Hackers nutzen gefälschte reCAPTCHA-Pop-ups, um Malware zu installieren und Kryptowährungen zu stehlen

Die Cybersicherheitsgruppe eSentire hat den Einsatz gefälschter CAPTCHA-ähnlicher Pop-ups aufgedeckt, um Opfer dazu zu verleiten, credential-harvesting-Malware, Amatera Stealer und NETSupport RAT durch Missbrauch einer als ClickFix bekannten Methode einzusetzen.

Die Threat Response Unit (TRU) von eSentire verfolgt seit November eine Eskalation von Kampagnen, die ClickFix missbrauchen, um den initialen Zugriff auf Ziel-Systeme zu erlangen. Laut TRU nutzen Bedrohungsakteure diese Methode, um Opfer durch Social Engineering dazu zu bringen, bösartige Befehle manuell über das Windows-Ausführen-Fenster auszuführen. 

Sobald diese Befehle ausgeführt werden, wird eine Infektionskette ausgelöst, die mit der Bereitstellung von Amatera Stealer und NetSupport RAT endet – beides legitime Remote-Überwachungstools, die von Cyberkriminellen für unbefugten Fernzugriff missbraucht wurden.

ClickFix-Kampagne nutzt reCAPTCHA, um Malware einschleusen zu lassen

Laut Forschung von eSentire veröffentlicht letzten Donnerstag locken Hacker Opfer über gefälschte Websites und Pop-ups, die wie „Sicherheitstests 

Die irreführenden Schnittstellen fordern Nutzer auf, ein angebliches Problem zu „reparieren“, wobei die Anweisungen dazu führen, dass sie schädliche Befehle ausführen, ohne die Risiken zu sehen. Sobald der erste Befehl ausgeführt wurde, wird Amatera Stealer zuerst geliefert, gefolgt von der Installation von NetSupport Manager, die es Hackern ermöglicht, den kompromittierten Computer zu überwachen und zu steuern, als wären sie physisch anwesend.

Amatera Stealer ist keine völlig neue Bedrohung, sondern die neueste Entwicklung von ACR Stealer, auch bekannt als AcridRain. Die frühere Version erschien erstmals 2024 als Malware-as-a-Service-Produkt auf Hackerforen, das von mehreren Nutzern über Abonnementpakete eingesetzt wurde.

Die Verkäufe von ACR wurden Mitte 2024 unterbrochen, als dessen Entwickler, online bekannt als SheldIO, den Quellcode der Malware verkaufte. Trotz der Verkäufenachricht sagte die Gruppe, dass dies „kein Ende“ der Entwicklung darstelle. Forscher glauben nun, dass Amatera der direkte Nachfolger von ACR ist, der mit mehr Fähigkeiten und neuen Evasionsmethoden neu aufgebaut wurde.

Amatera, das im Juni von der Sicherheitsauditfirma Proofpoint entdeckt wurde, ist ab 199 US-Dollar pro Monat bis 1.499 US-Dollar jährlich als Abonnement erhältlich.

"Amatera bietet Bedrohungsakteuren umfangreiche Fähigkeiten zur Exfiltration von Daten, die Kryptowallets, Browser, Messaging-Anwendungen, FTP-Clients und E-Mail-Dienste zum Ziel haben. Es verwendet fortgeschrittene Evasion-Strategien wie WoW64 SysCalls, um Mechanismen zur Vermeidung von Hooking im Benutzer-Modus zu umgehen, die von Sandboxen, Antiviren-Lösungen und EDR-Produkten verwendet werden", so eSentire.

Die Malware ist in C++ geschrieben und kann Ernte gespeicherte Passwörter, Karteninformationen, Surfverläufe und Dateien aus Browsern wie Chrome, Brave, Edge, Opera, Firefox und speziellen Plattformen wie Tor Browser und Thunderbird. 

Mehrstufige Windows PowerShell-Loader, die Schadsoftware verbergen

Laut der Bedrohungsanalyse von eSentire basiert der Infektionsprozess von Amatera auf mehreren Ebenen verschleierter PowerShell-Befehle. 

TRU-Forscher beobachteten eine Phase, die nachfolgende Payloads mittels eines XOR-Prozesses auf dem String „AMSI_RESULT_NOT_DETECTED“ entschlüsselte – ein Begriff, der mit Microsofts Anti-Malware-Scan-Schnittstelle (AMSI) in Verbindung steht. Der Entwickler des Loaders könnte diese Phrase absichtlich gewählt haben, um Forscher zu verwirren, die eine dynamische Analyse durchführen.

Obwohl Amatera die am häufigsten in diesen Kampagnen gelieferte Payload ist, dokumentierte eSentire auch Fälle, in denen derselbe Loader zur Bereitstellung anderer Infostealer wie Lumma und Vidar verwendet wurde. Einige Proben enthielten keine Konfigurationsparameter, die für die Ausführung mehrstufiger Loader erforderlich waren; stattdessen entschieden sich die Angreifer dafür, NetSupport Manager direkt bereitzustellen.

eSentire und andere Sicherheitsfirmen haben E-Mail-Kampagnen dokumentiert, die Visual Basic Script-Dateien als Rechnungen getarnt verbreiten. Beim Öffnen führten diese Dateien Batch-Skripts aus, die PowerShell-Loader starteten, die XWorm bereitstellten.

Andere Kampagnen involvierten kompromittierte Websites, die Besucher auf gefälschte Cloudflare-Verifizierungsseiten umleiteten, die ClickFix-Prompts nachahmen. Diese Aktivitäten wurden einer Operation zugeordnet, die unter Namen wie SmartApeSG, HANEYMANEY und ZPHP bekannt ist, wobei NetSupport RAT als finales Payload zum Einsatz kommt.

Hacker hatten betrügerische Booking.com-Websites erstellt, die gefälschte CAPTCHA-Prüfungen hosteten und Benutzer aufforderten, das Windows-Ausführen-Dialogfeld zu öffnen und einen Befehl auszuführen, wodurch direkt ein Anmeldeinformationen stahlendes Skript auf infizierten Systemen installiert wurde.

Einige der Phishing-Kampagnen die mit diesen Malware-Lieferungen verbunden sind, verwenden eine neue Phishing-Suite namens Cephas. Laut dem Cybersicherheitslösungsanbieter Barracuda nutzt Cephas eine fortschrittliche Verschleierungsmethode, bei der unsichtbare Zeichen in den Quellcode von Phishing-Seiten eingefügt werden, was für automatisierte Scanner schwer zu erkennen ist.

„Die Suite verschleiert ihren Code, indem sie zufällige unsichtbare Zeichen innerhalb des Quellcodes erzeugt, die dazu beitragen, Anti-Phishing-Scanner zu umgehen und signaturenbasierte YARA-Regeln daran hindern, die exakten Phishing-Methoden zu matchen schrieb in seiner Analyse letzte Woche.