Hoe een nepuitnodiging Google Docs veranderde in een malwareval

Een vertrouwde werkomgeving, een herkenbare conferentie en een echte Google-link: de aanval combineerde het allemaal. Via het X-account @HartmansDoeke deed een aanvaller zich voor als vicepresident en hoofd marketing van cryptonieuwssite CoinDesk. Beveiligingsprofessionals die betrokken waren bij Black Hat of DEF CON werden benaderd, eerst soms in openbare reacties en daarna via privéberichten. 1411

De aanvaller stelde een zogenaamd door CoinDesk georganiseerde cryptoconferentie voor en stuurde een Google-document dat eruitzag als materiaal voor de planning. Het document zelf hoefde niet vervalst te zijn: de schadelijke stap zat in een ingebouwde Google Apps Script-interface en in de instructies die via die interface werden gegeven. De beschikbare berichtgeving beschrijft een poging om malware af te leveren, maar bevestigt niet dat de Huntress-onderzoeker of andere doelwitten de payload daadwerkelijk hebben geïnstalleerd. 468

Zo werkte de social-engineeringtruc

De eerste berichten gebruikten de conferentie als geloofwaardigheidsanker. In gebrekkig Engels vroeg de afzender of de onderzoeker van plan was een volgend evenement bij te wonen. Daarna volgde het verhaal over een fictieve conferentie die aan CoinDesk zou zijn verbonden. Openbare reacties op X hielpen vermoedelijke bezoekers te vinden of te benaderen; de overstap naar DM’s creëerde vervolgens een besloten kanaal voor de volgende stappen. 4510

Zodra iemand interesse toonde, stuurde de aanvaller een document dat eruitzag als een normaal conferentieplan. Bij het document hoorde een ‘encryptie-’ of ontsleutelingssleutel, die in het X-gesprek werd verstrekt. Daardoor leek de uitwisseling meer op gewone evenementencoördinatie dan op een klassieke phishingpoging. 68

De val in Google Docs en Apps Script

Een Google-gebruiker die bij zijn account was ingelogd en het bestand opende, kreeg naast het document een aangepaste zijbalk te zien. Volgens Huntress wekte die zijbalk de indruk dat een deel van de inhoud versleuteld was en werd de ontvanger gevraagd de aangeleverde sleutel in te voeren. Die sleutel leek vervolgens niet te werken. Dat gaf de aanvaller een aanleiding om de gebruiker zogenaamd te helpen met vervolgstappen. 68

Die vervolgstappen bevatten ClickFix-achtige instructies en een downloadoptie. Beide waren bedoeld om de ontvanger malware te laten downloaden en uitvoeren. Het document was dus niet alleen een doorverwijzing naar een verdacht extern domein: echte Google-hosting en een interface die eruitzag als een onderdeel van Google Docs maakten het proces vertrouwd. 48

Dat is de belangrijkste les van deze campagne. Een URL op google.com of een document dat binnen een bekende productiviteitsdienst opent, bewijst alleen waar de inhoud wordt gehost. Het bewijst niet dat het document, het script, de instructies of de aangeboden downloads veilig zijn.

Welke malware werd ingezet?

De gemelde afleverroutes verschilden per besturingssysteem:

• macOS: de campagne probeerde Atomic macOS Stealer (AMOS) af te leveren, een programma dat gegevens steelt. De macOS-route was volgens de berichtgeving ook gekoppeld aan een frauduleuze Dropbox DocSend-share en een nagemaakte installer. 2
• Windows: hierbij ging het om NetSupport RAT. Dat is van oorsprong legitieme software voor ondersteuning en beheer op afstand, maar in deze campagne werd die voor kwaadaardige externe toegang misbruikt. 2
• Cryptodoelwitten: onderzoekers vonden daarnaast een nagemaakte Ledger-installer of -implantaat. Dat wijst erop dat cryptowallets en bijbehorende gegevens tot de vermoedelijke doelwitten behoorden. 2

De beschikbare informatie beschrijft de beoogde payloads en de aflevermechanismen, niet een bevestigde besmetting van de onderzoeker die de campagne onderzocht.

Hoe Huntress de aanval onderzocht

De benaderde Huntress-onderzoeker zag dat het contact verdacht was, maar deed alsof hij of zij meewerkte. Zo kon Huntress de berichten observeren, het document ontvangen en vastleggen hoe de neppe encryptieprompt uiteindelijk naar malware-uitvoering leidde. De onderzoeker installeerde de payload niet. 1411

Dankzij die aanpak werd de volledige aanvalsketen zichtbaar: van de identiteitsclaim op X en de verzonnen conferentie tot het Google-document, de Apps Script-zijbalk, de valse sleutel en de malwarepaden voor verschillende besturingssystemen.

Waar beveiligingsteams op moeten letten

De campagne laat zien dat contact rond conferenties net zo kritisch moet worden beoordeeld als phishing via e-mail — ook wanneer het bericht via een openbaar sociaal platform komt en gebruikmaakt van een legitieme clouddienst.

Let onder meer op:

• een ongevraagd bericht van een account dat zegt namens een organisator, mediabedrijf of sponsor te handelen;
• een verzoek om van een openbare reactie over te stappen naar DM’s voordat de identiteit onafhankelijk is gecontroleerd;
• een document dat vraagt om een sleutel, wachtwoord of ‘decryptiestap’ die in een apart chatgesprek is verstrekt;
• een Google-document met een aangepaste zijbalk of ongebruikelijke interactieve prompt die vraagt software te downloaden of commando’s te plakken; en
• een wallet, tool voor beheer op afstand of conferentiehulpmiddel dat buiten onafhankelijk bevestigde organisatiekanalen wordt aangeboden.

Heeft iemand de instructies toch gevolgd, dan is de veiligste reactie om het mogelijk getroffen systeem te isoleren, potentieel blootgestelde inloggegevens te wijzigen, geheime sleutels te vervangen en cryptowallets en andere gevoelige accounts te controleren. 1819

Wat wel en niet is bevestigd

De berichtgeving ondersteunt de kern van het incident: impersonatie op X, openbare reacties en DM’s, een verzonnen cryptoconferentie, een Google-document met Apps Script, een valse ontsleutelingssleutel, ClickFix-achtige vervolginstructies en pogingen om malware voor macOS en Windows af te leveren. 1246811

De aangeleverde bronnen bevatten geen geverifieerde verklaring van de vermoedelijke aanvaller of Google. Ook bieden ze onvoldoende basis voor een specifieke vergelijking met met naam genoemde, aan overheden gelieerde campagnes. In brede zin past het incident in een bekend patroon: beveiligingsprofessionals worden benaderd met zorgvuldig afgestemde professionele voorwendsels. De opvallende variant hier is het misbruik van vertrouwde Google-hosting en een Apps Script-gebruikersinterface als onderdeel van de afleverketen.