In der Zusammenfassung dieser Woche befasst sich CTI mit einem kürzlich erfolgten Angriff der Ransomware „BianLian“, bei dem bekannte Sicherheitslücken in der Software „JetBrains TeamCity“ ausgenutzt wurden. Anschließend untersucht CTI, wie es dazu kommt, dass Ransomware-Angriffe weiterhin in raschem Tempo auftreten, obwohl im vierten Quartal 2023 ein leichter Rückgang der Angriffe zu verzeichnen war.
Abschließend präsentiert CTI die wichtigsten Erkenntnisse aus dem aktuellen Bericht „State of Secrets Sprawl“ von GitGuardians.
1. Die Angreifer der BianLian-Gruppe nutzen Sicherheitslücken in JetBrains TeamCity aus
Die Ransomware-Operation „ “ (BianLian) nutzt nun bekannte Sicherheitslücken in der JetBrains TeamCity-Software für reine Erpressungsangriffe aus. Die jüngsten Angriffe begannen mit der Ausnutzung dieser Sicherheitslücken und endeten mit der Installation einer PowerShell-Implementierung der Hintertür von BianLian.
BrianLian – Erster Zugriff
BianLian verschaffte sich über einen anfälligen TeamCity-Server Zugang zur Umgebung des Opfers und nutzte dabei die „ “ CVE-2024-27198 und CVE-2024-42793 aus.
Die Gruppe richtete Benutzer in TeamCity ein und führte unter dem Dienstkonto des Produkts böswillige Befehle aus. Nachdem sich der Angreifer einen ersten Zugriff verschafft hatte, nutzte er native Windows-Befehle, um weitere Teile der Infrastruktur zu identifizieren. Auf diese Weise konnten sie zwei Build-Server ausfindig machen, die sich gut für weitere Angriffe eigneten.
Die Dateien „winpty-agent.exe“ und „winpty.dll“ wurden verwendet, um Befehle auf diesen Servern aus der Ferne auszuführen, was zur Installation weiterer Tools führte. Ein solches zusätzlich eingesetztes Tool war ein PowerShell-Skript namens „web.ps1“. Zudem wurden weitere Tools bereitgestellt, die für die Kommunikation mit dem C2 -Server erforderlich sind, sowie Tools zum Auslesen von Anmeldedaten.
Umstellung auf PowerShell
Der Angreifer versuchte mehrfach, die von ihm üblicherweise verwendete Go-Backdoor auszuführen, scheiterte jedoch bei jedem Versuch. Nach mehreren Fehlversuchen entschied sich der Angreifer, auf eine PowerShell-Implementierung der Hintertür umzusteigen, die sehr ähnlich wie seine herkömmliche Go-Hintertür funktionierte.
Nach der Entschleierung des PowerShell-Skripts war GuidePoint in der Lage, dieses zu analysieren. Ein Bestandteil des Skripts ist die Funktion „cakes“, die dazu diente, eine IP-Adresse entsprechend dem als Parameter übergebenen Wert aufzulösen. Sobald die IP-Adresse bestätigt ist, wird sie zum Aufbau eines TCP-Sockets für die Kommunikation verwendet.
Zudem gab es eine Cookie-Funktion, die für den Großteil der Verwaltung der Netzwerkverbindungen sowie für bestimmte von der Backdoor selbst ausgeführte Vorgänge genutzt wurde. Zu diesem Zeitpunkt konnten die Forscher feststellen, dass der Zweck der Hintertür darin besteht, einem Angreifer aus der Ferne zu ermöglichen, beliebige Operationen durchzuführen, und zwar in ähnlicher Weise wie bei der Go-Variante.
Der Übeltäter: BianLian
GuidePoint führte diesen Angriff auf BianLian zurück, da aus der letzten Zeile des PowerShell-Skripts hervorging, dass die Funktion „cookies“ mit bestimmten Parametern aufgerufen wurde.
Nach der Umwandlung wurde eine IP-Adresse angezeigt. Diese IP-Adresse war bereits zuvor mit einem Server in Verbindung gebracht worden, auf dem eine „BianLian Go“-Backdoor lief, und zwar noch so kürzlich wie am 6. März 2024.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dies ist nicht das erste Mal, dass wir unter über BianLian berichtet haben. BianLian ist dafür bekannt, maßgeschneiderte Go-Backdoors zu verwenden, die auf jedes Opfer individuell zugeschnitten sind, was belegt, wie anpassungsfähig diese Gruppe ist. Dieser jüngste Angriff belegt einmal mehr ihre Anpassungsfähigkeit, da sie in der Lage waren, rasch auf eine PowerShell-/LotL-Technik umzuschwenken, nachdem sie erkannt hatten, dass die geplante „Go“-Backdoor nicht erfolgreich war.
Wie dieses Beispiel zeigt, beweisen Angreifer zunehmend ihre Fähigkeit, mit sich wandelnden Umgebungen Schritt zu halten, insbesondere im Hinblick auf neue Sicherheitslücken.
2. Ransomware-Angriffe nehmen weiter zu
Laut Symantec halten die Ransomware-Angriffe trotz eines leichten Rückgangs im vierten Quartal 2023 weiterhin in raschem Tempo an.
Neueste Forschungsergebnisse deuten darauf hin, dass Ransomware-Angreifer ihre TTPs immer besser anpassen und verfeinern, um auf Störungen durch die Strafverfolgungsbehörden zu reagieren. Es gibt Hinweise darauf, dass die Ausnutzung von Sicherheitslücken mittlerweile der wichtigste Infektionsweg für Ransomware-Angriffe ist.
Wichtigste Erkenntnisse aus dem Bericht von Symantec
Basierend auf der Analyse von Symantec zu Websites, auf denen Ransomware veröffentlicht wird, gab es im Jahr 2023 etwa 4 700 Opfer von Ransomware und im Jahr 2022 2 800 Opfer. Zwar war im letzten Quartal des Jahres 2023 ein leichter Rückgang der Angriffe zu verzeichnen, doch insgesamt lagen die Angriffszahlen im Vergleich zu den Vorjahren weiterhin im Aufwärtstrend.
Ein Grund für diesen Anstieg ist die Tatsache, dass die hinter Ransomware stehenden Akteure ihre TTPs strategisch anpassen, um auf verschiedene Störungen und Abschaltungen zu reagieren und ihre Ziele weiter zu verfolgen.
Symantec stellt eine Diskrepanz zwischen der Anzahl der Opfer, die auf Ransomware-Leak-Seiten angegeben wird, und den tatsächlichen Ransomware-Aktivitäten fest, die das Unternehmen untersucht hat. Auf der Grundlage der gesammelten Daten war der Ransomware-Angreifer „Noberus“ für einen größeren Anteil der Angriffe verantwortlich.
Die häufigsten Übertragungswege für Ransomware
Angreifer nutzen zunehmend die Ausnutzung von Sicherheitslücken als Mittel, um sich den ersten Zugriff für Ransomware-Angriffe zu verschaffen.
Zu den im vergangenen Jahr am häufigsten ausgenutzten Sicherheitslücken, die zu Ransomware-Angriffen führten, zählen unter anderem:
- CVE-2022-47966 „“: ZOHO ManageEngine
- Verschiedene Sicherheitslücken in Microsoft Exchange Server
- CVE-2023-2966 „“: Citrix NetScaler ADC und NetScaler Gateway
- CVE-2023-20269 „“: Cisco ASA und Cisco FTD VPN
Werkzeuge
Cyberkriminelle erweitern ihr Instrumentarium zunehmend um maßgeschneiderte und doppelt nutzbare Tools, um einer Entdeckung zu entgehen. Ransomware-Angreifer setzen zunehmend auf die „Bring Your Own Vulnerable Driver“ (BYOVD)-Technik.
Zu den Tools, die bei den jüngsten Ransomware-Angriffen zum Einsatz kamen, gehören unter anderem:
- HopToDesk: Ein öffentlich zugängliches Fernzugriffstool. Auch AnyDesk und Atera werden häufig verwendet.
- TrueSightKiller: Ein öffentlich zugängliches Tool, das die BYOVD-Technik nutzt und Sicherheitssoftware deaktiviert.
- GhostDriver-: Ein Tool, das die BYOVD-Technik nutzt und die Antivirensoftware deaktiviert.
- StealBit-: Ein maßgeschneidertes Tool zur Datenexfiltration; steht in Verbindung mit LockBit.
Techniken
Symantec nannte zwei bemerkenswerte Techniken, die derzeit bei Ransomware-Angriffen zum Einsatz kommen.
- Die erste Methode ist „esentutl“, bei der Anmeldedaten über ein Windows-Befehlszeilentool ausgelesen werden. Diese Technik wird derzeit dazu genutzt, Anmeldedaten aus Browsern zu extrahieren.
- Die andere Methode besteht in der Verwendung bösartiger Tools, um Benutzeranmeldedaten zu erlangen und zu entschlüsseln, die über die Data Protection API von Microsoft gespeichert sind.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Ransomware wird so schnell nicht verschwinden. Zwar können Eingriffe der Strafverfolgungsbehörden zu einem vorübergehenden Rückgang der Ransomware-Angriffe führen, doch reicht dies nicht aus, um die von Ransomware-Tätern ausgehende Bedrohung zu mindern.
Das soll nicht heißen, dass die Bemühungen der Strafverfolgungsbehörden reine Zeitverschwendung sind. Häufig schaden sie dem Ruf und/oder der Infrastruktur des Angreifers. Zudem führen die zahlreichen öffentlichen Berichte über verschiedene Ransomware-Angriffe – obwohl sie für die Verteidiger hilfreich sind – lediglich dazu, dass die Angreifer nach neuen Techniken suchen, was ihre Fähigkeit erklärt, sich schnell neu auszurichten und anzupassen.
3. Mehr als 12 Millionen Geheimnisse und Schlüssel sind auf GitHub durchgesickert
Laut dem Bericht „State of Secrets Sprawl“ von GitGuardian wurden im Jahr 2023 von GitHub-Nutzern in 3 Millionen öffentlichen Repositorys mehr als 12,8 Millionen Authentifizierungsdaten und vertrauliche Geheimnisse offengelegt.
Zu den offengelegten Geheimnissen zählen Kontopasswörter, API-Schlüssel, TLS/SSL-Zertifikate, Verschlüsselungsschlüssel, Anmeldedaten für Cloud-Dienste, OAuth-Token und weitere Daten. Darüber hinaus waren die meisten Geheimnisse und Schlüssel auch fünf Tage nach Bekanntwerden der Sicherheitslücke noch gültig.
Bemerkenswerte Ergebnisse
Fest programmierte Anmeldedaten sind schon seit geraumer Zeit eine der Hauptursachen für Sicherheitsvorfälle. GitGuardian verfolgt und meldet seit 2020 fest codierte Geheimnisse und hat festgestellt, dass die Zahl der auf GitHub entdeckten Geheimnisse von 2022 bis 2023 um 28 % gestiegen ist.
Die Forscher stellten zudem fest, dass 90 % der offengelegten gültigen Geheimnisse noch fünf Tage lang aktiv bleiben, nachdem der Urheber eine Benachrichtigung erhalten hat. GitGuardian versandte im vergangenen Jahr 1,8 Millionen E-Mail-Benachrichtigungen, in denen ein offengelegtes Geheimnis identifiziert wurde; davon wurden lediglich 33 242 innerhalb von fünf Tagen widerrufen. Diese Statistik unterstreicht die Tatsache, dass die Behebung solcher Vorfälle ebenso wichtig, wenn nicht sogar wichtiger ist als deren Aufdeckung.
GitGuardian hat seine Daten weiter aufgeschlüsselt, um die Länder und Branchen mit den meisten Datenlecks zu ermitteln. Indien war das Land mit den meisten Informationslecks, gefolgt von den USA und Brasilien. Auf den IT-Sektor entfielen 65,9 % der Datenlecks.
Ihre Daten wurden erneut in spezifische und allgemeine Geheimnisse unterteilt, wobei sich herausstellte, dass spezifische Geheimnisse den größten Anteil ausmachten. Bei näherer Betrachtung dieser spezifischen Zugangsdaten identifizierten sie über eine Million gültige Google-API-Zugangsdaten, 250 000 Google-Cloud-Zugangsdaten und 140 000 AWS-IAM-Zugangsdaten.
Was geschieht nach der Veröffentlichung geheimer Informationen?
Sobald ein Geheimnis bekannt geworden ist, ist es von entscheidender Bedeutung, dass es umgehend zurückgezogen wird, um weitere Auswirkungen zu vermeiden. Wie bereits erwähnt, waren mehr als 90 % der von GitGuardian identifizierten Geheimnisse auch mehrere Tage später noch gültig. Zudem wurden nur 2,6 % der Zugangsdaten innerhalb einer Stunde nach Versand der Benachrichtigungs-E-Mail widerrufen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist schockierend zu erfahren, dass mehr als 90 % der Geheimnisse fünf Tage nach der Benachrichtigung, dass sie versehentlich durchgesickert waren, noch immer gültig waren.
Diese Untersuchung liefert nicht nur einige erschreckende Zahlen, sondern macht auch deutlich, dass umfangreiche Ermittlungsbemühungen allein einfach nicht ausreichen. Maßnahmen zur Fehlererkennung sind wenig sinnvoll, wenn das für die Behebung zuständige Team nicht angemessen angeleitet wird und nicht über das nötige Fachwissen verfügt, um Fehler zu beheben.
Mehr denn je ist es von entscheidender Bedeutung, beantworten zu können, was nach der Offenlegung geheimer Informationen geschieht – oder was geschieht, nachdem ein bestimmter Sicherheitsvorfall festgestellt wurde.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.