ShadowPad-Malware gegen pakistanische Ziele eingesetzt
Ein unbekannter Bedrohungsakteur hat eine in Pakistan weit verbreitete Anwendung kompromittiert, was zur Verbreitung von ShadowPad führte, einem Nachfolger der PlugX-Hintertür, die mit chinesischen Hackergruppen in Verbindung gebracht wird.
Zu den von diesem Cyberangriff betroffenen Zielen gehören eine Regierungsbehörde, eine öffentliche Bank und ein Telekommunikationsanbieter in Pakistan. Laut Trend Micro ereigneten sich die Infektionen zwischen Februar und September 2022.
Trend Micro vermutet, dass dieser Vorfall das Ergebnis eines Supply-Chain-Angriffs sein könnte, bei dem eine legitime Softwareanwendung, die von den angegriffenen Unternehmen verwendet wird, manipuliert wird, um Malware einzusetzen, die in der Lage ist, vertrauliche Informationen von kompromittierten Systemen zu sammeln.
Bei dem Angriff handelte es sich um ein bösartiges Installationsprogramm für E-Office, eine Software, die vom National Information Technology Board (NITB) Pakistans entwickelt wurde, um papierlose Abläufe in Regierungsbehörden zu erleichtern.
Angriffsvektor noch unbekannt
Die genaue Methode zur Bereitstellung des kompromittierten E-Office-Installationsprogramms an die Opfer ist derzeit nicht bekannt. Bisher gibt es jedoch keine Hinweise darauf, dass die Bauumgebung der beteiligten pakistanischen Regierungsbehörde kompromittiert wurde.
Dies erhöht die Möglichkeit, dass der Bedrohungsakteur das legitime Installationsprogramm erhalten und es so geändert hat, dass es Malware enthält. Sie haben die Opfer wahrscheinlich durch Social-Engineering-Taktiken dazu verleitet, die trojanisierte Version auszuführen.
Im Rahmen des Angriffs wurden drei Dateien zum Original-MSI-Installationsprogramm hinzugefügt: Telerik.Windows.Data.Validation.dll, mscoree.dll und mscoree.dll.dat. Unter diesen ist Telerik.Windows.Data.Validation.dll eine gültige applaunch.exe-Datei, die von Microsoft signiert wurde und anfällig für DLL-Sideloading ist. Dies ermöglicht das Laden von mscoree.dll, das wiederum mscoree.dll.dat lädt, die Nutzlast mit der ShadowPad-Malware.
Trend Micro weist darauf hin, dass die Verschleierungstechniken, die zur Verschleierung der DLL und der Malware-Entschlüsselung im Endstadium eingesetzt werden, eine Weiterentwicklung von Methoden sind, die bereits im Januar 2021 von Positive Technologies aufgedeckt wurden, das mit der Winnti-Gruppe (auch bekannt als APT41) in Verbindung steht, die chinesische Cyberspionage betreibt Kampagnen.
