Phishing
Phisher missbrauchen Remote Access Tool NetSupport Manager
Neue Phishing-Kampagne –
Palo Alto Networks und dessen Malware-Forschungsabteilung Unit 42, hat ein schädliche und potentiell gefährliche Microsoft Word-Dokument identifiziert, das als kennwortgeschütztes NortonLifelock-Dokument getarnt war. Dieses wurde in einer Phishing-Kampagne zur Bereitstellung des kommerziell erhältlichen Fernzugriffstools (Remote Access Tool, RAT) NetSupport Manager verwendet. Der Einsatz eines fiktiven NortonLifelock-Dokuments, um Benutzer zur Aktivierung von Makros zu verleiten, macht diesen speziellen Angriff für die Security-Experten interessant.
Dieses RAT wird normalerweise für legitime Zwecke verwendet, um Administratoren den Fernzugriff auf Client-Rechner zu ermöglichen. Kriminelle installieren das RAT jedoch auf den Systemen ihrer Opfer und verschaffen sich so unbefugten Zugriff. Die Verwendung von NetSupport Manager bei Phishing-Kampagnen, um sich unbefugten Zugriff zu verschaffen, wird von Bedrohungsforschern mindestens schon seit 2018 beobachtet.
Bei einer ersten Überprüfung der aktuellen Erkennung, die zuvor von der Cortex XDR Engine markiert wurde, stellten die IT-Sicherheitsexperten fest, dass die Kausalitätskette begann, als ein Microsoft Word-Dokument aus Microsoft Office Outlook heraus geöffnet wurde. Obwohl den Forschern die eigentliche E-Mail nicht zur Verfügung steht, konnten sie den Schluss ziehen, dass diese Aktivität Teil einer größeren Kampagne zu sein scheint.
Bei dieser Aktivität setzen die Cyberangreifer Ausweichtechniken ein, um sowohl die dynamische als auch die statische Analyse zu umgehen. Zur Installation der bösartigen Dateiaktivität kommt das PowerShell PowerSploit-Framework zum Einsatz. Durch zusätzliche Analysen hat das Forschungsteam verwandte Aktivitäten identifiziert, die bis Anfang November 2019 zurückreichen.
Im ausführlichen Bericht zu dieser Bedrohung beschreibt Unit 42 die anomalen Aktivitäten, die durch die Verhaltenserkennungsfunktionen von Cortex XDR beobachtet wurden.
