LONDON (IT BOLTWISE) – Der APT-Akteur SideCopy weitet seine Spear-Phishing-Angriffe in Indien von Behörden auf akademische Einrichtungen aus. Der neue Angriffspfad nutzt einen ZIP-Launcher mit LNK-Datei und gespoooftem PDF-Icon, um über mshta.exe eine mehrstufig verschleierte Payload zu starten. Als Kernkomponente dient ReverseRAT, das Daten stiehlt, Befehle ausführt und Persistenz über die Registry aufbaut. Für die Exfiltration kommt ein mit einem Hardcode-Schlüssel verschlüsselter C2-Kanal zum Einsatz, der über einen DNS-gebundenen Endpunkt läuft.
Der IT-Sicherheitsfokus auf Gruppen wie SideCopy verschiebt sich spürbar: Während der Threat Actor bislang vor allem indische Regierungsstellen und in diesem Umfeld tätige Personen ins Visier nahm, zeigen aktuelle Beobachtungen eine gezielte Ausweitung auf akademische Institutionen in Indien. Genau diese Neubewertung der Zielgruppe ist für Betreiber von Hochschulnetzen und Forschungseinrichtungen relevant, weil dort häufig heterogene IT-Landschaften zusammenkommen: neben Standard-Workstations auch Laborrechner, geteilte Storage-Systeme und teils ältere Windows-Installationen für Spezialsoftware. SideCopy, auch unter der Bezeichnung TAG-140 geführt, gilt mindestens seit 2019 als aktiv und wird in technischen Analysen in den Kontext anderer Cluster eingeordnet, die auf ähnliche Angriffslogiken setzen.
Technisch beginnt die Angriffskette typischerweise mit einem Spear-Phishing-Setup, das nicht auf „klassische“ Makros setzt, sondern auf die missbräuchliche Nutzung von mshta.exe. Konkret dokumentiert ein technischer Report, dass SideCopy ein ZIP-Archiv als Köder liefert. Darin liegt eine Windows-Verknüpfung (LNK) mit einem gespooften PDF-Icon und einer „.DOCX“-Namensendung, sodass der Inhalt beim Klick auf den ersten Blick plausibel wirkt. Diese LNK-Datei holt anschließend eine obfuscated HTML Application (HTA) von einem externen Server und startet sie über mshta.exe. Damit umgeht der Angreifer laut Beschreibung gleich mehrere eher verlässliche Abwehrannahmen, die in Organisationen noch immer mit Dateitypen oder Makroausführung verknüpft sind.
Die weitere Ausführung erfolgt dann mehrstufig und stark verschleiert. Ein entscheidender Schritt ist, dass die Malware nach dem Initialisieren der Folgestufe eine Anti-Forensik-Selbstlöschroutine ausführt und die HTA-Datei wieder entfernt. Dadurch sinkt die Chance, dass Incident-Responder die ursprüngliche Zwischenkomponente später auf dem Datenträger rekonstruiert bekommen. Im nächsten Stadium fungiert ein DLL-Payload als Dropper für mehrere eingebaute Komponenten: unter anderem ein Batch-Skript, das über einen Windows-Registry-Run-Key startet, um „startT.hta“ ebenfalls mit mshta.exe ausführen zu lassen, ohne dass dafür eine direkte Nutzerinteraktion erforderlich sein muss. Parallel taucht eine zweite Exploit-Stufe auf, die schließlich den finalen Payload „commskl.docx“ in die Verarbeitung bringt. Laut Analyse baut dieser Schritt den eigentlichen Code über mehrstufige Deobfuskation in den Arbeitsspeicher auf, statt ihn vollständig persistent auf der Platte abzulegen.
Besonders auffällig ist dabei der Übergang von base64-kodierten Artefakten zu einer aktiven In-Memory-Ausführung. Um eine diskbasierte Erkennung zu erschweren, decodiert das Schadprogramm sein Kernpayload in volatilen Speicherbereichen und nutzt für das In-Memory-Laden eine.NET Deserialization-Pipeline. Aus Sicht der Verteidigung ist das weniger ein einzelnes „Gadgets“-Problem als ein Architekturthema: Wer nur Dateisignaturen oder reine Hash-basierten Scans an der Dateieingangszone betreibt, übersieht leicht, dass ein relevanter Teil der Laufzeit erst nach der Initialausführung im RAM entsteht. In der beobachteten Kette wird zudem eine reflectively geladene Komponente namens ReverseRAT hervorgebracht, die als Remote Access Trojan seit Anfang 2021 für Datenexfiltration, Remote Execution und Persistenz eingesetzt wird.
ReverseRAT übernimmt dabei mehrere Aufgaben, die im Alltag eines APT-Setups typischerweise ineinandergreifen: Es sammelt Systemmetadaten, eine Liste installierter Software, Screenhots sowie Zugangsdaten und Inhalte aus der Zwischenablage; außerdem führt es Dateioperationen aus, startet Befehle und richtet Persistenz über Registry-Mechanismen ein. Für die Angriffsdynamik ist außerdem die Kommunikation entscheidend. Die C2-Datenübertragung nutzt laut Analyse einen verschlüsselten Kanal mit einem Hardcode-Kryptoschlüssel („NMXIKS09?: 709,!~lnsYUS“). Die Exfiltration erfolgt über Port 5863 an einen DNS-gebundenen Endpunkt („dns.educationportals[.]biz“), der sich in der Untersuchung auf eine konkrete IP-Adresse auflöst („45.61.157[.]22.“). Diese Kombination aus Verschlüsselung, In-Memory-Ausführung und DNS-naher Adressierung soll dabei die Nachvollziehbarkeit im Netzwerk minimieren.
In der Gesamtbetrachtung wirkt die aktuelle SideCopy-Aktivität wie eine bewusst disziplinierte Weiterentwicklung der Vorgehensweise. Der Wechsel von Regierungsfokus hin zu akademischen Zielen ist strategisch plausibel: Hochschulen bieten häufig eine große Fläche für Vertrauensbeziehungen (Gastkonten, Projektressourcen, Austauschprogramme), gleichzeitig sind IT-Teams dort manchmal stärker durch Alltagsbetrieb und Forschungskontexte gebunden. Für Security-Teams heißt das nicht nur „auf Universitäten achten“, sondern auch die Erkennungslogik stärker am Verhalten auszurichten: Prozesse wie mshta.exe im Kontext von LNK-gestarteten Ketten, das Auftreten reflectiver DLL-Loads und Muster, die auf In-Memory-Entschlüsselung und.NET-Deserialisierung deuten. Wer diese Telemetrie konsequent zentral sammelt, kann die spätere Phase – wenn ReverseRAT Persistenz aufbaut und Exfiltration anstößt – deutlich früher abfangen.
Auch der Blick in die Historie zeigt, dass SideCopy nicht bei einer einzigen Einstiegsmethode stehenbleibt. Bereits in älteren Kontexten wurde das Vorgehen mit Spear-Phishing in Verbindung gebracht und mit Kampagnen zu offenen Remote-Access-Zielen diskutiert, die sich thematisch in der Region bewegen. In diesem Fall kommt hinzu, dass mehrere Verschleierungs- und Ausführungsstufen ineinandergreifen: gespoofte Dateierwartungen, HTA-Remote-Fetch, Self-Deletion, Registry-Run-Key-Start, In-Memory-Deobfuskation sowie ein verschlüsselter C2-Transport. Genau diese Kette macht die Gruppe sowohl anpassungsfähig als auch schwerer „einmalig“ zu blocken. Für Organisationen in Indien ist die wichtigste Konsequenz deshalb weniger eine einzelne IOC-Orientierung, sondern eine robuste Abwehrstrategie gegen mehrstufige, speicherbasierte Loader-Mechanismen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SideCopy zielt in Indien auf Universitäten: ReverseRAT per Spear-Phishing" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SideCopy zielt in Indien auf Universitäten: ReverseRAT per Spear-Phishing" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SideCopy zielt in Indien auf Universitäten: ReverseRAT per Spear-Phishing« bei Google Deutschland suchen, bei Bing oder Google News!