Originalartikel von Michael Villanueva und Martin Co, Threats Analysts
Die MuddyWater-Kampagne wurde erstmals 2017 gesichtet, als die saudiarabische Regierung über Angriffe mit PowerShell-Skripts via Microsoft Office Word-Makros ins Visier geriet. Im März 2018 dann gab es eine weitere Kampagne, die Charakteristiken von MuddyWater aufwies. Im Mai nun fanden die Sicherheitsforscher ein neues Sample (W2KM_DLOADR.UHAOEEN) mit Bezug zu dieser Kampagne. Auch hier geht es um ein Microsoft Word-Dokument, das in ein bösartiges Makro eingebettet ist und PowerShell (PS)-Skripts ausführen kann, die zu einer Backdoor Payload führen. Einen bemerkenswerten Unterschied gibt es: Das neue Sample lädt nicht direkt die Visual Basic Script(VBS)- und PowerShell-Komponentendateien herunter, sondern codiert all diese Skripts im Dokument selbst. Die Skripts werden dann decodiert und abgelegt, um die Payload auszuführen.
Weiterlesen
