Neue Malware-Kampagne nutzt Malvertising für In-Memory-Angriffe

LONDON (IT BOLTWISE) – Eine neue Malware-Kampagne, die auf Malvertising setzt, um mehrstufige In-Memory-Angriffe durchzuführen, wurde von Cybersicherheitsforschern entdeckt. Diese Kampagne nutzt eine modulare Malware namens PS1Bot, die sich durch ihre Fähigkeit auszeichnet, verschiedene bösartige Aktivitäten auf infizierten Systemen auszuführen, ohne Spuren auf der Festplatte zu hinterlassen.

Cybersicherheitsforscher haben eine neue Bedrohung entdeckt, die sich durch ihre ausgeklügelte Nutzung von Malvertising auszeichnet. Diese Kampagne zielt darauf ab, Opfer mit einem mehrstufigen Malware-Framework namens PS1Bot zu infizieren. PS1Bot ist modular aufgebaut und kann eine Vielzahl von bösartigen Aktivitäten auf infizierten Systemen ausführen, darunter Informationsdiebstahl, Keylogging, Aufklärung und die Etablierung eines dauerhaften Systemzugangs.

Die Malware wurde so konzipiert, dass sie möglichst unauffällig bleibt, indem sie persistente Artefakte auf infizierten Systemen minimiert und In-Memory-Ausführungstechniken verwendet, um die Ausführung nachfolgender Module zu erleichtern, ohne dass diese auf die Festplatte geschrieben werden müssen. Seit Anfang 2025 sind Kampagnen aktiv, die PowerShell- und C#-Malware über Malvertising verbreiten, wobei die Infektionsketten Module im Speicher ausführen, um forensische Spuren zu minimieren.

PS1Bot weist technische Überschneidungen mit AHK Bot auf, einer auf AutoHotkey basierenden Malware, die zuvor von Bedrohungsakteuren wie Asylum Ambuscade und TA866 eingesetzt wurde. Darüber hinaus wurde festgestellt, dass die Aktivitätscluster mit früheren ransomwarebezogenen Kampagnen überlappen, die eine Malware namens Skitnet (auch bekannt als Bossnet) nutzen, um Daten zu stehlen und die Fernsteuerung über kompromittierte Hosts zu etablieren.

Der Angriff beginnt mit einem komprimierten Archiv, das den Opfern über Malvertising oder Suchmaschinenoptimierung (SEO) Poisoning zugestellt wird. Innerhalb der ZIP-Datei befindet sich eine JavaScript-Nutzlast, die als Downloader dient, um ein Skript von einem externen Server abzurufen, das dann ein PowerShell-Skript auf die Festplatte schreibt und ausführt. Dieses Skript kontaktiert einen Command-and-Control (C2)-Server, um PowerShell-Befehle der nächsten Stufe abzurufen, die es den Betreibern ermöglichen, die Funktionalität der Malware modular zu erweitern und eine Vielzahl von Aktionen auf dem kompromittierten Host durchzuführen.

Zu den Funktionen der Malware gehören die Erkennung von Antivirenprogrammen, das Erfassen von Screenshots, das Stehlen von Daten aus Webbrowsern und Kryptowährungs-Wallet-Anwendungen, das Protokollieren von Tastenanschlägen und das Sammeln von Informationen über das infizierte System. Die Persistenz wird durch ein PowerShell-Skript erreicht, das beim Neustart des Systems automatisch gestartet wird und die gleiche Logik verwendet, um den C2-Abfrageprozess zur Modulabfrage zu etablieren.

Die modulare Natur der Malware-Implementierung bietet Flexibilität und ermöglicht die schnelle Bereitstellung von Updates oder neuer Funktionalität nach Bedarf. Diese Offenlegung erfolgt, während Google bekannt gibt, dass es KI-Systeme nutzt, die von großen Sprachmodellen angetrieben werden, um ungültigen Traffic (IVT) zu bekämpfen und präziser Anzeigenplatzierungen zu identifizieren, die ungültige Verhaltensweisen erzeugen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!