Latrodectus Malware verspreid in phishing-campagne

Bedreigingsonderzoekers hebben een nieuw geïdentificeerde malware ontdekt met de naam Latrodectus, die sinds eind november 2023 via e-mailphishing-campagnes wordt verspreid.

Beschreven als een opkomende downloader met meerdere functies om detectie in sandbox-omgevingen te omzeilen, is Latrodectus ontworpen om payloads op te halen en opdrachten uit te voeren, zoals uiteengezet in een recente gezamenlijke analyse door onderzoekers van Proofpoint en Team Cymru.

Er zijn aanwijzingen dat de makers van Latrodectus waarschijnlijk dezelfde personen zijn die verantwoordelijk zijn voor de ontwikkeling van de IcedID-malware. Deze downloader wordt gebruikt door Initial Access Brokers (IAB's) om de implementatie van aanvullende malware te stroomlijnen.

Latrodectus gekoppeld aan twee APT's

Latrodectus wordt voornamelijk geassocieerd met twee verschillende IAB's, bekend als TA577 (ook wel Water Curupira genoemd) en TA578. TA577 is eerder verbonden geweest met de verspreiding van QakBot en PikaBot.

Sinds medio januari 2024 wordt Latrodectus voornamelijk door TA578 gebruikt in e-mailbedreigingscampagnes, soms verzonden via een DanaBot-infectie.

TA578, operationeel sinds minstens mei 2020, is betrokken geweest bij e-mailcampagnes die verschillende malware bevatten, zoals Ursnif, IcedID, KPOT Stealer, Buer Loader, BazaLoader, Cobalt Strike en Bumblebee.

Wijze van infiltratie

De aanvalsmethodologie omvat doorgaans het gebruik van contactformulieren op websites om juridische bedreigingen met betrekking tot vermeende inbreuk op het auteursrecht naar gerichte entiteiten te sturen. De ingebedde links leiden de ontvangers naar een misleidende website en overtuigen hen om een JavaScript-bestand te downloaden dat verantwoordelijk is voor het initiëren van de belangrijkste payload met behulp van msiexec.

Bij infectie verzendt Latrodectus gecodeerde systeeminformatie naar zijn command-and-control-server (C2) en vraagt om het downloaden van de bot. Na registratie bij de C2 wacht deze op opdrachten van de server.

Latrodectus beschikt over mogelijkheden om sandbox-omgevingen te detecteren door de aanwezigheid van een geldig MAC-adres en een voldoende aantal actieve processen op systemen met Windows 10 of nieuwer te verifiëren.

Net als IcedID verzendt Latrodectus registratie-informatie naar de C2-server via een POST-verzoek, waarbij de gegevens worden gecodeerd en samengevoegde HTTP-parameters. Vervolgens wacht het op verdere instructies van de server.

Met de opdrachten die aan Latrodectus worden gegeven, kan het bestanden en processen opsommen, binaire bestanden en DLL-bestanden uitvoeren, willekeurige richtlijnen uitvoeren via cmd.exe, zichzelf bijwerken en lopende processen beëindigen.

Uit verder onderzoek naar de infrastructuur van de aanvaller blijkt dat de eerste C2-servers op 18 september 2023 actief werden en communiceerden met een upstream Tier 2-server die rond augustus 2023 was opgericht.

De verbinding tussen Latrodectus en IcedID blijkt uit het feit dat de Tier 2-server verbindingen onderhoudt met de backend-infrastructuur die is gekoppeld aan IcedID en gebruik maakt van jumpboxen die voorheen werden geassocieerd met IcedID-operaties.