GoStealer-Malware zielt auf indisches Militär

Sicherheitsforscher haben einen raffinierten Cyberspionagevorfall gegen die indische Luftwaffe aufgedeckt. Bei dem Cyberangriff auf die indische Luftwaffe handelt es sich um eine Variante des bekannten Go Stealer, einer Schadsoftware, die darauf ausgelegt ist, vertrauliche Informationen diskret zu extrahieren.

Die Malware, die über eine ZIP-Datei mit dem trügerischen Namen „SU-30_Aircraft_Procurement“ verbreitet wird, nutzt aktuelle Ankündigungen zur Beschaffung von Verteidigungsgütern aus, insbesondere die Genehmigung von 12 Su-30 MKI-Kampfflugzeugen durch das indische Verteidigungsministerium im September 2023.

Den Erkenntnissen von Cyble Research and Intelligence Labs zufolge führen die Angreifer ihren Plan durch eine sorgfältig orchestrierte Reihe von Schritten aus. Sie nutzen eine anonyme Dateispeicherplattform namens Oshi, um die betrügerische ZIP-Datei zu hosten und sie als wichtige Verteidigungsdokumentation zu tarnen. Der Link „hxxps://oshi[.]at/ougg“ wird wahrscheinlich über Spam-E-Mails oder andere Kommunikationskanäle verbreitet.

Die Infektionssequenz verläuft von einer ZIP-Datei zu einer ISO-Datei, gefolgt von einer .lnk-Datei, was letztendlich zur Bereitstellung der Go Stealer-Nutzlast führt. Die Angreifer nutzen die zunehmenden Spannungen rund um die Beschaffung von Verteidigungsgütern aus und wollen Profis der indischen Luftwaffe dazu verleiten, die Malware unabsichtlich zu aktivieren.

GoStealer erhält ein Upgrade

Die identifizierte Go Stealer-Variante weist im Gegensatz zu ihrem GitHub-Pendant erweiterte Funktionen auf, die ihre Bedrohungsstufe erhöhen. Diese Variante ist in der Programmiersprache Go codiert und basiert auf einem Open-Source-Go-Stealer von GitHub. Sie führt Verbesserungen ein, darunter erweitertes Browser-Targeting und eine neuartige Methode zur Datenexfiltration durch Slack.

Bei der Ausführung generiert der Dieb eine Protokolldatei auf dem System des Opfers und nutzt GoLang-Tools wie GoReSym für eine gründliche Analyse. Die Malware ist aufwendig darauf ausgelegt, Anmeldeinformationen und Cookies aus bestimmten Internetbrowsern zu extrahieren, darunter Google Chrome, Edge und Brave.

Im Gegensatz zu herkömmlichen Informationsdiebstahlern weist diese Variante eine höhere Raffinesse auf, indem sie die Slack-API für verdeckte Kommunikation nutzt. Die Wahl von Slack als Kommunikationskanal steht im Einklang mit seiner weit verbreiteten Verwendung in Unternehmensnetzwerken und ermöglicht die nahtlose Integration böswilliger Aktivitäten in den regulären Geschäftsverkehr.

Der identifizierte Go Stealer, der über die irreführende ZIP-Datei mit dem Namen „SU-30_Aircraft_Procurement“ verbreitet wird, stellt eine erhebliche Bedrohung für das indische Verteidigungspersonal dar. Der Zeitpunkt des Angriffs, der mit der Ankündigung der indischen Regierung über die Beschaffung von Su-30 MKI-Kampfflugzeugen zusammenfiel, gibt Anlass zur Sorge hinsichtlich gezielter Angriffe oder Spionageaktivitäten.