Sophos ontdekt nepcampagne van Claude AI die geavanceerde malware verspreidt

Onderzoeker op het gebied van cyberbeveiliging bij Sophos X-Ops heeft een geavanceerde campagne ontdekt waarbij cybercriminelen de groeiende interesse in kunstmatige intelligentie misbruiken om malware te verspreiden. De operatie is gebaseerd op een frauduleuze website die op overtuigende wijze de officiële interface van Claude, de AI-assistent ontwikkeld door, nabootst. Antropisch.

Om verkeer naar de website te genereren, gebruikten de aanvallers zoekmachineoptimalisatie (SEO) en kwaadaardige zoekadvertenties. Door zoekresultaten te manipuleren, konden ze gebruikers die op zoek waren naar legitieme AI-tools naar het nepdomein leiden.

Deze methode stelt cybercriminelen in staat om mensen te targeten die actief op zoek zijn naar AI-gerelateerde tools en downloads, waardoor de kans op een succesvolle infectie toeneemt.

Herwerking van bekende aanvalsketens

Uit een eerste analyse van de campagne bleek dat deze een bekende PlugX-aanvalsketen volgde, een methode die vaak door verschillende cybercriminelen wordt gebruikt. Onderzoekers van Sophos ontdekten echter dat, hoewel de technieken bekend voorkwamen, de payload in werkelijkheid een tot dan toe onbekende backdoor was.

Dit suggereert dat cybercriminelen actief bezig zijn met het ontwikkelen van bestaande aanvalsmethoden om nieuwe en moeilijker te detecteren malware te verspreiden, in plaats van te vertrouwen op oudere en statische strategieën.

De technische uitvoering van de aanval is bijzonder opmerkelijk, omdat legitieme software wordt gebruikt om beveiligingsoplossingen te omzeilen.

De infectieketen begint met een vertrouwd en digitaal ondertekend antivirusonderdeel dat wordt misbruikt via een techniek genaamd DLL-sideloading. Hierdoor kan de kwaadaardige code worden uitgevoerd onder de dekmantel van een legitiem proces, waardoor het moeilijk te detecteren en te blokkeren is door traditionele beveiligingsproducten.

Geheugengebaseerde loaders en geavanceerde malware

De campagne maakt gebruik van een op herinneringen gebaseerde aanpak. Donut oplader om zijn kwaadaardige instructies uit te voeren. Donut is een positie-onafhankelijk framework dat de uitvoering van VBScript-, JScript- en .NET-assemblies rechtstreeks in het systeemgeheugen mogelijk maakt.

Door te voorkomen dat bestanden naar de harde schijf worden geschreven, verkleinen aanvallers hun digitale voetafdruk en kunnen ze veel Endpoint Detection and Response (EDR)-systemen omzeilen die voornamelijk het aanmaken en wijzigen van bestanden monitoren.

Uitgebreid netwerk van nepdomeinen

Het onderzoek wijst uit dat de nepwebsite van Claude geen op zichzelf staand incident is. Onderzoekers van Sophos hebben een groter netwerk van verdachte infrastructuur en meerdere namaakdomeinen geïdentificeerd. Sommige websites deden zich bovendien voor als bekende beveiligingsleveranciers, wat erop wijst dat de operatie deel uitmaakt van een groter en beter georganiseerd cybercrimineel ecosysteem.

Het bredere netwerk getuigt van een hoge mate van planning en toewijzing van middelen. Door zich voor te doen als beveiligingsbedrijven en bekende technologieleveranciers proberen aanvallers vertrouwen te wekken en legitiem over te komen, zelfs bij de meest voorzichtige gebruikers.

De onderzoekers merken op dat deze veelzijdige methode aantoont hoe snel opkomende technologische trends kunnen worden misbruikt door georganiseerde cybercriminele groepen.

Hoofd van de afdeling dreigingsonderzoek bij Sophos, Gabor Szappanos, opmerkingen:

”"Deze nog niet aan een dader toegeschreven campagne, waarbij een nepwebsite van Claude als dekmantel wordt gebruikt voor een kwaadaardige reclamecampagne, is de nieuwste in een reeks aanvallen waarbij cybercriminelen populaire AI-merken misbruiken om malware en backdoors te verspreiden."”

Hij vervolgt:

”"Wat echt opvalt, is de enorme inspanning die is geleverd om detectie te omzeilen. De aanvallers hebben bekende technieken zoals DLL-sideloading hergebruikt en tegelijkertijd de payload aangepast om traditionele beveiligingssystemen te omzeilen."”

”"In dit geval werd een ondertekende antivirusupdate van G DATA misbruikt om een kwaadaardig DLL-bestand te installeren. Dit bestand decodeerde en voerde Donut-shellcode uit, waarna een voorheen onbekende backdoor, die we 'Beagle' noemden, werd geactiveerd."’

De onderzoekers merkten ook op dat dezelfde XOR-sleutel eerder dit jaar in verschillende Donut-gerelateerde voorbeelden opnieuw is gebruikt, wat erop wijst dat dit een langetermijnontwikkeling is van de betrokken actoren. TTP's (Tactieken, Technieken en Procedures).

Tegelijkertijd bevonden de malwareverspreiding en de command-and-control-infrastructuur zich weliswaar binnen hetzelfde domein, maar werden ze opzettelijk gehost bij verschillende cloudproviders om het uitschakelen en traceren ervan te bemoeilijken.

Naar verwachting zal het aantal gevallen van AI-kaping toenemen.

Naarmate AI-tools steeds vaker voorkomen, zowel in het privéleven als op het werk, verwachten onderzoekers dat dit soort "AI-kaping" zal toenemen.

In plaats van ons uitsluitend te richten op afwijkend applicatiegedrag, zoals legitieme beveiligingsprogramma's die onverwachte programma's laden, moeten we ons niet alleen richten op afwijkend applicatiegedrag, maar ook op het laden van onverwachte programma's. DLL-bestanden, beveelt aan Sophos dat organisaties strengere regels invoeren waarbij software alleen nog gedownload mag worden van officiële en geverifieerde bronnen.

Aanbevelingen voor organisaties

Het onderzoek onderstreept het belang van het controleren van de bron van alle softwaredownloads. Organisaties en particulieren wordt aangeraden zeer voorzichtig te zijn met AI-gerelateerde tools of applicaties die buiten officiële marktplaatsen of de websites van ontwikkelaars worden verspreid.

Beveiligingsteams moeten zich ook richten op het monitoren van afwijkingen in het systeemgeheugen en het onderzoeken van pogingen tot DLL-sideloading, zelfs wanneer legitieme en ondertekende uitvoerbare bestanden worden gebruikt.

Naarmate aanvallers hun methoden blijven ontwikkelen, blijven een hoog digitaal bewustzijn en een duidelijk software-aankoopbeleid enkele van de meest effectieve beschermingen tegen dit soort op social engineering gebaseerde aanvallen.