Umgangenes E-Mail-Filtering und einfache XOR-Verschlüsselung: Analyse einer Phishing-Kampagne mit AskaLoader

Einer unserer Kunden erhielt kürzlich eine E-Mail mit dem Hinweis, dass eine unbezahlte Rechnung sofortige Maßnahmen erfordere. Der Anhang bestand aus einem RAR-Archiv – ein sofortiges Warnsignal, zumal alle Empfänger versteckt waren. Verständlicherweise wandte sich unser Kunde an uns, um die Echtheit der Nachricht zu überprüfen.

Bei der Analyse stellte sich schnell heraus, dass es sich um eine Phishing-Mail handelte. Doch was unsere Aufmerksamkeit besonders erregte, war die Tatsache, dass die E-Mail die Sicherheitsfilter des Kunden erfolgreich umgangen hatte. Grund genug, einen genaueren Blick auf die Angriffskette und die Methoden des Angreifers zu werfen.

Die E-Mail

Das angehängte RAR-Archiv enthielt genau eine Datei: Unbezahlte Rechnung Nr.12417.wsf
Diese Datei wird beim Öffnen durch wscript ausgeführt, den Windows Script Host, der in der Lage ist, JavaScript auszuführen.

Bei der Untersuchung der .wsf-Datei fanden wir stark verschleierten JavaScript-Code.

Nach dem Entfernen der Obfuskation und dem Dekodieren der Zeichenfolgen war klar: Die Malware nutzt MSXML2.XMLHTTP über ein ActiveXObject, um ein entferntes Payload herunterzuladen und auszuführen.

Die fest kodierte URL führte uns zu einem offen zugänglichen Verzeichnis:
http://176.65.134.79/HOST/SIR.ps1

Werfen wir einen genaueren Blick auf das PowerShell-Payload: SIR.ps1.

Dieses Skript lädt ein verschlüsseltes Datenpaket herunter, das nach einer Base64-Dekodierung eine .NET-Binärdatei offenbart.

Diese Binärdatei wurde mit PROPacker gepackt – ein bekanntes Tool zur Obfuskation und Analyseverhinderung.

Um sie zu entpacken, setzten wir Breakpoints bei IsDebuggerPresent und WriteProcessMemory, um die Anti-Debugging-Mechanismen zu umgehen.

Sobald WriteProcessMemory erreicht wurde, fanden wir ein vollständiges PE-Binary im Speicher:

AskaLoader: Der Lade-Mechanismus

Die entpackte Binärdatei stellte sich als AskaLoader heraus – ein Malware-Loader, der klassisches Process Hollowing verwendet.
Er lädt verschlüsselte PE-Payloads von einem fest kodierten Server herunter und injiziert sie in legitime Prozesse.

Die Entschlüsselungsroutine ist minimalistisch – eine einfache XOR-Schleife mit einem fest kodierten 32-Byte-Schlüssel.

Der Loader enthält:

• den Entschlüsselungsschlüssel,
• den Pfad zum PE-Binary,
• sowie die Download-URL – direkt im Code eingebettet.

Zwar ist der Loader funktional, aber keineswegs unauffällig: Er leakt den XOR-Schlüssel überall dort, wo sich Null-Bytes im Binary befinden.
Die meisten Payloads enden mit einem Null-Byte-Block, der das sich wiederholende XOR-Muster sichtbar macht.

Mit dieser Methode konnten wir alle Payloads vom Server des Angreifers entschlüsseln:

• sirdeee.aska
• big77777.aska
• BAGSNAKE.aska
• k2.aska
• kentt.aska

Der Quellcode von AskaLoader wurde sogar öffentlich auf GitHub veröffentlicht:
https://github.com/Tetedu27/AskaLoader

sirdeee.aska – Zugangsdaten-Diebstahl per SMTP

Dieses entschlüsselte Payload enthält eine Instanz von Agent Tesla, einem bekannten Infostealer und RAT.

Wäre die .wsf-Datei ausgeführt worden, hätte das System des Kunden sofort damit begonnen, Zugangsdaten zu stehlen und per SMTP zu versenden.

Der Angreifer nutzte dabei zwei E-Mail-Konten auf demselben Mailserver – eines zum Versenden, eines zum Empfangen der gestohlenen Daten.

Wir entdeckten ein offenes cPanel-Interface für die Domain und änderten das Passwort, wodurch die Exfiltration gestoppt werden konnte.

big77777.aska – Exfiltration über FTP

Diese Agent-Tesla-Variante lädt die gestohlenen Zugangsdaten auf einen externen FTP-Server hoch.

Wir konnten auf den FTP-Server zugreifen und alle gespeicherten Zugangsdaten löschen – ein weiterer Teil der Kampagne wurde gestört.

BAGSNAKE.aska – Verschlüsselte Exfiltrations-Konfiguration

Auch diese Variante nutzt SMTP zur Datenexfiltration – allerdings ist die Konfiguration verschlüsselt.

Die Entschlüsselung erfolgt folgendermaßen:

• MD5-Hash eines fest kodierten Strings wird berechnet,
• die ersten 8 Bytes dienen als DES-Schlüssel,
• entschlüsselt wird im ECB-Modus.

Entschlüsselte Zugangsdaten:

• Absender: info@alnozha-qa.com (wahrscheinlich kompromittiert)
• Empfänger: armkmc2016@gmail.com (vermutlich ein Wegwerf-Konto)

kentt_dec.aska & k2_dec.aska – REMCOS RAT

Zwei weitere Payloads entpuppten sich als REMCOS, ein kommerziell erhältlicher Remote Access Trojaner.
Folgende Konfiguration war eingebettet:

Empfehlungen

Die Infrastruktur des Angreifers, darunter der Server 176.65.134.79, ist weiterhin aktiv.
Es ist davon auszugehen, dass die Kampagne in ähnlicher Form fortgeführt wird.

Wir empfehlen:

1. Das Blockieren seltener Skriptformate (.wsf, .js etc.) auf Gateway-Ebene.
2. Nur bekannte, geschäftsrelevante Dateiformate zuzulassen (z. B. .pdf, .xlsx, .csv).
3. Die folgenden IP-Adressen zu blockieren:
   • 176.65.134.79
   • 196.251.116.245

Dieser Fall zeigt eindrucksvoll, wie auch einfache Malware mit schwacher Verschlüsselung Filter umgehen und in der Praxis Schaden anrichten kann.
Dank schneller Analyse und Reaktion konnte der Angriff frühzeitig unterbunden werden.

Bleiben Sie dran – wir veröffentlichen regelmäßig tiefgehende Analysen wie diese, um Verteidigern einen Schritt Vorsprung zu verschaffen.

IOCs