Von HealthKick zu GOVERSHELL: Die Entwicklung der Spionagemalware UTA0388

LONDON (IT BOLTWISE) – Eine China-nahe Bedrohungsgruppe, bekannt als UTA0388, wird für eine Reihe von Spear-Phishing-Kampagnen verantwortlich gemacht, die auf Nordamerika, Asien und Europa abzielen. Diese Kampagnen sind darauf ausgelegt, ein Go-basiertes Implantat namens GOVERSHELL zu verbreiten. Die Angriffe nutzen raffinierte Techniken, um das Vertrauen der Opfer zu gewinnen und sie dazu zu bringen, auf schädliche Links zu klicken, die zu einer bösartigen Nutzlast führen.

Eine China-nahe Bedrohungsgruppe, die unter dem Codenamen UTA0388 bekannt ist, hat eine Reihe von Spear-Phishing-Kampagnen durchgeführt, die auf Nordamerika, Asien und Europa abzielen. Diese Kampagnen sind darauf ausgelegt, ein Go-basiertes Implantat namens GOVERSHELL zu verbreiten. Die Angriffe nutzen raffinierte Techniken, um das Vertrauen der Opfer zu gewinnen und sie dazu zu bringen, auf schädliche Links zu klicken, die zu einer bösartigen Nutzlast führen.

Die anfänglich beobachteten Kampagnen waren auf die Ziele zugeschnitten, wobei die Nachrichten angeblich von hochrangigen Forschern und Analysten aus glaubwürdig klingenden, aber vollständig erfundenen Organisationen gesendet wurden. Ziel dieser Spear-Phishing-Kampagnen war es, die Opfer sozial zu manipulieren, damit sie auf Links klicken, die zu einem remote gehosteten Archiv mit einer bösartigen Nutzlast führten. Seitdem hat der hinter den Angriffen stehende Bedrohungsakteur verschiedene Köder und fiktive Identitäten in mehreren Sprachen, darunter Englisch, Chinesisch, Japanisch, Französisch und Deutsch, eingesetzt.

Frühe Iterationen der Kampagnen beinhalteten Links zu Phishing-Inhalten, die entweder auf einem Cloud-basierten Dienst oder ihrer eigenen Infrastruktur gehostet wurden, was in einigen Fällen zur Bereitstellung von Malware führte. Die nachfolgenden Wellen wurden als “hochgradig maßgeschneidert” beschrieben, bei denen die Bedrohungsakteure darauf zurückgreifen, Vertrauen mit den Empfängern aufzubauen, bevor sie den Link senden – eine Technik, die als Rapport-Building-Phishing bezeichnet wird. Unabhängig von der verwendeten Methode führen die Links zu einem ZIP- oder RAR-Archiv, das eine bösartige DLL-Nutzlast enthält, die mithilfe von DLL-Side-Loading gestartet wird.

Die Nutzlast ist ein aktiv entwickeltes Backdoor-Programm namens GOVERSHELL. Es ist bemerkenswert, dass die Aktivität mit einem Cluster überlappt, das von Proofpoint unter dem Namen UNK_DropPitch verfolgt wird, wobei Volexity GOVERSHELL als Nachfolger einer C++-Malware-Familie namens HealthKick charakterisiert. Bisher wurden fünf verschiedene Varianten von GOVERSHELL identifiziert, darunter HealthKick, TE32, TE64, WebSocket und Beacon, die jeweils unterschiedliche Fähigkeiten zur Ausführung von Befehlen über PowerShell oder cmd.exe bieten.

Ein bemerkenswerter Aspekt der Vorgehensweise von UTA0388 ist die Nutzung von OpenAI ChatGPT zur Erstellung von Inhalten für Phishing-Kampagnen in Englisch, Chinesisch und Japanisch. Diese automatisierten Inhalte zeigen eine allgemeine Inkohärenz in den Nachrichten, die auf den Einsatz von großen Sprachmodellen hinweisen. Die ChatGPT-Konten, die von dem Bedrohungsakteur verwendet wurden, sind inzwischen gesperrt worden. Die Zielprofile der Kampagne deuten auf ein Interesse an asiatischen geopolitischen Themen hin, insbesondere mit einem Fokus auf Taiwan.

Die Offenlegung dieser Aktivitäten erfolgt zeitgleich mit Berichten von StrikeReady Labs über eine mutmaßlich China-verbundene Cyber-Spionagekampagne, die eine serbische Regierungsabteilung im Bereich Luftfahrt sowie andere europäische Institutionen in Ungarn, Belgien, Italien und den Niederlanden ins Visier genommen hat. Diese Kampagne, die Ende September beobachtet wurde, beinhaltet das Versenden von Phishing-E-Mails mit einem Link, der das Opfer zu einer gefälschten Cloudflare-CAPTCHA-Verifizierungsseite führt, die den Download eines ZIP-Archivs auslöst. In diesem Archiv befindet sich eine Windows-Verknüpfungsdatei (LNK), die PowerShell ausführt, um ein Ablenkungsdokument zu öffnen und PlugX mithilfe von DLL-Side-Loading heimlich zu starten.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

31,20 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

79,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!