SEOUL / LONDON (IT BOLTWISE) – ScarCruft (APT37) setzt für die Lieferung von NarwhalRAT auf überzeugende Spear-Phishing-Mails, die wie Microsoft-Konto-Sicherheitswarnungen wirken. Im Anhang führt ein LNK-basiertes mehrstufiges Loader-Skript zur Installation einer Python-Komponente, die Befehle aus mehreren C2-Quellen abrufen und Ergebnisse zurücksendet. Auffällig ist dabei die In-Memory-Strategie der Persistenz per geplanten Task sowie die Nutzung legitimer Cloud-Services als „Dead-Drop“-Relay. Für Unternehmen ist das ein Warnsignal, ihre Account- und Anhangsschutz-Mechanismen gegen Social-Engineering konsequent zu härten.
Im aktuellen Fall rückt weniger die Malware selbst als vielmehr die Lieferkette in den Fokus: Die nordkoreanisch verknüpfte Gruppe ScarCruft, auch als APT37 bekannt, nutzt Spear-Phishing-Mails, die Sicherheitsbenachrichtigungen für Microsoft-Konten täuschend imitieren. Ziel ist es, bei Empfängern Alarmismus auszulösen – etwa durch Hinweise auf „abnormale Aktivitäten“ beim wiederholten Erzeugen von One-Time-Passwords (OTPs) und die drohende Nutzung eines Missbrauchsvektors. Dieser Ansatz folgt einem bewährten Prinzip moderner Social-Engineering-Angriffe: Nicht die Technik muss beim Empfänger „klingen wie eine Warnung“, sondern die Dringlichkeit muss die Entscheidung für das Ausführen des Anhangs vorwegnehmen.
Technisch beginnt der Angriff typischerweise mit einer Mail, die den Nutzer auffordert, sich auf eine beigefügte „Beratungs“-Information zu beziehen. Entscheidend ist jedoch: Statt eines erwarteten Dokuments liegt in Wahrheit ein ZIP-Archiv vor, das einen bösartigen LNK-File-Treiber enthält. Sobald dieser LNK gestartet wird, startet eine mehrstufige Infektionskette über Zwischenschritte, meist per Batch-Skripten. Diese Skripte laden den eigentlichen Python-Loader und weitere Artefakte nach, einschließlich Dateien, die als legitime Windows-Komponenten wirken sollen. Damit wird die Hürde zwischen „Klick“ und „vollständiger Kompromittierung“ weiter zerlegt, was die Detektion über einzelne Signaturen erschwert.
Ein besonderes Merkmal von NarwhalRAT ist die Kombination aus Python-basierter Architektur und einer Persistenzstrategie, die auf geplanten Tasks setzt. Der Task wird so konfiguriert, dass ein weiteres Element (u. a. eine CAT-Datei) ausführt, ohne sichtbare Artefakte dauerhaft auf dem Datenträger zu hinterlassen. Die Payload wird anschließend in den Arbeitsspeicher geladen und dort ausgeführt („In-Memory“-Ausführung). Aus Sicht der Verteidigung ist das relevant, weil klassische Funde wie neu erzeugte Binärdateien, auffällige Dropper-Hinweise oder konsistente Dateinamen nur eingeschränkt greifen. In der Praxis sollte ein SOC deshalb stark auf Verhaltenssignale achten: Task-Erstellung, ungewöhnliche Elternprozesse, Speicherresidenter Code und netzwerkseitige Beacons.
Bei den Funktionen der Python-Komponente zeigt sich der Charakter eines Remote Access Tools (RAT): Es kann Tastatureingaben protokollieren, Screenshots anfertigen (inklusive Unterstützung für höher aufgelöste Bilder), Umgebungsaudio aufzeichnen und Inhalte von Verzeichnissen sowie Details zum aktiven Fenster erfassen. Ergänzend werden Daten von USB-Medien gesammelt, was im Targeting-Umfeld insbesondere dann wirkt, wenn die Organisation vielfältige Wechselmedien nutzt oder Labor-/Office-Workflows nicht konsequent segmentiert. Darüber hinaus verarbeitet die Malware Befehle von einem Command-and-Control-Server und kann auch den Kanal wechseln. Genau diese „Multi-C2“-Fähigkeit erhöht die Ausfallsicherheit für Angreifer und reduziert die Wirkung einzelner Sperrlisten.
Für die operative Tarnung greift NarwhalRAT auf einen kreativen Namens- und Infrastrukturansatz zurück. Der Malware-Runbook-Name verweist auf eine Staging-Logik über einen Pfad unter %APPDATA%\naverwhale – als Anspielung darauf, wie sich die Malware als „Naver Whale“ tarnt, einen Browser, der mit einem südkoreanischen Anbieter assoziiert ist. Zusätzlich werden Kommunikationsrelais genutzt, darunter koreanische Websites, die als primäre Trigger- und Weiterleitungsstellen fungieren. Besonders bemerkenswert ist jedoch die Implementierung einer Kommunikation über eine legitime Cloud-Speicher-API, beispielsweise über pCloud. Dabei erscheinen routinen, die Parameter wie „folderid“ und „auth“ auswerten: Das wird als „Dead-Drop“-Resolver interpretiert, bei dem die Cloud nicht nur Speicher, sondern indirekt auch C2-Informationen transportiert.
Damit lässt sich der Schritt von RokRAT hin zu NarwhalRAT als strategische Anpassung interpretieren. Früher wurde RokRAT exklusiv ScarCruft zugeschrieben; NarwhalRAT zeigt nun eine breitere, modularere Infrastrukturbildung. Ein Vergleich zu anderen Advanced-Persistent-Threat-Ansätzen macht deutlich, dass die Industrie zunehmend von „Einmal-Infektionsketten“ zu „Resilienz-Designs“ wechselt: Loader-Phasen, Task-basierte Persistenz, wechselnde Kommunikationswege und die Umgehung typischer Artefaktmuster. Expertenordnungen aus der Praxis betonen zudem, dass diese Angriffe oft wiederverwendbare Lures besitzen – hier etwa ZIP/LNK-Ansätze mit obfuskierten Batch-Elementen und Namen, die wie legitime Wartungsarbeiten wirken. Für SOC-Teams heißt das: Signature-basiertes Blocking allein reicht selten aus.
Markt- und Wettbewerbsblick: Bei solchen Kampagnen verhalten sich Verteidiger und Angreifer wie in einem dauerhaften „Security-War-Loop“. Während Unternehmen ihre Phishing- und Anhangsfilter schärfen, arbeiten Angreifer mit höherer Zielgenauigkeit und mit UX-ähnlichen Triggern, etwa indem sie Sicherheitsereignisse am Konto nachbilden (OTP-Logik, Abnormalitätsbehauptungen, Passwortwechselaufforderungen). In anderen APT-Realitäten – etwa bei Aktivitäten, die ebenfalls OTP- und Konto-Themen nutzen – zeigt sich, dass genau die Kombination aus glaubwürdigem Kontext und zeitlicher Dringlichkeit die Klickrate treibt. Der Wettbewerbsdruck entsteht folglich weniger im Malware-Code als im Social-Engineering-Design.
Für die Zukunft ergibt sich vor allem ein konkreter Handlungsimpuls: Unternehmen sollten ihre Sicherheitskontrollen entlang der gesamten Kette prüfen, also von der Posteingangsebene über Endpoint-Schutz bis hin zur Authentifizierung. Hierzu gehört, dass geplante Tasks und unerwartete Skript-/Interpreter-Starts zentral korreliert werden, und dass In-Memory-Verhalten stärker überwacht wird als nur Dateidrops. Ebenso sinnvoll ist eine konsequente Absicherung von Konten gegen OTP- und Session-Missbrauch, etwa durch Rate-Limits, striktes Logging und durch die robuste Bewertung verdächtiger Passwortänderungen. NarwhalRAT macht zudem wahrscheinlich, dass Cloud-Services zunehmend als C2-Nebenkanal genutzt werden. Wer dies frühzeitig in Monitoring und Threat-Modeling einplant, kann die nächste Welle wesentlich schneller bremsen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NarwhalRAT: APT37 nutzt Fake Microsoft-Alerts für In-Memory-RAT" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NarwhalRAT: APT37 nutzt Fake Microsoft-Alerts für In-Memory-RAT" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NarwhalRAT: APT37 nutzt Fake Microsoft-Alerts für In-Memory-RAT« bei Google Deutschland suchen, bei Bing oder Google News!