PureCrypter: Malware-Loader nimmt Regierungen via Discord ins Visier

Eine neue Malware-Kampagne hat es auf Regierungsorganisationen im asiatischen, pazifischen und nordamerikanischen Raum abgesehen. Der Trojaner PureCrypter wird dazu genutzt, weitere Schadsoftware nachzuladen. Wer hinter den Angriffen steckt, ist allerdings noch unklar. Sicherheitsforscher von Menlo Security haben herausgefunden, dass ein Angreifer zahlreiche Discord-Server nutzt, um den PureCrypter-Loader zu verbreiten. Nachdem das Programm auf ein Zielsystem heruntergeladen wurde, nutzen die Hacker einen Kommandoserver mit der Domain einer kompromittierten Organisation, um Schadcode zu installieren. Der Datenverkehr zwischen Trojaner und Server ist verschlüsselt, sodass Malware wie Readline Stealer, AgentTesla, Eternity, Blackmoon und Philadelphia Ransomware ohne Probleme nachgeladen werden kann. Die Apps bieten Remote-Zugriff und stehlen Informationen. PureCrypter wird über ein passwortgeschütztes ZIP-Archiv ausgeliefert

Daten werden an FTP-Server gesendet

Obwohl AgentTesla inzwischen seit mindestens acht Jahren zum Einsatz kommt, gilt die Malware weiterhin als effiziente Möglichkeit, eine Hintertür einzurichten. Die Anwendung dient als Keylogger und greift auf dem Zielsystem gespeicherte Passwörter ab. Die gestohlenen Daten werden auf einem FTP-Server abgelegt.

Menlo Security geht davon aus, dass es sich bei den Hackern nicht um einen großen oder staatlichen Akteur handelt. Ob die Angreifer bereits signifikante Erfolge erzielen konnten, ist zum aktuellen Zeitpunkt noch unklar. Außerdem bleibt offen, welche Organisationen die Hacker aus welchem Grund ins Visier genommen haben. Aufgrund der anvisierten Regierungsorganisationen werden die Sicherheitsforscher die Angreifer weiterhin beobachten.


Siehe auch: