Was ist passiert?
Die russische Malware-Gruppe DOUBLECUP nutzt eine neue Loader-as-a-Service (LaaS)-Kampagne, um Systeme mit gefährlicher Malware zu infizieren. Die Angreifer setzen dabei ClickFix-Köder ein, um steganographische PNG-Bilder in den Browser-Cache von Opfern einzuschleusen. Diese versteckten Inhalte werden anschließend extrahiert und zur Lieferung von CountLoader sowie einem neuen Remote Access Trojan (RAT) namens DeviceManager missbraucht.
Hintergrund & Bedeutung
ClickFix ist eine legitime Fehlerbereinigungstechnik, die Angreifer zur Verbreitung von Malware zweckentfremdet haben. Die Steganographie-Methode ist besonders gefährlich, da versteckte Inhalte in Bildern schwerer von Sicherheitslösungen erkannt werden. DeviceManager stellt eine neue Bedrohung dar und ermöglicht Angreifern umfangreiche Kontrolle über infizierte Systeme. Diese mehrstufige Angriffsweise erschwert die Detektion erheblich und ermöglicht es Cyberkriminellen, ihre Spuren zu verwischen.
Empfehlungen für IT-Teams
- Browser-Cache überwachen: Implementieren Sie Monitoring für verdächtige Aktivitäten im Browser-Cache
- ClickFix-Warnungen: Schulen Sie Benutzer, verdächtige ClickFix-Benachrichtigungen nicht zu bestätigen
- Netzwerk-Isolierung: Blockieren Sie C2-Server von DOUBLECUP auf Firewalls
- Endpoint Detection: Deployen Sie EDR-Lösungen zur Früherkennung von RAT-Aktivitäten
- Regelmäßige Updates: Stellen Sie sicher, dass Browser und Sicherheitssoftware aktuell sind
Fazit
DOUBLECUP demonstriert ein hohes Maß an Raffinesse bei der Malware-Verteilung. Unternehmen sollten ihre Sicherheitsmaßnahmen dringend überprüfen und Benutzer sensibilisieren.
Quelle: Original Artikel