Neuer Malware Loader über Malspam-Kampagnen verbreitet

Sicherheitsforscher entdeckten einen neuen Malware-Stamm, der die Runde machte. Die neue Bedrohung heißt SquirrelWaffle und wird über bösartige Spam-Kampagnen unter Verwendung von gefälschten Microsoft Office-Dokumenten verbreitet.

Forscher des Sicherheitsunternehmens Cisco Talos entdeckten die neue Bedrohung bereits im September 2021. SquirrelWaffle ist ein Loader – eine Art Malware, die als eine Art Lieferfahrzeug verwendet wird, das andere bösartige Software auf dem Zielsystem ablegt und bereitstellt.

Die Malspam-Kampagne ist interessant, weil sie gekaperte E-Mail-Threads verwendet und dann die mit Malware beladenen E-Mails als Antworten auf diese Threads gesendet werden, was ihnen ein glaubwürdigeres Aussehen verleiht. Cisco-Forscher entdeckten auch Ähnlichkeiten zwischen der aktuellen SquirrelWaffle-Kampagne und früheren Kampagnen, die zur Verbreitung der Emotet-Malware verwendet wurden. Das Talos-Team richtete auch eine Warnung an Unternehmen und Konzerne und verwies auf eine erhöhte Infektionsgefahr von Unternehmensnetzwerken.

Die Köder-E-Mails enthalten Links zu komprimierten Dateien, die auf Websites gehostet werden, die von den Hackern kontrolliert werden. Obwohl das im E-Mail-Text verwendete Englisch etwas fragwürdig ist, stellte Cisco auch fest, dass die Nachrichten in gewissem Maße an die zuvor im E-Mail-Thread verwendete Sprache angepasst wurden, was bedeutet, dass ein gewisses Maß an Anpassung und Social Engineering erforderlich ist.

Die SquirrelWaffle-E-Mails werden auch auf Französisch, Deutsch und Polnisch verteilt, was wiederum bedeutet, dass die Kampagne nicht nur auf englischsprachige Bevölkerungsgruppen abzielt.

Cisco hat die Aktivitätsspitzen und -einbrüche der SquirrelWaffle-Kampagne überwacht und festgestellt, dass die neue Malware nicht so weit verbreitet ist wie Emotet, aber langsam dorthin gelangt. Der Höhepunkt der Malspam-Verteilung von SquirrelWaffle fand Ende September statt, mit drei weiteren Aktivitätsspitzen, da diese nicht das gleiche große Volumen hatten.

Die in der Phishing-E-Mail verwendeten Archivdateien enthalten MS Office-Dateien, die beim Öffnen die endgültige Nutzlast liefern. Die Dateien werden mit aussagekräftigen, glaubwürdigen Namen wie „Diagramm“, „Diagramm“ oder „Spezifikation“ benannt, um das Vertrauen der Opfer weiter zu stärken.