Das Threat Fusion Center (TFC) von BlueVoyant hat kürzlich eine neue und breit angelegte Cyberangriffskampagne aufgedeckt. Die Angreifer geben sich als Anwaltskanzleien aus und missbrauchen dabei das Vertrauen, das ihre Opfer Rechtsdienstleitern entgegenbringen. Die Kampagne trägt den Namen „NaurLegal" und es wird davon ausgegangen, dass die Angriffe von der Cybercrime-Gruppe Narwhal Spider (auch bekannt als Storm-0302, TA544) inszeniert wurden.
Die Angreifer tarnen bösartige PDF-Dateien als authentisch aussehende Rechnungen seriöser Anwaltskanzleien – eine Taktik, die darauf abzielt, Opfer diverser Branchen zu ködern. Die NaurLegal-Kampagne täuscht Legitimität vor, indem sie PDF-Dateien mit seriös anmutenden Dateinamen wie „Rechnung_[Nummer]_von_[Name der Anwaltskanzlei].pdf" erstellt und versendet.
Diese Strategie macht sich die Erwartung der Adressaten zunutze, im alltäglichen Geschäftsleben routinemäßig juristische Dokumente zu erhalten. Dieses Vorgehen erhöht die Wahrscheinlichkeit, dass die Empfänger die mit Malware infizierten Dateien öffnen.
Technische Details zur eingesetzten Malware
Die Infrastruktur der NaurLegal-Kampagne umfasst Domänen, die mit WikiLoader verknüpft sind und deren Folgeaktivitäten auf eine Zuordnung zu dieser Malware-Familie schließen lassen. WikiLoader ist bekannt für ausgefeilte Verschleierungstechniken, wie z. B. die Überprüfung von Wikipedia-Antworten auf bestimmte Zeichenfolgen, um Sandbox-Umgebungen zu umgehen. Narwhal Spider hat WikiLoader in der Vergangenheit bereits verwendet, und die Beteiligung der Gruppe an dieser Kampagne deutet darauf hin, dass in der Folgezeit weitere zerstörerische Malware-Nutzlasten eingesetzt werden könnten.
Meldungen von Virus Total deuten darauf hin, dass IcedID eine mögliche Nutzlast in Verbindung mit dieser Kampagne sein könnte. Darüber hinaus stützt sich die C2-Infrastruktur dieser Kampagne scheinbar ausschließlich auf kompromittierte WordPress-Seiten – eine bekannte Taktik von Narwhal Spider. Angesichts des sensiblen Charakters der von den angegriffenen Organisationen verwalteten Daten, zu denen geistiges Eigentum, Unternehmensstrategien und persönliche Informationen gehören, steht bei einem erfolgreichen Eindringen besonders viel auf dem Spiel.
Bedrohungsakteure erweitern ihren Aktionsradius
In der Vergangenheit konzentrierten sich die WikiLoader-Kampagnen von Narwhal Spider in erster Linie auf italienische Organisationen und verbreiteten Malware über verschiedene E-Mail-Anhänge, darunter Microsoft Excel-, OneNote- und PDF-Dateien.
Die NaurLegal-Kampagne markiert jedoch eine Abkehr von diesen geografisch fokussierten Angriffen und zielt stattdessen auf ein breiteres Spektrum von Organisationen ab, die wahrscheinlich mit juristischen Rechnungen arbeiten. Dieser Strategiewechsel unterstreicht die Anpassungsfähigkeit von Narwhal Spider und seine Bemühungen, verschiedene Schwachstellen und Social-Engineering-Taktiken auszunutzen.
Angriffe auf Lieferketten und vertrauenswürdige Partnerbeziehungen nehmen weltweit weiter zu, wie der State of Supply Chain Defense Report 2023 von BlueVoyant zeigt. Durch die Ausweitung der Aktivitäten von Bedrohungsakteuren wie Narhwal Spider wird dieser Trend weiter untermauert.
Empfohlene Schutzmaßnahmen
Die Verwendung mit Malware infizierter PDF-Dateien, die als Rechnungen seriöser Anwaltskanzleien getarnt sind, ist ein wichtiger Hinweis auf Angriffe, die im Rahmen dieser Kampagne erfolgen. Sicherheitsteams sollten bei einem ungewöhnlich hohen Aufkommen von Rechnungen im PDF-Format auf der Hut sein, insbesondere bei solchen, die von externen Quellen stammen und nach dem Muster „Rechnung_[Nummer]_von_[Name der Anwaltskanzlei].pdf" benannt sind.
Der Einsatz moderner E-Mail-Sicherheitslösungen, die in der Lage sind, PDF-Anhänge auf bösartige Inhalte zu analysieren, kann helfen, diese Bedrohungen zu erkennen und einzudämmen.
Neben der Überprüfung eingehender E-Mails ist auch die Überwachung von Netzwerkverbindungen eine wichtige Methode, um derartige Angriffe zu identifizieren. Die Kampagne stützt sich auf kompromittierte WordPress-Websites für die C2-Kommunikation, und ungewöhnliche Datenverkehrsmuster oder Ausschläge beim Datenverkehr zu und von WordPress-Websites könnten auf eine mögliche Infektion hinweisen.