BlueVoyant analysiert neue FireClient-Angriffe über Microsoft Teams.
Sicherheitsforscher von BlueVoyant haben im Rahmen von Untersuchungen zu Social-Engineering-Kampagnen über Microsoft Teams eine neue Verbreitungsmethode für die FireClient-Backdoor identifiziert.
Zusammenfassung (TL; DR):
- Sicherheitsforscher haben eine neue Infektionskette der Schadsoftware „FireClient“ entdeckt, bei der Angreifer über Social-Engineering und Microsoft Teams ersten Fernzugriff erlangen.
- Nach der Kompromittierung nutzt die Malware MSI-Pakete und vertrauenswürdige Anwendungen für unbemerkten Schadcode-Einsatz via DLL-Sideloading.
- Die Kommunikation und Datenexfiltration erfolgt über AWS API Gateways, das macht eine verhaltensbasierte IT-Abwehr erforderlich.
Während die Fähigkeiten von FireClient nach der Kompromittierung gegenüber der zuvor dokumentierten Variante weitgehend unverändert bleiben, hat der Bedrohungsakteur die Installationsroutine der Schadsoftware deutlich weiterentwickelt. Anstelle des früheren Missbrauchs von Firefox-Profilen kommt nun ein MSI-basierter Verbreitungsmechanismus zum Einsatz, der portable Anwendungen und DLL-Sideloading nutzt.
Die Angriffstechnik im Detail
In den vergangenen Monaten verzeichnete das Security Operations Center (SOC) von BlueVoyant eine Zunahme von Social-Engineering-Angriffen über Microsoft Teams. Dabei versuchen die Angreifer, ahnungslose Nutzer dazu zu bringen, über legitime Wartungstools wie Quick Assist Fernzugriff auf ihre Geräte zu gewähren. Sobald der Zugang hergestellt ist, setzen die Täter zusätzliche Werkzeuge ein, um Persistenz zu etablieren, Zugangsdaten abzugreifen, weitere Systeme im Netzwerk zu erfassen und sich schließlich lateral zu bewegen sowie Rechte auszuweiten.
Die aktualisierte Infektionskette liefert FireClient über Windows-Installer-Pakete (MSI) aus, die eine portable Version der Multimedia-Anwendung Kodi enthalten. Beim Ausführen lädt kodi.exe per Sideloading eine manipulierte zlib.dll nach. Diese DLL behält die Export-Tabelle der legitimen Bibliothek bei, um die Abhängigkeiten von Kodi zu erfüllen, leitet die Ausführung jedoch an den eingebetteten FireClient-Loader weiter.
Loader erfasst kompromittierte Host – darunter Gerätenamen
Der Loader erfasst zunächst den kompromittierten Host – darunter Gerätename, laufende Prozesse, Netzwerkkonfiguration und Benutzerinformationen – und nimmt anschließend Kontakt zu einem fest einprogrammierten Command-and-Control-Server (C2) auf. In allen untersuchten Vorfällen war die C2-Infrastruktur hinter REST-API-Endpunkten des AWS API Gateway gehostet. Diese Nutzung erschwert die netzwerkbasierte Erkennung erheblich: Da Organisationen ausgehende HTTPS-Verbindungen zu AWS-Diensten üblicherweise zulassen, ist ein pauschales Blockieren kaum praktikabel. Der bösartige Datenverkehr ähnelt so legitimer API-Kommunikation, was reputations- oder infrastrukturbasierte Erkennungsmethoden weniger wirksam macht. Empfängt der Loader einen Befehl vom C2-Server, richtet er auf localhost einen Listener auf einem zufällig gewählten Port ein und entpackt die FireClient-Backdoor der zweiten Stufe. In der Untersuchung wurde dieser als „Module Agent.exe” in einem typischerweise Kodi zugeordneten Verzeichnis abgelegt – vermutlich, um die Schadsoftware zwischen legitimen Anwendungsdateien zu verbergen.
Anpassung während der lateralen Bewegung
Nach der ersten Kompromittierung begann der Bedrohungsakteur in einem beobachteten Vorfall, Systeme im Netzwerk zu erfassen und LDAP-Abfragen durchzuführen, um weitere Ziele zu identifizieren. Nachdem dem Erlangen gültiger Zugangsdaten, wechselten die Angreifer über RDP-Sitzungen von ihrem eigenen Gerät auf kritische Server.
Bemerkenswert ist, dass die Angreifer nicht dieselbe Schadsoftware auf jedem System einsetzten, sondern je nach Zielumgebung unterschiedliche Varianten des FireClient-Loaders nachluden. Auf einem Server tarnte sich der Loader als VMware Tools: Die Angreifer platzierten eine mit Schadcode versehene Programmbibliothek hgfs.dll im echten VMware-Tools-Verzeichnis. Beim Start der vertrauenswürdigen Anwendung vmtoolsd.exe hat dann die gefälschte DLL geladen und der FireClient-Loader ausgeführt. Auf einem anderen Server nutzten die Angreifer dieselbe Technik mit dem legitimen Nagios Cross-Platform Agent (NCPA): Sie platzierten eine mit Schadcode versehene Programmbibliothek vcruntime140_1.dll im NCPA-Verzeichnis, sodass die Anwendung beim Ausführen die gefälschte DLL lud und damit erneut den FireClient-Loader startete.
In beiden Fällen hat man die schädliche DLL beim Ausführen der legitimen Anwendung per Sideloading geladen. Zur Datenexfiltration setzten die Täter schließlich ein eigenes Werkzeug namens „multiplefolders.exe” ein – eine PyInstaller-Datei, die den Inhalt der Festplatte rekursiv durchsucht und Dateien an eine eingebettete AWS-URL hochlädt.
Fazit
Die FireClient-Backdoor entwickelt sich kontinuierlich weiter: Die Angreifer passen die Verbreitungsmethode an, während sie die Kernfunktionalität der Schadsoftware beibehalten. Statt die Fähigkeiten der Malware selbst zu verändern, investieren sie in eine verbesserte Auslieferung und Ausführung – durch vertrauenswürdige Software wie Kodi, VMware Tools und NCPA, durch cloudbasierte Infrastruktur und durch DLL-Sideloading. So fügt sich die Schadsoftware besser in Unternehmensumgebungen ein und erschwert klassische Erkennungsstrategien.
Für die Verteidigung unterstreicht dies die Bedeutung verhaltensbasierter Erkennung. Statt sich allein auf statische Indikatoren oder einzelne Malware-Samples zu verlassen, sollten bösartige Ausführungsketten und Aktivitäten nach der Kompromittierung identifiziert werden. Hierzu wurden bereits gezielte Erkennungsregeln entwickelt. Dazu zählen eine Detection für verdächtige Kodi-Installationen und -Aktivitäten außerhalb des Programmverzeichnisses sowie Regeln, die verdächtige Microsoft-Teams-Chats externer Nutzer erkennen und die Impersonation des IT-Supports durch Angreifer entlarven.
Häufige Fragen (FAQ)
Die Angreifer nutzen gezieltes Social-Engineering über Microsoft Teams, bei dem sie sich oft als IT-Support ausgeben. Sie verleiten ahnungslose Nutzer dazu, ihnen über legitime Wartungswerkzeuge wie Quick Assist einen Fernzugriff auf das Gerät zu gewähren.
Die Schadsoftware nutzt Windows-Installer-Pakete (MSI) und manipuliert legitime, vertrauenswürdige Anwendungen wie den Mediaplayer Kodi, VMware Tools oder Nagios (NCPA). Beim Start dieser Programme wird eine mit Schadcode versehene Bibliothek per DLL-Sideloading nachgeladen, wodurch klassische Erkennungswerkzeuge umgangen werden.
Die Command-and-Control-Infrastruktur (C2) sowie die Datenexfiltration laufen über legitime REST-API-Endpunkte des AWS API Gateway. Da ausgehender HTTPS-Verkehr zu Amazon Web Services in den meisten Unternehmensnetzwerken standardmäßig erlaubt ist, unterscheidet sich der bösartige Datenverkehr kaum von normaler Cloud-Kommunikation.
