Im Roundup dieser Woche betrachtet CTI einen kürzlichen Ransomware-Angriff von BianLian, der bekannte Schwachstellen in der JetBrains TeamCity-Software ausnutzte. Als nächstes untersucht CTI, wie Ransomware-Angriffe trotz einer leichten Abnahme der Angriffe im vierten Quartal von 2023 weiterhin in rasanter Geschwindigkeit auftreten.
Schließlich liefert CTI wichtige Ergebnisse aus dem neuesten GitGuardians State of Secrets Sprawl-Bericht.
1. BianLian Bedrohungsakteure nutzen JetBrains TeamCity-Fehler aus
Der Ransomware-Betrieb von BianLian nutzt jetzt bekannte Schwachstellen in der JetBrains TeamCity-Software für reine Erpressungsangriffe aus. Die neuesten Angriffe begannen mit der Ausnutzung dieser Schwachstellen und endeten mit der Bereitstellung einer PowerShell-Implementierung der Backdoor von BianLian.
Erster Zugriff auf BrianLian
BianLian hat über einen gefährdeten TeamCity Server Zugriff auf die Umgebung des Opfers erhalten, wobei CVE-2024-27198 und CVE-2024-42793 genutzt wurden.
Die Gruppe erstellte Benutzer in TeamCity und führte bösartige Befehle unter dem Dienstkonto des Produkts aus. Nach dem ersten Zugriff verwendete der Bedrohungsakteur native Windows-Befehle, um zusätzliche Infrastruktur zu identifizieren. Dies ermöglichte es ihnen, zwei Build-Server zu entdecken, die gute Kandidaten für eine zusätzliche Nutzung waren.
winpty-agent.exe und winpty.dll wurden verwendet, um Befehle auf diesen Servern remote auszuführen, was zur Bereitstellung zusätzlicher Tools führte. Ein solches zusätzliches Tool war das PowerShell-Skript web.ps1. Andere Tools, die für die Kommunikation mit dem C2 -Server und Tools zum Ablegen von Anmeldedaten benötigt wurden, wurden ebenfalls bereitgestellt.
Schwenken zu PowerShell
Der Bedrohungsakteur versuchte, die Go-Hintertür auszuführen, die er normalerweise mehrmals verwendet, und scheiterte jede Runde. Nach mehreren Ausfällen entschied sich der Bedrohungsakteur für eine PowerShell-Implementierung der Backdoor, die sehr ähnlich wie ihre traditionelle Go-Backdoor funktionierte.
Nach dem Enttarnen des PowerShell-Skripts konnte GuidePoint es analysieren. Eine Komponente innerhalb des Skripts ist die Kuchenfunktion, die verwendet wurde, um eine IP-Adresse in Abhängigkeit davon aufzulösen, was sie als Parameter bereitgestellt wurde. Sobald die IP-Adresse bestätigt ist, wird sie verwendet, um einen TCP-Socket für die Kommunikation einzurichten.
Es gab auch eine Cookie-Funktion, die für die meisten Netzwerkverbindungsmanagement und einige Ausführungen verwendet wurde, die von der Backdoor selbst durchgeführt wurden. Zu diesem Zeitpunkt konnten Forscher feststellen, dass der Zweck der Hintertür darin besteht, einem Remote-Angreifer zu ermöglichen, Operationen willkürlich und auf ähnliche Weise wie die Go-Variante durchzuführen.
Der Übeltäter: BianLian
GuidePoint hat diesen Angriff BianLian aus der letzten Zeile des PowerShell-Skripts zugeschrieben, was das Aufrufen der Cookies-Funktion mit bestimmten angegebenen Parametern ergab.
Nach der Konvertierung wurde eine IP-Adresse angezeigt. Diese IP-Adresse wurde zuvor mit einem Server verknüpft, auf dem eine BianLian Go-Backdoor ausgeführt wurde, und zwar bis zum 6. März 2024.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dies ist nicht das erste Mal , dass wir über BianLian berichtet haben. BianLian verwendet kundenspezifische Go-Hintertüren, die auf jedes Opfer zugeschnitten sind, was beweist, wie anpassungsfähig sie sind. Diese neueste Attacke belegt ihre Anpassungsfähigkeit noch weiter, da sie schnell auf eine PowerShell/LoLoL-Technik umstellen konnten, nachdem sie erkannt hatten, dass die geplante Go-Backdoor nicht erfolgreich war.
Wie dieses Beispiel zeigt, beweisen Bedrohungsakteure zunehmend ihre Fähigkeit, mit sich entwickelnden Umgebungen Schritt zu halten, insbesondere in Bezug auf neue Schwachstellen.
2. Ransomware-Angriffe beschleunigen sich weiter
Laut Symantec treten Ransomware-Angriffe trotz des leichten Rückgangs der Angriffe im vierten Quartal von 2023 weiterhin in einem schnellen Tempo auf.
Die neueste Studie zeigt, dass Ransomware-Bedrohungsakteure ihre TTPs immer besser anpassen und verfeinern, um auf Störungen der Strafverfolgung zu reagieren. Es gibt Hinweise darauf, dass die Ausnutzung von Schwachstellen jetzt der wichtigste Infektionsvektor für Ransomware-Angriffe ist.
Wichtige Ergebnisse aus dem Bericht von Symantec
Basierend auf Symantecs Analyse von Ransomware-Leckstellen gab es etwa 4 700 Opfer von Ransomware in 2023 und 2 800 Opfer in 2022. Während es im letzten Quartal von 2023 einen leichten Rückgang der Attacken gab, waren die Attacken insgesamt im Vergleich zu den Vorjahren immer noch hoch.
Ein Grund für diese Zunahme ist die Tatsache, dass Ransomware-Bedrohungsakteure ihre TTPs strategisch anpassen, um auf verschiedene Störungen und Takedowns zu reagieren und ihre Ziele fortzusetzen.
Symantec stellt ein Missverhältnis zwischen der Anzahl der Opfer fest, die auf Ransomware-Leckstellen behauptet werden, und der tatsächlichen Ransomware-Aktivität, die sie untersucht haben. Basierend auf ihren gesammelten Daten war der Noberus Ransomware-Bedrohungsakteur für einen größeren Prozentsatz von Angriffen verantwortlich.
Top-Ransomware-Vektoren
Bedrohungsakteure wenden sich der Ausnutzung von Schwachstellen als Mittel für den ersten Zugriff auf Ransomware-Angriffe zu.
Zu den am häufigsten ausgenutzten Schwachstellen im letzten Jahr, die zu Ransomware-Angriffen führten, gehören:
- CVE-2022-47966: ZOHO ManageEngine
- Verschiedene Microsoft Exchange Server-Schwachstellen
- CVE-2023-2966: Citrix NetScaler ADC und NetScaler Gateway
- CVE-2023-20269: Cisco ASA und Cisco FTD VPN
Werkzeuge
Bedrohungsakteure erweitern ihr Portfolio um benutzerdefinierte und Dual-Use-Tools, um Erkennung zu umgehen. Ransomware-Akteure schwenken auch, um die BYOVD-Technik (Bring Your Own vulnerable Driver) häufiger zu nutzen.
Einige der Tools, die bei kürzlichen Ransomware-Angriffen beobachtet wurden, sind:
- HopToDesk: Ein öffentlich verfügbares Remote-Desktop-Tool. AnyDesk und Atera werden ebenfalls häufig verwendet.
- TrueSightKiller: Ein öffentlich verfügbares Tool, das die BYOVD-Technik nutzt und die Sicherheitssoftware deaktiviert.
- GhostDriver: Ein Tool, das die BYOVD-Technik verwendet und AV deaktiviert.
- StealBit: Ein benutzerdefiniertes Datenexfiltrationstool; verbunden mit LockBit.
Techniken
Symantec erwähnte zwei bemerkenswerte Techniken, die jetzt bei Ransomware-Angriffen verwendet werden.
- Der erste ist esentutl, bei dem Anmeldeinformationen über ein Windows-Befehlszeilentool abgeladen werden. Diese Technik wird jetzt verwendet, um Anmeldeinformationen von Browsern zu löschen.
- Die andere Technik ist die Verwendung bösartiger Tools, um Benutzeranmeldeinformationen zu erhalten und zu entschlüsseln, die über die Datenschutz-API von Microsoft gespeichert werden.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Ransomware geht nicht bald weg. Störungen der Strafverfolgung können zwar zu einem vorübergehenden Rückgang der Ransomware-Angriffe führen, aber es reicht nicht aus, die Bedrohung zu verringern, die Ransomware-Akteure darstellen.
Das bedeutet nicht, dass die Bemühungen der Strafverfolgungsbehörden Zeitverschwendung sind. Oft schädigen sie den Ruf und/oder die Infrastruktur des Bedrohungsakteurs. Darüber hinaus treiben die Haufen öffentlicher Berichte über verschiedene Ransomware-Angriffe, obwohl sie für Verteidiger hilfreich sind, nur Bedrohungsakteure dazu, nach neuen Techniken zu suchen, sodass sie schnell schwenken und sich anpassen können.
3. Mehr als 12 Millionen Geheimnisse und Schlüssel laufen auf GitHub aus
Laut dem Bericht State of Secrets Sprawl von GitGuardian wurden im Jahr 2023 mehr als 12,8 Millionen Authentifizierungs- und sensible Geheimnisse in 3 Millionen öffentlichen Repositories von GitHub-Benutzern offengelegt.
Zu den offengelegten Geheimnissen gehören Kontopasswörter, API-Schlüssel, TLS/SSL-Zertifikate, Verschlüsselungsschlüssel, Clouddienstanmeldeinformationen, OAuth-Tokens und andere Daten. Darüber hinaus waren die meisten Geheimnisse und Schlüssel fünf Tage nach Bekanntwerden der Exposition noch gültig.
Bemerkenswerte Befunde
Hardcodierte Anmeldedaten sind seit geraumer Zeit eine Grundursache für Sicherheitsvorfälle. GitGuardian verfolgt und meldet seit 2020 festcodierte Geheimnisse und stellt fest, dass es einen Anstieg der auf GitHub erkannten Geheimnisse von 2022 auf 2023 um 28 % gab.
Forscher stellten außerdem fest, dass 90 % der offengelegten gültigen Geheimnisse fünf Tage nach Erhalt einer Benachrichtigung durch den Autor aktiv bleiben. GitGuardian hat letztes Jahr 1,8 Millionen E-Mail-Benachrichtigungen gesendet, die ein offengelegtes Geheimnis identifizierten, von denen nur 33 242 innerhalb von fünf Tagen widerrufen wurden. Diese Statistik unterstreicht die Tatsache, dass die Behebung genauso wichtig ist, wenn nicht sogar wichtiger als die Erkennung einer solchen Aktivität.
GitGuardian teilte seine Daten weiter auf, um die Länder und Sektoren mit den meisten Leckagen zu identifizieren. Indien war das Land mit den meisten Leckagen, gefolgt von den USA und Brasilien. Der IT-Sektor machte 65,9 % der Leckagen aus.
Ihre Daten wurden erneut in spezifische vs. generische Geheimnisse unterteilt, wobei festgestellt wurde, dass spezifische Geheimnisse die Mehrheit ausmachten. Wenn sie diese spezifischen Geheimnisse genauer betrachteten, identifizierten sie über eine Million gültige Google API-Geheimnisse, 250 000 Google Cloud und 140 000 AWS IAM.
Was passiert nach geheimen Leckagen?
Sobald ein Geheimnis durchsickert ist, ist es wichtig, dass es schnell widerrufen wird, um weitere Auswirkungen zu vermeiden. Wie bereits erwähnt, waren mehr als 90 % der von GitGuardian identifizierten Geheimnisse einige Tage später noch gültig. Des Weiteren wurden nur 2,6 % der Geheimnisse innerhalb einer Stunde nach dem Senden der Benachrichtigungs-E-Mail widerrufen.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Es ist schockierend zu erfahren, dass mehr als 90 % der Geheimnisse fünf Tage nach der Benachrichtigung, dass sie versehentlich ausgetreten sind, noch gültig waren.
Diese Studie liefert nicht nur einige erstaunliche Statistiken, sondern lässt auch erkennen, dass große Erkennungsbemühungen einfach nicht ausreichen. Erkennungsbemühungen bedeuten nicht viel, wenn das für die Behebung verantwortliche Team nicht richtig geführt und sachkundig ist, wie Fehler behoben werden können.
Jetzt ist es wichtiger denn je, zu beantworten, was nach geheimen Leckagen passiert – oder was passiert, nachdem ein bestimmter Sicherheitsvorfall identifiziert wurde.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium und beginnen Sie ein Gespräch.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
