SocGholish-Malware: Neue Bedrohung für Unternehmen durch raffinierte Verbreitungsstrategien

LONDON (IT BOLTWISE) – Die Bedrohung durch die SocGholish-Malware nimmt zu, da Cyberkriminelle immer ausgeklügeltere Methoden zur Verbreitung und zum Verkauf von Zugängen zu kompromittierten Systemen entwickeln.

Die SocGholish-Malware, auch bekannt als FakeUpdates, stellt eine zunehmende Bedrohung für Unternehmen dar, da sie sich über kompromittierte Websites verbreitet und als vermeintliche Updates für gängige Software tarnt. Diese Malware wird von der Bedrohungsgruppe TA569, auch bekannt als Gold Prelude oder Mustard Tempest, entwickelt und genutzt. Die Gruppe nutzt Traffic Distribution Systems (TDS) wie Parrot TDS und Keitaro TDS, um Nutzer auf schädliche Inhalte umzuleiten.

Im Kern betreibt die Gruppe ein Malware-as-a-Service-Modell, bei dem infizierte Systeme als Zugangspunkte an andere Cyberkriminelle verkauft werden. Zu den Kunden gehören bekannte Gruppen wie Evil Corp und LockBit. Interessanterweise wird auch Raspberry Robin als Verbreitungsweg für SocGholish genutzt, was die Komplexität und Vernetzung der Bedrohungsakteure unterstreicht.

Die Infektionen beginnen häufig mit kompromittierten Websites, die auf verschiedene Weise manipuliert wurden. Dabei werden entweder direkte JavaScript-Injektionen verwendet oder Zwischendateien, die den Schadcode nachladen. Diese Techniken machen es schwierig, die Verbreitung der Malware zu stoppen, da legitime Dienste wie Keitaro TDS ebenfalls genutzt werden, um den Traffic zu lenken.

Keitaro TDS ist bekannt dafür, nicht nur für Malvertising und Betrug, sondern auch für die Verbreitung von Exploit-Kits und Ransomware eingesetzt zu werden. Die Verbindung zu TA2726, einem weiteren Akteur, der als Traffic-Provider für SocGholish fungiert, zeigt die Komplexität der Bedrohungslandschaft.

Die Sicherheitsfirma Silent Push hat festgestellt, dass die gesamte Ausführungskette von SocGholish, vom initialen JavaScript-Injektionspunkt bis zur Ausführung des Windows-Implants, kontinuierlich von einem Command-and-Control-Framework überwacht wird. Dieses Framework entscheidet, ob ein Opfer ‘legitim’ ist, und stoppt gegebenenfalls die Bereitstellung des Schadcodes.

Parallel dazu hat Zscaler eine aktualisierte Version von Raspberry Robin identifiziert, die verbesserte Verschleierungsmethoden und Änderungen im Netzwerkkommunikationsprozess aufweist. Diese Entwicklungen zeigen, dass die Bedrohungsakteure ständig an neuen Methoden arbeiten, um Erkennung und Analyse zu vermeiden.

Die Evolution der DarkCloud Stealer-Angriffe, die Phishing-E-Mails nutzen, um eine geschützte Version des Stealer-Payloads zu verbreiten, verdeutlicht den Trend zu immer raffinierteren Angriffstechniken. Diese Entwicklungen erfordern von Unternehmen erhöhte Wachsamkeit und Anpassung ihrer Sicherheitsstrategien.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!