MintsLoader: Neue Bedrohung für Unternehmen durch GhostWeaver

MÜNCHEN (IT BOLTWISE) – Die Bedrohungslage im Bereich der Cybersicherheit hat sich mit der Entdeckung von MintsLoader, einem Malware-Loader, der den Remote-Access-Trojaner GhostWeaver verbreitet, weiter verschärft.

Die Cybersicherheitslandschaft steht vor neuen Herausforderungen, da der Malware-Loader MintsLoader zunehmend zur Verbreitung des Remote-Access-Trojaners GhostWeaver eingesetzt wird. Diese Bedrohung nutzt eine mehrstufige Infektionskette, die auf obfuskierten JavaScript- und PowerShell-Skripten basiert. Experten berichten, dass MintsLoader über ausgeklügelte Techniken zur Umgehung von Sandboxes und virtuellen Maschinen verfügt und eine Domain-Generierungs-Algorithmus (DGA) implementiert, um die Command-and-Control (C2)-Kommunikation zu verschleiern.

Seit Anfang 2023 wurden Phishing- und Drive-by-Download-Kampagnen beobachtet, die MintsLoader verbreiten. Diese Kampagnen zielen auf verschiedene Branchen wie die Industrie, den Rechtssektor und den Energiesektor ab. Besonders besorgniserregend ist die Nutzung von Social-Engineering-Taktiken wie ClickFix, die Benutzer dazu verleiten, schädlichen JavaScript- und PowerShell-Code auszuführen. Diese Links werden häufig über Spam-E-Mails verbreitet.

Obwohl MintsLoader primär als Loader fungiert und keine zusätzlichen Funktionen bietet, liegt seine Stärke in der Umgehung von Sicherheitsmechanismen und der Nutzung eines DGA, das die C2-Domain basierend auf dem Ausführungsdatum generiert. Diese Eigenschaften erschweren die Analyse und Erkennung durch Sicherheitsexperten erheblich. Der Hauptzweck der Malware besteht darin, die nächste Schadsoftwarestufe über eine DGA-Domain mittels eines PowerShell-Skripts herunterzuladen.

GhostWeaver, ein PowerShell-basierter Trojaner, ist darauf ausgelegt, eine persistente Kommunikation mit seinem C2-Server aufrechtzuerhalten. Er generiert DGA-Domains basierend auf einem festen Seed-Algorithmus, der sich nach der Kalenderwoche und dem Jahr richtet. Zudem kann GhostWeaver zusätzliche Payloads in Form von Plugins bereitstellen, die Browserdaten stehlen und HTML-Inhalte manipulieren können.

Eine bemerkenswerte Eigenschaft von GhostWeaver ist die Fähigkeit, MintsLoader als zusätzliche Payload über den Befehl sendPlugin zu deployen. Die Kommunikation zwischen GhostWeaver und seinem C2-Server wird durch TLS-Verschlüsselung gesichert, wobei ein obfuskiertes, selbstsigniertes X.509-Zertifikat direkt im PowerShell-Skript eingebettet ist. Dies wird für die clientseitige Authentifizierung zur C2-Infrastruktur verwendet.

Die Enthüllung dieser Bedrohung erfolgt zeitgleich mit Berichten über eine Kampagne namens CLEARFAKE, die ebenfalls ClickFix nutzt, um Opfer dazu zu bringen, MSHTA-Befehle auszuführen, die letztendlich die Lumma Stealer Malware installieren. Diese Entwicklungen unterstreichen die Notwendigkeit erhöhter Wachsamkeit und fortschrittlicher Sicherheitslösungen, um Unternehmen vor derartigen Bedrohungen zu schützen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!