Einer unserer deutschen Kunden wurde kürzlich von einem Administrator eines anderen Unternehmens darüber informiert, dass Rechnungsemails mit Malware verschickt werden, die das E-Mail-Template unseres Kunden verwenden.

Bei einer ersten Untersuchung wurde festgestellt, dass die Kunden- und Rechnungsnummern in den bösartigen E-Mails zu einem legitimen Kunden unseres Kunden gehörten. Dies deutet darauf hin, dass der Angreifer vermutlich eine Original-E-Mail durch die Kompromittierung eines Kunden-E-Mail-Kontos erlangte und deren Inhalt für seine bösartige Kampagne nutzte.

Der meldende Administrator stellte uns die gesamte E-Mail, einschließlich des schädlichen Anhangs, für eine weitere Analyse zur Verfügung.

Dadurch waren wir in der Lage, die Infektionskette gründlich zu untersuchen und aufzudecken.

Erste Stufe (initialer Loader)

Die Phishing-E-Mail ahmte die legitime Rechnungsemail unseres Kunden genau nach, mit einem entscheidenden Unterschied: Der Anhang war eine ZIP-Datei anstelle einer PDF-Datei.

Die ZIP-Datei enthielt eine einzelne verschleierte JavaScript-Datei: 1599224702180799937.js.

Die JavaScript-Datei verwendete Verschleierung durch Variablenersetzung. Durch den Einsatz eines Skripts, das alle Variablen durch ihre jeweiligen Zeichenkettenwerte ersetzt, konnten wir feststellen, dass der Loader auf Windows-Systeme abzielt.

Wenn der Benutzer auf die .js-Datei klickt, wird sie von wscript.exe, dem Standard-Interpreter für solche Dateien in Windows, ausgeführt.

Schritte des Loaders

1. Sprachprüfung: Der Loader überprüft die Systemsprache des Opfers, indem er den Registrierungsschlüssel HKEY_CURRENT_USER\Control Panel\International\Locale abfragt. Wenn die Sprache nicht mit einer deutschsprachigen LCID übereinstimmt (wie in der Microsoftt Dokumentation definiert), beendet der Loader die Ausführung.
2. Anzeigen einer gefälschten Rechnung: Eine gefälschte Rechnung wird in das temporäre Verzeichnis des Benutzers heruntergeladen und mit dem Standard-PDF-Viewer geöffnet. Das unscharfe Erscheinungsbild des Dokuments simuliert einen „noch ladenden“ Effekt.
3. WebDAV-Verbindung: Der Loader bindet eine WebDAV-Freigabe unter http://193.143.1.205:8888/ mit dem Befehl net use ein.
4. DLL-Ausführung: Eine bösartige DLL (54281035428258.dll) wird von der WebDAV-Freigabe mithilfe von regsvr32 geladen.

Zweite Stufe: DLL

Anhand der Entropie der .dll lässt sich eindeutig erkennen, dass es sich bei der .dll um einen Packer handelt, der die eigentliche Nutzlast ablegt.

Nach dem Laden der DLL ruft regsvr32 den Einstiegspunkt DllRegisterServer auf. Die Binärdatei löst Funktionsadressen auf, indem sie über die InLoadOrderModuleList des PEB iteriert.
Durch das Setzen eines Breakpoints auf VirtualAlloc kann der Speicher ermittelt werden, in den die entschlüsselte Nutzlast geschrieben wird.

Zuerst schreibt er alle Abschnitte, beginnend mit dem .text-Abschnitt, in den RWX-Speicher. Anschließend schreibt er den PE-Header. Zusätzlich ersetzt er die entschlüsselten Bytes der Nutzlast im .data-Abschnitt mit den entschlüsselten Werten. Dadurch ist es möglich, die PE-Datei durch das Setzen eines Breakpoints nach der Entschleifungsschleife zu extrahieren.

Nach dem Dumpen der entschlüsselten PE-Datei aus dem Speicher luden wir sie auf VirusTotal hoch, wo sie mit der Strela-Signatur übereinstimmt.

Dritte Stufe: Strela Stealer Variante

Die Analyse der gedroppten PE-Datei zeigt, dass die Malware eine gepackte Variante des Strela-Infostealers ist, einer Schadsoftware, die sensible Informationen stiehlt, hauptsächlich E-Mail-Konten von Thunderbird oder Microsoft Outlook.

Kampagnen, die Strela verwenden, richten sich typischerweise an spezifische Länder. Daher haben wir den Anfang der Malware analysiert, um herauszufinden, welche Länder der Angreifer ins Visier genommen hat.

Die Ausführung wird nur fortgesetzt, wenn das Opfer in Australien oder der Ukraine zu sein scheint. Der C2-Server befindet sich in Russland, was darauf hindeutet, dass der Angreifer mit dem russischen Angriffskrieg gegen die Ukraine in Verbindung steht. Wir vermuten, dass der Angreifer AU überprüft, weil er sich bezüglich der Endianness nicht sicher ist.

Da Strela die gestohlenen Informationen in der Regel an einen einzigen fest codierten Server über HTTP POST sendet, haben wir zunächst die Upload-Routine und die Strings untersucht.

Der Server scheint bei Proton66 OOO, einem russischen bulletproof Hosting-Dienst, gehostet zu sein.

Schaut man sich die Hauptaktionen der Malware an, so geht sie wie folgt vor:

1. Sie sucht nach E-Mail-Konten von Thunderbird, indem sie die Dateien logins.json und key4.db lokalisiert, und lädt diese auf den Server hoch.
2. Sie durchsucht Outlook-IMAP-Konten, indem sie mögliche Registrierungsschlüssel iteriert, und lädt diese Informationen ebenfalls hoch.
3. Abschließend sammelt sie Informationen über den Computer des Opfers mittels systeminfo.exe und lädt die Ergebnisse auf den Server hoch.

Die Kampagne

Die Tatsache, dass der Server (193.143.1.205) weiterhin die zweite Stufe der Nutzlast bereitstellt, und dass unser Kunde eine Phishing-Mail mit einer Variante von Strela erhielt, die sich mit demselben Server verbindet, führt zu der Schlussfolgerung, dass der Angreifer weiterhin aktiv ist.

Wir empfehlen

1. ZIP-Anhänge, die .js-Dateien enthalten, blockieren.
2. Den Server des Angreifers unter 193.143.1.205 auf die Blacklist setzen.

IOCs