RotBot-Malware bei asiatischen Opfern eingesetzt
Ein mutmaßlicher Bedrohungsakteur vietnamesischer Herkunft wurde dabei beobachtet, wie er seit mindestens Mai 2023 Einzelpersonen in verschiedenen asiatischen und südostasiatischen Ländern mit Schadsoftware angreift, die darauf abzielt, wertvolle Daten zu extrahieren. Diese von Cisco Talos als CoralRaider identifizierte Gruppe scheint von finanziellen Motiven getrieben zu sein. Ihre Kampagne erstreckt sich über Indien, China, Südkorea, Bangladesch, Pakistan, Indonesien und Vietnam.
Die Sicherheitsforscher Chetan Raghuprasad und Joey Chen haben festgestellt, dass CoralRaider sich darauf konzentriert, die Anmeldeinformationen, Finanzunterlagen und Social-Media-Profile der Opfer zu stehlen, darunter auch Geschäfts- und Werbekonten. Als primäre Tools setzen sie angepasste Varianten von Quasar RAT namens RotBot und XClient Stealer ein.
Darüber hinaus verwendet die Gruppe verschiedene handelsübliche Malware wie AsyncRAT, NetSupport RAT und Rhadamanthys für Fernzugriff und Datendiebstahl. Insbesondere in Vietnam haben sie Interesse daran gezeigt, die Kontrolle über Geschäfts- und Werbekonten mithilfe von Malware-Familien wie Ducktail, NodeStealer und VietCredCare zu übernehmen.
Telegram wurde zum Weiterleiten gestohlener Daten verwendet
Die gestohlenen Informationen werden über Telegram übertragen und gewinnbringend auf Untergrundmärkten verkauft. Die Betreiber von CoralRaider sollen in Vietnam ansässig sein, was aus ihrer Kommunikation auf Telegram-Kanälen und der Verwendung vietnamesischer Sprachelemente in ihren Tools hervorgeht.
Ihr Angriff beginnt normalerweise mit einer Windows-Verknüpfungsdatei (LNK), wobei die Verbreitungsmethode unklar bleibt. Beim Öffnen der LNK-Datei wird eine HTML-Anwendung (HTA) von einem vom Angreifer kontrollierten Server heruntergeladen, wodurch ein eingebettetes Visual Basic-Skript ausgelöst wird. Dieses Skript entschlüsselt und führt nacheinander drei PowerShell-Skripte aus, die für verschiedene Ausweichtaktiken und die Bereitstellung von RotBot verantwortlich sind.
Sobald RotBot aktiviert ist, verbindet es sich mit einem Telegram-Bot, um den XClient-Stealer im Speicher abzurufen und auszuführen. Diese Malware ist darauf spezialisiert, Cookies, Anmeldeinformationen und Finanzdaten aus gängigen Webbrowsern wie Brave, Cốc Cốc, Google Chrome, Microsoft Edge, Mozilla Firefox und Opera sowie Daten von Discord und Telegram zu sammeln.
Darüber hinaus ist XClient darauf ausgelegt, Informationen aus den Social-Media-Konten der Opfer wie Facebook, Instagram, TikTok und YouTube zu extrahieren, darunter Details zu Zahlungsmethoden und Berechtigungen im Zusammenhang mit Facebook-Geschäfts- und Werbekonten.
