Storm-2561: SEO-Poisoning mit gefälschten VPN-Installern

Einführung

Microsoft Threat Intelligence hat eine neue Storm-2561-Kampagne beschrieben, die jedes Sicherheitsteam im Blick haben sollte. Durch den Missbrauch von Suchmaschinen-Rankings, gefälschten Websites im Branding von Herstellern und sogar gültigen Code-Signing-Zertifikaten nehmen die Angreifer Nutzer ins Visier, die nach vertrauenswürdiger Enterprise-VPN-Software suchen, und stehlen Anmeldeinformationen, bevor viele Organisationen überhaupt bemerken, dass etwas schiefgelaufen ist.

Was ist neu

Storm-2561 verteilt trojanisierte VPN-Installer über eine überzeugende Angriffskette:

• Nutzer suchen nach legitimer VPN-Software wie Pulse Secure oder Fortinet-Clients.
• Bösartige, durch SEO Poisoning manipulierte Seiten erscheinen in den Suchergebnissen und imitieren vertrauenswürdige Downloadseiten der Hersteller.
• Opfer werden zu ZIP-Dateien umgeleitet, die in von Angreifern kontrollierten GitHub-Repositories gehostet werden.
• Die ZIP-Datei enthält einen bösartigen MSI-Installer und DLLs, die eine echte VPN-Bereitstellung nachahmen.
• Der Installer legt Pulse.exe ab und lädt bösartige DLLs per Side-Loading, darunter dwmapi.dll und inspector.dll.
• inspector.dll wurde als Variante des Hyrax Infostealer identifiziert, die VPN-Anmeldeinformationen und Konfigurationsdaten extrahiert.

Microsoft merkte außerdem an, dass die Malware mit einem legitimen Zertifikat von „Taiyuan Lihua Near Information Technology Co., Ltd.“ signiert war. Dieses Zertifikat wurde inzwischen widerrufen, doch die Verwendung einer gültigen Signatur verringerte das Misstrauen der Nutzer und half möglicherweise dabei, einige Schutzmechanismen zu umgehen.

Bekanntes Angriffsverhalten

Der gefälschte VPN-Client präsentiert eine realistisch wirkende Anmeldeoberfläche, um Anmeldeinformationen direkt vom Nutzer zu erfassen. Nach der Eingabe:

• Wird eine gefälschte Installations- oder Anmeldefehlermeldung angezeigt
• Wird der Nutzer aufgefordert, den echten VPN-Client herunterzuladen
• Wird in einigen Fällen der Browser zur legitimen Website des Herstellers geöffnet

Diese Umleitung nach der Kompromittierung ist besonders effektiv, weil Nutzer die echte Software später möglicherweise erfolgreich installieren und nie vermuten, dass ihre Anmeldeinformationen bereits gestohlen wurden.

Die Kampagne etabliert außerdem Persistenz über den Windows-Registrierungsschlüssel RunOnce und exfiltriert die gestohlenen Daten an eine von den Angreifern kontrollierte Infrastruktur.

Auswirkungen auf IT-Administratoren

Für IT- und Sicherheitsteams unterstreicht diese Kampagne ein wachsendes Risiko: Nutzer müssen keine Phishing-E-Mail-Anhänge mehr öffnen, um kompromittiert zu werden. Schon die einfache Suche nach Business-Software kann zum Diebstahl von Anmeldeinformationen führen.

Organisationen mit Abhängigkeiten beim Fernzugriff sollten besonders besorgt sein, da gestohlene VPN-Anmeldeinformationen unbefugten Zugriff, Lateral Movement und nachgelagerte Angriffe ermöglichen können. Die Verwendung gefälschter Software-Branding-Elemente und signierter Malware erhöht zudem die Wahrscheinlichkeit, dass Endnutzer dem Installer vertrauen.

Empfohlene Maßnahmen

Administratoren sollten die folgenden Schritte ergreifen:

• Sicherstellen, dass der cloudbasierte Schutz von Microsoft Defender Antivirus aktiviert ist
• EDR, wo unterstützt, im Block mode ausführen
• Nach verdächtigen VPN-bezogenen Installern, DLL Side-Loading und RunOnce-Persistenz suchen
• Ausgehende Verbindungen zu bekannten Indikatoren und verdächtigen, auf GitHub gehosteten Downloads überprüfen
• Nutzer dazu anleiten, VPN-Software nur aus genehmigten Unternehmensportalen oder von verifizierten Herstellerquellen herunterzuladen
• Anmeldeinformationen zurücksetzen und Geräte untersuchen, wenn Nutzer von fehlgeschlagenen VPN-Installationen berichten, denen eine erfolgreiche Neuinstallation folgte

Dies ist eine deutliche Erinnerung daran, dass Suchergebnisse Teil der Angriffsfläche sein können und Software-Vertrauenssignale allein nicht mehr ausreichen.