Sicherheitsforscher beobachten derzeit eine Weiterentwicklung in der Infrastruktur der sogenannten ClearFake-Kampagnen. Laut Erkenntnissen von Gen Threat Labs wird eine neue Komponente namens WordlistLoader eingesetzt, um die Schadsoftware Amatera-Stealer auf Zielsystemen zu verbreiten. Dabei nutzen die Angreifer eine Kombination aus technischer Raffinesse und gezielter Täuschung der Nutzer, um herkömmliche Sicherheitsmechanismen zu umgehen.
Mehrstufige Angriffskette durch Social Engineering
Der Infektionsweg der aktuellen Kampagnen beginnt in der Regel auf kompromittierten Websites. Die Angreifer setzen auf Social-Engineering-Methoden wie gefälschte CAPTCHA-Abfragen oder das ClickFix-Verfahren. Dabei werden Nutzer unter einem Vorwand dazu verleitet, eine Tastenkombination zu drücken oder einen PowerShell-Befehl auszuführen.
Dieser Befehl initiiert laut Analysen ein WebDAV-Mapping, über welches der Schadcode direkt von entfernten Servern ausgeführt wird. Diese Methode ermöglicht es den Akteuren, die Entdeckung durch dateibasierte Sicherheitsscanner zu erschweren, da wesentliche Teile der Ausführung im Arbeitsspeicher oder über Netzwerkressourcen erfolgen.
Technische Details zum WordlistLoader
Ein zentrales Element der neuen Strategie ist der WordlistLoader. Die Komponente ist darauf spezialisiert, Shellcode aus einer bereitgestellten Wortliste zu entschlüsseln. Dieser Ansatz dient primär dazu, Endpoint Detection and Response (EDR)-Systeme zu umgehen.
Zusätzlich unternimmt der WordlistLoader aktive Schritte zur Deaktivierung von Sicherheitsfunktionen auf dem betroffenen System. Dazu gehört das sogenannte Unhooking von Systemfunktionen sowie die Umgehung der Ereignisverfolgung für Windows (ETW).
Moderne Schadsoftware wie der WordlistLoader zielt gezielt darauf ab, Sicherheitslücken in Unternehmen auszunutzen. Ein kostenloses E-Book zeigt nun, wie Firmen ihre IT-Sicherheit proaktiv stärken und aktuelle gesetzliche Anforderungen ohne hohe Investitionen erfüllen können. Gratis Cyber-Security-Report für Unternehmen herunterladen
Hierfür nutzt die Software Hardware-Breakpoints und das Vectored Exception Handling (VEH). Diese Techniken erschweren es Überwachungswerkzeugen, die bösartigen Aktivitäten im Hintergrund zu protokollieren oder zu blockieren.
Amatera-Stealer in der Version 4.3.3-alpha1
Als finale Nutzlast innerhalb dieser Kampagnen dient der Amatera-Stealer, der aktuell in der Version 4.3.3-alpha1 identifiziert wurde. Diese Version zeichnet sich durch eine deutlich verstärkte Obfuskation aus. Mechanismen wie Control-Flow-Flattening und gezielte Stack-Manipulation sollen die Analyse durch Sicherheitsexperten verlangsamen.
Technisch verfügt Amatera 4.3.3-alpha1 über eine Härtung mittels WoW64/Heaven’s Gate-Syscalls sowie über x64-Syscall-Trampoline. Eine wesentliche Neuerung dieser Version ist zudem die Fähigkeit, die an Anwendungen gebundene Verschlüsselung (Application-Bound-Encryption) der Browser Google Chrome und Microsoft Edge zu umgehen. Dies ermöglicht es der Schadsoftware, sensible Daten wie gespeicherte Passwörter oder Browser-Cookies trotz moderner Schutzmechanismen der Browser-Hersteller zu entwenden.
Da Stealer-Software wie Amatera herkömmliche Passwort-Sicherungen in Browsern immer häufiger umgehen kann, gewinnen alternative Login-Verfahren an Bedeutung. Dieser kostenlose Report erklärt, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. effektiv vor Hackerzugriffen schützen. Kostenlosen Passkey-Ratgeber jetzt sichern
Identifizierte Bedrohungsindikatoren und Schutzmaßnahmen
Sicherheitsanalysten haben im Rahmen der Untersuchung diverse Indicators of Compromise (IoCs) veröffentlicht. Dazu gehören unter anderem die Domains abogadosrosarinos[.]com und aptisweb[.]com sowie sieben weitere C2-Domains und zwei Dead-Drop-URLs. Zudem wurden spezifische SHA256-Hashes für zwei Varianten des WordlistLoaders und zwei Versionen des Amatera-Stealers dokumentiert.
Um das Risiko einer Infektion zu minimieren, empfehlen Experten eine verstärkte Verhaltensüberwachung auf Endgeräten. Administratoren sollten zudem Restriktionen für die Ausführung von Befehlen aus der Zwischenablage in sensiblen Umgebungen prüfen. Ein wesentlicher Bestandteil der Prävention bleibe zudem die Schulung von Nutzern, um betrügerische Interaktionsaufforderungen wie Fake-CAPTCHAs frühzeitig zu erkennen.
