Neue Lua-Malware „LucidRook" trifft NGOs und Universitäten in Taiwan

Zusammenfassung

Eine neue, in Lua geschriebene Schadsoftware namens LucidRook wird laut Cisco Talos in gezielten Spear-Phishing-Kampagnen gegen Nichtregierungsorganisationen und Universitäten in Taiwan eingesetzt. Die Forscher führen die Malware auf eine intern als UAT-10362 verfolgte Gruppe zurück, die sie als fähigen Gegner „mit ausgereiftem operativem Handwerk" beschreiben. Beobachtet wurde LucidRook in Angriffen im Oktober 2025, die auf Phishing-E-Mails mit passwortgeschützten Archiven setzten. Talos identifizierte zwei Infektionsketten: eine über eine LNK-Verknüpfungsdatei, die schließlich einen Dropper namens LucidPawn ausliefert, sowie eine EXE-basierte Kette, die eine gefälschte Antiviren-Datei einsetzt, welche sich als Trend Micro Worry-Free Business Security Services ausgibt. Bemerkenswert an LucidRook ist sein modularer Aufbau mit eingebauter Lua-Ausführungsumgebung, über die Zweitstufen-Payloads als Lua-Bytecode nachgeladen und ausgeführt werden. Dieser Ansatz erlaubt es den Betreibern, Funktionen zu aktualisieren, ohne die eigentliche Malware zu verändern, und schränkt zugleich die forensische Sichtbarkeit ein. Talos kommt mit mittlerer Zuversicht zu dem Schluss, dass die Angriffe Teil einer gezielten Einbruchskampagne sind.

Die LNK-basierte Angriffskette nutzt Köderdokumente, um die Aufmerksamkeit der Nutzer abzulenken – darunter Schreiben, die so gestaltet sind, als stammten sie von der taiwanischen Regierung. Nach Beobachtung von Cisco Talos entschlüsselt und installiert LucidPawn eine legitime, in „Microsoft Edge" umbenannte ausführbare Datei zusammen mit einer schädlichen DLL (DismCore.dll), über die LucidRook per Sideloading geladen wird.

Kern von LucidRook ist die eingebettete Lua-Laufzeitumgebung. Indem der Lua-Interpreter in die native DLL eingebaut wird, entsteht laut Talos eine stabile Ausführungsplattform, während der Angreifer das Verhalten für jedes Ziel oder jede Kampagne anpassen kann, indem er lediglich den Lua-Bytecode austauscht – mit einem leichteren und flexibleren Entwicklungsprozess.

Talos verweist zudem auf den Vorteil für die Angreifer bei der operativen Sicherheit: Die Lua-Stufe lasse sich nur kurz bereitstellen und nach der Auslieferung wieder vom Command-and-Control-Server entfernen. Das erschwere die Rekonstruktion nach einem Vorfall, wenn Verteidiger nur den Loader, nicht aber die extern nachgelieferte Lua-Payload sicherstellen könnten. Hinzu kommt eine umfangreiche Verschleierung von eingebetteten Zeichenketten, Dateiendungen, internen Bezeichnern und C2-Adressen, die das Reverse Engineering erschwert.

Während der Ausführung führt LucidRook eine Systemerkundung durch und sammelt unter anderem Benutzer- und Computernamen, installierte Anwendungen und laufende Prozesse. Die Daten werden mit RSA verschlüsselt, in passwortgeschützten Archiven abgelegt und über FTP an eine von den Angreifern kontrollierte Infrastruktur abgeführt.

Bei der Analyse von LucidRook stießen die Forscher auf ein verwandtes Werkzeug namens „LucidKnight", das vermutlich zur Erkundung dient. Auffällig ist, dass LucidKnight Gmail GMTP missbraucht, um gesammelte Daten zu exfiltrieren – ein Hinweis darauf, dass UAT-10362 über ein flexibles Werkzeugarsenal für unterschiedliche operative Anforderungen verfügt.

Eine decodierbare Lua-Bytecode-Payload, die LucidRook nachlädt, konnte Talos nicht abfangen. Welche konkreten Aktionen nach einer Infektion ausgeführt werden, ist daher nicht bekannt.

Neue Lua-Malware „LucidRook" trifft NGOs und Universitäten in Taiwan

Ähnliche Artikel

Neueste Artikel