In dieser Woche analysiert CTI APT41’s aktuelle Fälle des Einsatzes von Google Command and Control (GC2) im Rahmen ihrer Operationen – und hebt dabei einen stetigen Anstieg bei der Nutzung öffentlich zugänglicher Tools durch APTs mit Verbindungen zu China hervor. Als Nächstes folgt ein Überblick über ein neues Tool zur Umgehung von Sicherheitsmaßnahmen – mit dem Namen „AuKill“ –, das es Angreifern ermöglicht, EDR-Lösungen (Endpoint Detection and Response) zu deaktivieren, bevor sie Hintertüren und Ransomware einsetzen. Abschließend befasst sich CTI mit einem neuen Bericht, der die eigentliche Ursache für den vielbeachteten Angriff auf die Lieferkette aufzeigt, der bereits im März Auswirkungen auf die allgegenwärtige 3CX Desktop App und deren Nutzer hatte.
Hacker missbrauchen das „Command-and-Control“-Red-Team-Tool von Google für Angriffe
Der „ 2023 Threat Horizons Report“ von Google Cloud (wird in einem neuen Tab geöffnet) zeigt, dass die vom chinesischen Staat unterstützte Spionagegruppe APT41 nun Googles GC2 Red-Team-Tool bei ihren Angriffen missbraucht.
GC2 ist ein in Go geschriebenes Open-Source-Projekt, das speziell für Red-Team-Aktivitäten entwickelt wurde. Die Threat Analysis Group (TAG) von Google vereitelte den jüngsten Phishing-Angriff „ “ APT41’s unter, bei dem die Angreifer versuchten, den GC2 -Agenten im Rahmen eines umfassenderen Missbrauchs der Google-Infrastruktur zu verbreiten.
APT41 (wird in einem neuen Tab geöffnet) – auch bekannt als „Wicked Panda“ und „HOODOO“ – führt gelegentlich finanziell motivierte Aktionen durch. Die Gruppe ist seit mindestens 2007 aktiv, und gegen mehrere Mitglieder wurde vom US-Justizministerium Anklage erhoben. Die Gruppe hat in der Vergangenheit vor allem staatliche und private Organisationen in den USA, Taiwan, Indien, Thailand, China, Hongkong, der Mongolei und weiteren Ländern ins Visier genommen. „ APT41 “ ist zudem dafür bekannt, Schwachstellen auszunutzen, insbesondere bei Anwendungen, die anfällig für SQL-Injection-Angriffe sind.
Details zur Kampagne
In dem Fall „ Oktober 2022“ vereitelte Googles TAG-Team eine „ APT41 “-Kampagne, die sich gegen eine taiwanesische Medienorganisation richtete und bei der Phishing-E-Mails mit dem Betreff „“ versendet wurden, die Links zu passwortgeschützten Dateien auf Drive enthielten: . Die Nutzlast dieser Kampagne war GC2, ein Open-Source-Tool für Red-Team-Aktivitäten.
Dieses in Go geschriebene Tool bezieht seine Befehle aus Google Sheets, um seine böswilligen Aktivitäten zu verschleiern. Die Daten werden anschließend auf Google Drive übertragen. Nach der Installation auf dem Computer des Opfers abrief die Malware ihre Befehle aus Google Sheets. GC2 ermöglicht es dem Angreifer zudem, zusätzliche Dateien von Drive auf das System des Opfers herunterzuladen. Die Nutzung der Google-Infrastruktur und von Anwendungen für die Zusammenarbeit erhöht die Wahrscheinlichkeit, dass bösartiger Datenverkehr in Unternehmensumgebungen weitgehend unbemerkt bleibt.
Google hat festgestellt, dass dieser Angreifer bereits im vergangenen Jahr einen ähnlichen Vorgehensweise genutzt hat, um eine italienische Jobbörse anzugreifen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Googles TAG hat nicht viele Details zu dieser Kampagne veröffentlicht, sodass es hinsichtlich der Indikatoren für eine Kompromittierung (IOC) nicht viele Anhaltspunkte gibt.“ Die Kampagne zeigt jedoch, dass diese chinesische APT zunehmend öffentlich zugängliche Tools wie „ GC2“ einsetzt.“
„Chinesische APTs nutzen und geben bei ihren Angriffen in der Regel zahlreiche eigens entwickelte Tools weiter.“ Zudem verleihen sie öffentlich zugänglichen Tools in angepassten Versionen ihre eigene Note. Die Verwendung von APT41’s von GC2 – angeblich im Originalzustand ohne individuelle Anpassungen – markiert zweifellos eine Hinwendung zu sofort einsatzbereiten, öffentlich zugänglichen Tools. Handelt es sich hierbei um eine Taktik, um die Zuordnungsbemühungen zu verunsichern, oder um eine echte methodische Neuausrichtung? „Das wird sich erst mit der Zeit zeigen.“
Ransomware-Banden missbrauchen den Process Explorer-Treiber, um Sicherheitssoftware zu deaktivieren
Ein neuer Bericht von Sophos befasst sich mit einem Tool zur Umgehung von Abwehrmaßnahmen von „ “ (wird in einem neuen Tab geöffnet) namens „AuKill“, das derzeit von Angreifern genutzt wird, um die Endpoint Detection and Response (EDR)-Software zu deaktivieren, bevor sie Hintertüren und Ransomware einsetzen. Das Tool nutzt eine veraltete Version von Process Explorer aus und wurde in diesem Jahr bei mindestens drei Ransomware-Vorfällen eingesetzt.
Sophos hat Berichten zufolge mehrere Vorfälle untersucht, bei denen der Angreifer versucht hat, EDR-Clients mithilfe des neuen Tools „AuKill“ außer Betrieb zu setzen. Dieses Tool nutzt eine veraltete Version des Treibers aus, der von Version 16,32 des Dienstprogramms „Process Explorer“ von Microsoft verwendet wird. Im Januar und Februar setzten die Angreifer die Ransomware „Medusa Locker“ ein, nachdem sie zuvor „AuKill“ genutzt hatten. Im Februar wurde erneut beobachtet, dass der Angreifer AuKill einsetzte, bevor er die Ransomware LockBit installierte.
Dies ist natürlich nicht das erste Mal, dass Angreifer dabei beobachtet wurden, wie sie Software einsetzten, die darauf ausgelegt ist, EDR-Agenten zu deaktivieren. Sicherheitsforschungsteams von Microsoft, Mandiant, SentinelOne und Sophos haben bereits zuvor über Angriffe berichtet, bei denen speziell entwickelte Treiber zum Einsatz kamen, um EDR-Produkte außer Kraft zu setzen. Was diese jüngsten Vorfälle von früheren Angriffen unterscheidet, ist die Tatsache, dass AuKill einen legitimen, jedoch veralteten und ausnutzbaren Treiber missbraucht.
Sophos hat sechs verschiedene Varianten der AuKill-Malware gesammelt und dabei Ähnlichkeiten zwischen AuKill und einem anderen Open-Source-Tool namens Backstab festgestellt, darunter Debug-Strings, die offenbar abgeleitete Merkmale aufweisen, sowie eine nahezu identische Codeflusslogik, die für die Interaktion mit dem Treiber verwendet wird. Die Forscher von Sophos gehen davon aus, dass AuKill auf der Grundlage mehrerer Code-Schnipsel aus Backstab entwickelt wurde.
Missbrauch legitimer Treiber und procexp.sys
Um die Sicherheitsmaßnahmen für Treiber zu umgehen, müssen Angreifer entweder einen Weg finden, einen schädlichen Treiber mit einem vertrauenswürdigen bzw. legitimen Zertifikat signieren zu lassen, oder herausfinden, wie sie einen legitimen Treiber aus kommerzieller Software missbrauchen können. Bei den von Sophos beobachteten Kampagnen nutzten die Angreifer einen Treiber aus, der von Microsoft sowohl erstellt als auch signiert worden war.
AuKill legt einen Treiber namens „procexp.sys“ im Verzeichnis „C:\Windows\System32\drivers “ auf dem Rechner ab. Der legitime „Process Explorer“-Treiber befindet sich normalerweise am selben Speicherort und trägt den Namen „ procexp152.sys“. Beide Treiber können auf einem Rechner vorhanden sein, auf dem eine Instanz von Process Explorer ausgeführt wird. Das AuKill-Installationsprogramm legt zudem eine ausführbare Kopie seiner selbst entweder im Verzeichnis „ System32 “ oder im Verzeichnis „temp“ ab, die es als Dienst ausführt.
Um diesen Prozess zu missbrauchen, muss der Angreifer über Administratorrechte auf dem System verfügen. Kritische Windows-Prozesse unterliegen jedoch einem zusätzlichen Schutz, um zu verhindern, dass Angreifer diese deaktivieren. Um diese Funktionen zu umgehen, müssen die Angreifer noch einen Schritt weiter gehen und einen Treiber im Kernel-Modus ausführen. In diesem Fall hat AuKill den legitimen Treiber hinter dem Process Explorer missbraucht, um diese Funktionen zu umgehen.
Es ist wichtig zu beachten, dass die Nutzung von AuKill voraussetzt, dass der Angreifer über Administratorrechte verfügt; das Programm selbst kann dem Angreifer diese Rechte jedoch nicht verleihen.
Die Entwicklung der Aukill-Malware
Sophos hat im Laufe einiger Monate sechs Versionen der AuKill-Malware gesammelt und die funktionalen Änderungen zwischen den einzelnen Versionen nachverfolgt. Insbesondere haben sich der Compiler und die betreffenden Sicherheitskomponenten geändert.
Sophos konzentrierte sich in erster Linie auf die Samples v1 und v6 , da diese am häufigsten beobachtet wurden. V6 scheint nach Ansicht der Sophos-Forscher eine experimentelle Version zu sein. Der Vergleich dieser beiden Versionen gibt Forschern Aufschluss darüber, in welche Richtung zukünftige Versionen möglicherweise gehen könnten.
- Phase 1: Installation des Dienstes: Nach der Ausführung prüft die Malware, ob sie über Administratorrechte verfügt. Zudem muss der Angreifer die Datei mit einem Schlüsselwort oder einer Art Passwort als erstes Argument der Befehlszeile ausführen; andernfalls wird die Ausführung abgebrochen. AuKill startet zunächst den Dienst „Trusted Installer“ – eine Komponente des Windows-Modul-Installationsprogramms. Anschließend dupliziert er das Token von „TrustedInstaller[.]exe“ und übergibt dieses Token, um sich beim Neustart des Prozesses die SYSTEM-Rechte zu verschaffen. Schließlich kopiert es sich selbst in das Verzeichnis „C:\Windows\system32“, installiert sich als Dienst und startet diesen Dienst.
- Phase 2: Deaktivierung der Sicherheitsmaßnahmen: Nachdem durch die Erstellung des Dienst-Eintrags eine dauerhafte Präsenz hergestellt wurde, wird die Datei „procexp.sys“ auf die Festplatte kopiert. Der Treiber ist als Ressource in AuKill integriert.
Um zu verhindern, dass Komponenten von EDR-Clients neu gestartet werden, startet AuKill mehrere Threads, um sicherzustellen, dass diese Prozesse und Dienste deaktiviert bleiben. Jeder der Threads zielt auf eine andere Komponente ab und überprüft diese kontinuierlich, um festzustellen, ob die betreffenden Prozesse oder Dienste ausgeführt werden; ist dies der Fall, deaktiviert oder beendet AuKill diese.
AuKill verfügt über vier Funktionen, mit denen EDR-Komponenten deaktiviert werden können: Beenden über Procexp, erzwungenes Beenden, Deaktivieren von Diensten und Entladen von Treibern. Sophos geht in seinem Bericht ausführlich auf jede dieser vier Funktionen ein.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Auch wenn AuKill offenbar ein Vorläufer weiterer böswilliger Aktivitäten ist und jeder Hinweis auf AuKill in einem Netzwerk ernst genommen werden sollte, ist zu beachten, dass AuKill nicht ausgeführt werden kann, wenn der Angreifer nicht bereits über Administratorrechte verfügt.“ Dennoch deutet die Beobachtung von AuKill-Aktivitäten in einem Netzwerk wahrscheinlich auf den bevorstehenden Einsatz einer weiteren gefährlichen Schadsoftware hin, wie beispielsweise der Ransomware LockBit; dies belegt somit, dass AuKill nach wie vor eine ernstzunehmende Bedrohung darstellen kann.“
3CX Angriffe auf die Software-Lieferkette, die durch einen früheren Angriff auf die Software-Lieferkette ausgelöst wurden
Das Sicherheitsunternehmen Mandiant ist zu dem Schluss gekommen, dass der ursprüngliche Infektionsweg für den viel beachteten 3CX -Supply-Chain-Angriff, von dem im März die weit verbreitete Desktop-App-Software des Unternehmens betroffen war, eine Schadsoftware war, die von einer Website eines Drittanbieters auf das 3CX’s -Netzwerk heruntergeladen wurde.
Mandiant stellt fest, dass dies das erste Mal ist, dass das Unternehmen beobachtet hat, wie ein Angriff auf die Software-Lieferkette zu einem weiteren Angriff auf die Software-Lieferkette führte – in einem Cyber-Albtraum, den man nur als eine Art „Inception“-ähnliche, russische Matroschka-Puppen-Struktur beschreiben kann.
Hier eine kurze Zusammenfassung, mit freundlicher Genehmigung von Mandiant:
Ende März 2023 verbreitete eine Kompromittierung der Software-Lieferkette Malware über eine mit dem Trojaner „ “ infizierte Version von 3CX’s legitimen Software- , die auf deren Website zum Download bereitstand. Betroffen war die Software „ 3CX DesktopApp 18,12,416 “ und frühere Versionen, die Schadcode enthielten, der einen Downloader namens „SUDDENICON“ ausführte, der wiederum zusätzliche Command-and-Control-Server (C2) aus verschlüsselten Icon-Dateien abrief, die auf GitHub gehostet wurden. Der entschlüsselte C2 -Server wurde zum Herunterladen einer dritten Stufe genutzt, die als „ICONICSTEALER“ identifiziert wurde – ein Dataminer, der Browserdaten stiehlt.
Mandiant Consulting gibt zudem an, im Rahmen seiner laufenden Untersuchung des Angriffs auf die Lieferkette von 3CX den ursprünglichen Einbruchsvektor aufgedeckt zu haben: Mandiant führte das gesamte Fiasko auf eine infizierte Software zurück, die im Rahmen eines Angriffs auf die Software-Lieferkette an 3CX verteilt wurde. Dabei kam ein manipuliertes Installationsprogramm für X_TRADER zum Einsatz, ein legitimes Softwarepaket, das von Trading Technologies bereitgestellt wird.
Mandiant stellte fest, dass ein recht ausgeklügelter Ladevorgang letztendlich zur Installation der Malware „VEILEDSIGNAL“ (die Mandiant als „mehrstufige, modulare Backdoor“ bezeichnet) sowie der dazugehörigen Module führte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Mandiant führt die oben beschriebenen böswilligen Aktivitäten auf die als ‚ UNC4736 ‘ bezeichnete Bedrohungsgruppe zurück – einen Akteur, von dem Mandiant mit mäßiger Sicherheit annimmt, dass er mit den finanziell motivierten nordkoreanischen Cyberkriminalitätsaktivitäten in Verbindung steht, die von der CISA als ‚AppleJeus‘ bezeichnet werden.“
„Dies wird durch einen Bericht von Googles TAG bestätigt, in dem über den Hackerangriff auf www.tradingtechnologies[.]com unter Februar 2022 berichtet wurde, der der Verbreitung manipulierter X_TRADER-Updates über diese Website vorausging.“ Zwischen UNC4736 und APT43, einem weiteren nordkoreanischen Bedrohungsakteur, für den CTI ein aktives Bedrohungsakteurprofil (TAP) führt, sind weitere Überschneidungen in der Infrastruktur erkennbar.“
„Wie Mandiant hervorhebt, nimmt APT43 häufig Nutzer von Kryptowährungen und damit verbundene Dienste ins Visier, was verdeutlicht, dass solche Kampagnen unter Cyberakteuren mit Verbindungen zu Nordkorea weit verbreitet sind.“
„Es ist bezeichnend, dass staatlich unterstützte Gruppen aus Nordkorea möglicherweise für den ersten Angriff auf die Software-Lieferkette verantwortlich sind, der unmittelbar zu einem weiteren Angriff auf die Software-Lieferkette geführt hat.“ Es ist zudem wahrscheinlich, dass Sicherheitsforscher in der Vergangenheit Akteure im Bereich der Cyberbedrohungen mit Verbindungen zur DVRK unterschätzt haben. „Dieser Vorfall macht erneut deutlich, dass das ‚Reich der Einsiedler‘ nach wie vor eine erhebliche Bedrohung darstellt.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
