Das Cybersicherheitsunternehmen Trustwave hat eine Cyberkriminalitätskampagne aufgedeckt, bei der Facebook-Jobs zur Verbreitung eines Facebook-Kontos genutzt wurden neuartige Malware, Ov3r_Stealer. Die Malware wurde entwickelt, um Kontoanmeldeinformationen und Kryptowährung von ahnungslosen Benutzern abzugreifen. Die Analyse des Trustwave-Forschungsteams deckt ein komplexes Infektionsverfahren auf, das durch die Einladung von Facebook-Nutzern zur Bewerbung auf eine gefälschte Stelle eingeleitet wurde. Zielbenutzer werden anschließend zu einem kompromittierten Dokument weitergeleitet, das ein PowerShell-Skript aktiviert, das die Malware aus einem GitHub-Repository abruft.
Infektionsmechanismus
Das Schema lockt Ziele an mit einer Stellenausschreibung für einen Account Manager. Bewerber werden auf OneDrive zu einer PDF-Datei weitergeleitet, die fälschlicherweise als Jobdetails dargestellt wird. Stattdessen wird beim Klicken eine Weiterleitung zum Content Delivery Network von Discord initiiert, das eine betrügerische „pdf2.cpl“-Datei herunterlädt. Diese Datei gibt sich als Standarddokument aus, ist aber in Wirklichkeit eine PowerShell-Nutzlast, die Dateien der Windows-Systemsteuerung zur Ausführung ausnutzt. Die Ergebnisse von Trustwave offenbaren einen vielschichtigen Ansatz zum Laden von Malware, der eine ausführbare Windows-Datei, eine DLL zum DLL-Seitenladen und ein Dokument mit der bösartigen Nutzlast umfasst.
Datenexfiltrationstechniken
Nach erfolgreicher Ausführung richtet Ov3r_Stealer eine wiederkehrende geplante Aufgabe ein, die in 90-Minuten-Intervallen ausgeführt wird, um sicherzustellen, dass sie auf dem infizierten System bestehen bleibt. Die Malware zielt auf eine Vielzahl von Anwendungen und Verzeichnissen ab – von Webbrowsern und Erweiterungen bis hin zu Kryptowährungs-Wallets und FTP-Clients wie Filezilla – um wertvolle Daten zu extrahieren. Wichtige Daten werden an einen Telegram-Bot übermittelt, einschließlich geografischer Standortdetails und Zusammenfassungen der kompromittierten Informationen.
Untersuchungen haben die Exfiltrationsaktivitäten der Malware auf Benutzernamen zurückgeführt, die in Software-Cracking-Foren häufig vorkommen, was auf die mögliche Herkunft der Täter schließen lässt. Darüber hinaus wurden Code-Parallelen zwischen Ov3r_Stealer und einem anderen bekannten C#-Stealer beobachtet, Phemedrone, was auf eine abgeleitete Beziehung zwischen den beiden Stämmen schließen lässt. Trustwave hat außerdem Demonstrationsvideos ausgegraben, die auf die möglichen Versuche der Bedrohungsakteure hinweisen, Käufer oder Kollaborateure für ihre bösartigen Tools anzulocken.
Obwohl die Ursprünge unklar sind, zeigen die zugehörigen Konten eine Mischung aus Vietnamesisch, Russische und französische Signale, was klar bleibt, ist die Bedrohung durch Ov3r_Stealer. Es veranschaulicht die zunehmende Raffinesse und den Einfallsreichtum von Cyberkriminellen, die Social-Media-Plattformen nutzen, um ihre schändlichen Nutzlasten einzusetzen. Die Aufdeckung dieser Bedrohung durch Trustwave ist eine entscheidende Erinnerung an die ständige Wachsamkeit, die in der digitalen Landschaft erforderlich ist.
