In der VHD-Datei liegt eine Windows-Verknüpfung (LNK), die als PDF-Dokument getarnt ist. Wird sie geöffnet, erscheint ein Täuschungsdokument: eine offizielle Einladung zu einer Abschlussfeier in birmanischer Sprache, angeblich vom Information Technology and Cyber Security Department (ITCSD) des myanmarischen Ministeriums für Verkehr und Kommunikation.
Während das Opfer die vermeintliche Ankündigung liest, startet die Verknüpfung im Hintergrund “ftp.exe” — ein legitimes, von Microsoft signiertes Windows-Programm. Über dessen Option “-s” werden Befehle aus einer lokalen Skriptdatei ausgeführt. “Während der Köder auf dem Bildschirm des Opfers angezeigt wird, sucht das Skript nach zwei Dokumentdateien, header.doc und body.doc, die im versteckten Verzeichnis _rels liegen”, erklären die Sicherheitsforscher Priya Patel und Kartik Jivani. “Anschließend fügt es diese beiden Dateien mit dem Windows-eigenen Befehl copy /b zusammen und rekonstruiert so die Nutzlast der nächsten Stufe.”
Das Ergebnis ist QUICAgent, ein in Go geschriebener Implantat-Code. Vor der Kontaktaufnahme mit dem Steuerserver versucht die Schadsoftware, Analyseumgebungen auszutricksen: Sie legt eine zufällige Verzögerung von 100 bis 600 Millisekunden ein und führt 1.000 Durchläufe von SHA-256-Hashoperationen aus, um die Zeitlimits automatisierter Sandboxes auszuschöpfen.
Die Adresse des Steuerservers holt sich das Implantat dynamisch über HTTP-GET-Anfragen an zwei Cloudflare-Workers-Domains. Ist die Adresse ermittelt (“104.64.211[.]22”), hängt die Schadsoftware Port 443 an und baut daraus das endgültige Ziel. Die Kommunikation läuft über QUIC auf UDP-Port 443.
Das erste Signal an den Server enthält Basisinformationen über den kompromittierten Rechner; danach meldet sich der Schädling alle fünf Sekunden. Jede infizierte Maschine erhält eine eindeutige X-Agent-ID zur Identifikation. Der Funktionsumfang bleibt überschaubar: Fünf Befehle erlauben das Ausführen von Kommandos, den Dateitransfer, das Durchsuchen von Verzeichnissen und das Ändern des Melde-Intervalls. Für Persistenz sorgt eine LNK-Datei im Windows-Autostart-Ordner des aktuellen Benutzers, die bei der nächsten Anmeldung automatisch ausgeführt wird.
“Die Kampagne nutzt eine mehrstufige Infektionskette, die mit einer bösartigen LNK-Datei beginnt, ftp.exe als LOLBAS zur Ausführung der nächsten Stufe missbraucht, die Nutzlast aus zwei gefälschten Dokumentdateien zusammensetzt und schließlich eine eigene Go-basierte Hintertür einsetzt, die wir QUICAgent genannt haben”, fasst das indische Sicherheitsunternehmen zusammen.
Zeitgleich meldet Kaspersky eine aktualisierte Version der bekannten Hintertür COOLCLIENT, die dem China-nahen Akteur Mustang Panda zugeordnet wird. Neu ist ein bislang undokumentierter, signierter Kernel-Treiber (“Msagent.sys”) — vergleichbar mit Kernel-Erweiterungen, die schon bei TONESHELL beobachtet wurden. Ausgeliefert wird die Hintertür den Analysen zufolge über PlugX mittels DLL-Sideloading, einer von der Gruppe intensiv genutzten Technik.
COOLCLIENT, erstmals 2022 in freier Wildbahn entdeckt, beherrscht unter anderem Tastaturmitschnitte, Diebstahl aus der Zwischenablage, das Abgreifen von Zugangsdaten, Dateiverwaltung, Systemerkundung und Erweiterungen über Plugins. “Der Treiber erhöht die Tarnung der Schadsoftware, indem er den COOLCLIENT-Prozess versteckt, zugehörige Dateien und Registry-Einträge schützt und verhindert, dass sie untersucht oder verändert werden”, so Kaspersky. Die aktualisierte Variante samt Treiber wurde bei Einbrüchen in Myanmar, der Mongolei, Pakistan und Russland festgestellt.