SHEETCREEP: Pakistans benutzerdefinierte Malware mit schwerwiegender Sicherheitslücke

In einem eindrucksvollen Beispiel für ein Versagen der Betriebssicherheit haben Forscher eine hochentwickelte, maßgeschneiderte Malware aufgedeckt, die angeblich von der pakistanischen Regierung entwickelt wurde, um hochrangiges indisches Militär- und Politikpersonal anzugreifen. Die Malware mit dem Namen SHEETCREEP stellt einen innovativen Ansatz zur Cyberspionage dar, hat sich jedoch letztendlich selbst durch eine kritische Sicherheitsüberprüfung untergraben.

Entdeckung von SHEETCREEP

The cybersecurity community recently brought attention to SHEETCREEP, a custom-built malware that appears to be part of a state-sponsored cyber operation against India. Die Malware wurde während der Woche der strategischen Partnerschaft zwischen den Vereinigten Arabischen Emiraten und Indien entdeckt, was auf einen möglichen Zeitpunkt oder eine mögliche Relevanz für diplomatische Ereignisse zwischen den beiden Nationen schließen lässt.

Forscher von Securonix, einem führenden Cybersicherheitsunternehmen, identifizierten die Malware, nachdem sie verdächtige Dateien analysiert hatten, die an indische Ziele gesendet wurden. Die Untersuchung ergab eine hochentwickelte Operation mit erheblichen technischen Fähigkeiten, die letztendlich durch einen grundlegenden Fehler in der Betriebssicherheit beeinträchtigt wurde.

Technische Architektur von SHEETCREEP

SHEETCREEP verwendet einen mehrstufigen Infektionsprozess, der mit einer bösartigen .lnk-Datei (Verknüpfung) beginnt. Wenn diese Verknüpfung ausgeführt wird, wird bösartiger C#-Code gestartet, der eine Persistenz auf dem System des Opfers herstellt. Anschließend exfiltriert die Malware vertrauliche Daten in ein Google Sheets-Dokument, das als Befehls- und Kontrollserver (C2) dient.

Die Verwendung von Google Sheets als C2-Server stellt einen innovativen Ansatz dar, der legitime Cloud-Dienste für böswillige Zwecke nutzt. Diese Technik ermöglicht es den Betreibern, die Kommunikation mit infizierten Systemen aufrechtzuerhalten und gleichzeitig möglicherweise herkömmliche Sicherheitsmaßnahmen zu umgehen, die dedizierte Server oder Infrastruktur beeinträchtigen könnten.

Funktion	Beschreibung
Liefermethode	Bösartige .lnk-Dateien an Ziele gesendet
Ausführung	Schädlicher C#-Code, der über eine Verknüpfung ausgeführt wird
Persistenz	Multiple mechanisms to maintain access
Datenexfiltration	An Google Sheets-Dokument gesendet
C2-Kommunikation	Google Sheets wird als Befehls- und Kontrollserver verwendet

Die kritische Sicherheitslücke

Trotz seiner technischen Raffinesse unterliegt SHEETCREEP einer kritischen Sicherheitslücke, die letztendlich zu seiner Entdeckung und Offenlegung geführt hat. Die pakistanische Regierung hat angeblich die URL des Google Sheets C2-Servers und den Zugriffsschlüssel direkt in die Malware-Payload fest codiert.

Dieser Betriebssicherheitsfehler ist im Zusammenhang mit staatlich geförderten Cyber-Operationen besonders eklatant. Richtige betriebliche Sicherheitspraktiken würden die Verwendung dynamischer oder verschlüsselter Konfigurationen erfordern, die geändert werden könnten, ohne die Malware selbst zu verändern. Fest codierte Anmeldeinformationen bieten Forschern im Wesentlichen eine Roadmap für den gesamten Betrieb.

Warum die Hardcodierung von Anmeldeinformationen ein kritischer Fehler ist

• Ermöglicht Forschern die Identifizierung der C2-Infrastruktur
• Zeigt das spezifische Google Sheets-Dokument an, das verwendet wird
• Stellt den Zugriffsschlüssel bereit, der zur Kontrolle infizierter Systeme erforderlich ist
• Stellt die gesamte Liste der Ziele und Vorgänge bereit
• Macht es unmöglich, die Infrastruktur zu ändern, ohne Malware erneut bereitzustellen

Entdeckung und Analyse

Security researchers who obtained samples of SHEETCREEP immediately recognized the significance of the hardcoded credentials. Durch die Untersuchung dieser eingebetteten Details konnten sie auf das Google Sheets-Dokument zugreifen, das als C2-Server für die Malware diente.

Das Dokument enthielt eine Fülle von Informationen über die Operation, darunter:

• Die vollständige Liste der Zielpersonen und -organisationen
• Details zur Infektionskampagne
• Kommunikationsmuster zwischen infizierten Systemen und Betreibern
• Exfiltrierte Daten aus kompromittierten Systemen

Forscher fanden heraus, dass die pakistanische Regierung 91 Personen überwachte, die sie für wichtig hielt, vor allem militärisches und politisches Personal in Indien. Diese Liste liefert konkrete Beweise für eine koordinierte Cyberspionageoperation, die auf bestimmte hochrangige Personen abzielt.

Erkennungskomponente	Bedeutung
Hartcodierte Google Sheets-URL	Identifizierte die C2-Server-Infrastruktur
Eingebetteter Zugriffsschlüssel	Anmeldeinformationen für den Zugriff auf den C2-Server bereitgestellt
Zielliste	91 überwachte Personen aufgedeckt
Vorgangsdetails	Zeigt Umfang und Ziele der Kampagne

Implikationen und Lehren

Der SHEETCREEP-Vorfall dient als warnendes Beispiel für die Bedeutung der Betriebssicherheit bei Cyber-Operationen. Trotz der Entwicklung einer technisch ausgefeilten Malware haben die Betreiber es versäumt, grundlegende Sicherheitsmaßnahmen umzusetzen, die ihren Betrieb hätten schützen können.

Der Vorfall verdeutlicht auch den wachsenden Trend, dass staatlich geförderte Akteure legitime Cloud-Dienste für böswillige Zwecke nutzen. Durch die Verwendung von Google Sheets als C2-Server versuchten die Betreiber, ihre Aktivitäten mit der normalen Cloud-Nutzung zu vermischen, was die Erkennung möglicherweise erschwerte.

Für Cybersicherheitsexperten bietet der SHEETCREEP-Fall wertvolle Einblicke in die Taktiken, Techniken und Verfahren (TTPs), die von staatlich geförderten Akteuren eingesetzt werden. Das Verständnis dieser Methoden hilft Unternehmen dabei, bessere Abwehrmaßnahmen gegen ähnliche Bedrohungen zu entwickeln.

Schlussfolgerung

SHEETCREEP steht sowohl für technische Innovation als auch für operatives Scheitern im Bereich staatlich geförderter Cyber-Operationen. Die Verwendung von Google Sheets als C2-Server durch die Malware demonstriert eine kreative Problemlösung, die fest codierten Anmeldeinformationen offenbaren jedoch ein grundlegendes Missverständnis der Betriebssicherheit.

Während Forscher die Malware und die damit verbundene Infrastruktur weiter analysieren, wird das volle Ausmaß der Operation möglicherweise klarer. In der Zwischenzeit erinnert der SHEETCREEP-Vorfall daran, dass selbst die ausgefeiltesten Cyberoperationen durch grundlegende Sicherheitsüberprüfungen zunichte gemacht werden können.

Für Organisationen und Einzelpersonen, die potenziell im Fadenkreuz staatlich geförderter Akteure stehen, unterstreicht der Vorfall die Bedeutung robuster Cybersicherheitsmaßnahmen, einschließlich E-Mail-Sicherheit, Endpunktschutz und Schulung zur Sensibilisierung der Benutzer, um solche raffinierten Angriffe zu erkennen und zu verhindern.

>Be Pakistan Government > benutzerdefinierte Malware entwickeln > used to target high profile targets > gegen indische militärische und politische Personen eingesetzt > mit dem Namen SHEETCREEP > Indische PPL-Datei senden > Woche der strategischen Partnerschaft zwischen den Vereinigten Arabischen Emiraten und Indien > schädliche .lnk-Datei > .lnk führt schädlichen C-Sharp-Code aus > tut eine Menge Sachen für die Ausdauer > exfiltriert Daten an Google Sheets > Google Sheets kann zur Kontrolle der Opfer-PCs verwendet werden > Die pakistanische Regierung kodiert das Google C2-Blatt hart > PAKISTAN GOV HARDCODES GOOGLE C2-BLATT > Zugriffsschlüssel in Nutzlast einbetten > ZUGRIFFSSCHLÜSSEL IN NUTZLAST EINBETTEN > Malware-Nerds finden es > hineinschauen > Alle Ziele der pakistanischen Regierung finden > Überwachung von 91 Personen, die sie für wichtig halten Sie haben so stark angefangen. Warum haben Sie alles fest codiert? Sie haben Ihren Betrieb verbrannt https://www.securonix.com/blog/sheetcreep-evolved-google-sheets-rat/ > Sei eine pakistanische Regierung > benutzerdefinierte Malware entwickeln > Wird verwendet, um hochkarätige Ziele anzusprechen > gegen indische militärische und politische Personen eingesetzt > mit dem Namen SHEETCREEP > Indische PPL-Datei senden > Woche der strategischen Partnerschaft zwischen den Vereinigten Arabischen Emiraten und Indien > malicious .lnk file > .lnk führt schädlichen C-Sharp-Code aus > tut eine Menge Sachen für die Ausdauer > exfiltriert Daten an Google Sheets > Google Sheets kann zur Kontrolle der Opfer-PCs verwendet werden > Die pakistanische Regierung kodiert das Google C2-Blatt hart > PAKISTAN GOV HARDCODES GOOGLE C2-BLATT > Zugriffsschlüssel in Nutzlast einbetten > ZUGRIFFSSCHLÜSSEL IN NUTZLAST EINBETTEN > Malware-Nerds finden es > hineinschauen > Alle Ziele der pakistanischen Regierung finden > monitoring 91 ppl they think important Sie haben so stark angefangen. Warum haben Sie alles fest codiert? Sie haben Ihren Betrieb verbrannt https://www.securonix.com/blog/sheetcreep-evolved-google-sheets-rat/