Dateien heruntergeladen hat, verwendet die ausführbare Datei, wenn sie ausgeführt wird, ein GitHub-Repositorium, das LoneNone1807 gehört und mehrere malware -Dateien enthält. Das Repository enthält eine aktuelle Kampagne, die mit einer stark verschleierten Batch-Datei beginnt, die, wenn sie ausgeführt wird, zwei Arten von malware herunterlädt und installiert: XWorm und RedLine. XWorm ist ein Fernzugriffstrojaner (RAT), der es Angreifern ermöglicht, infizierte Systeme zu kontrollieren, während RedLine ein Informationsdieb ist, der sensible Daten von Opfern ausspäht. Die Website malware nutzt fortschrittliche Verschleierungstechniken, indem sie hochgradig verschlüsselte Batch-Skripte mit verschachtelten Befehlen und dynamisch generierten Nutzdaten verwendet, um herkömmliche Erkennungsmechanismen zu umgehen.
Mimecast beobachtete einen stetigen Strom von Kampagnen, die zunächst im Juli begannen, dann aber um den August herum zunahmen, wobei der größte Anstieg bei dieser Kampagne im Dezember zu verzeichnen war.
Es wurden mehrere Analysen zu malware durchgeführt, die auf dem GitHub-Konto von LoneNone1807 gefunden wurden, darunter eine aktuelle malware -Kampagne, die mit einer stark verschleierten Batch-Datei beginnt. Alle Einzelheiten zu den Fähigkeiten von malwarekönnen bei SANS research nachgelesen werden.
T1566.002: Phishing - Speer Phishing Link
T1102.001: Webdienst - Dead Drop Resolver
T1071: Protokoll der Anwendungsschicht (Befehl und Kontrolle)
T1574.002: Hijack-Ausführungsablauf - Hijacking von DLL-Suchaufträgen
T1562.001: Verteidigung beeinträchtigen - Tools deaktivieren oder modifizieren
T1497: Virtualisierung/Sandbox-Umgehung
T1056: Eingabeerfassung
T1010: Entdeckung von Anwendungsfenstern
T1082: Erkennung von Systeminformationen
Erfahren Sie, wie die einheitliche Plattform von Mimecast Ihre Mitarbeiter, Ihre KI und Ihre Daten schützen kann.
Schließen Sie sich Tausenden von Sicherheitsexperten an, die unsere sorgfältig ausgewählten Warnmeldungen, Expertenanalysen und IOCs für Kampagnen nutzen, um sich gegen neue Cyberbedrohungen zu schützen.
Threat Intelligence1. Sept. 2026
Threat Intelligence27. Aug. 2026
