In dieser Woche untersucht CTI eine neue Kampagne, bei der die Verbreitung von AsyncRAT festgestellt wurde. Anschließend erläutert CTI, wie ein als „Water Curupira“ bekannter Angreifer die PikaBot-Loader-Malware aktiv über Spam-Kampagnen verbreitet. Zum Abschluss wirft CTI einen Blick auf eine finanziell motivierte Kampagne namens „RE#TURGENCE“, die auf ungesicherte Microsoft-SQL-Server weltweit abzielt.
1. AsyncRAT taucht in einer neuen Kampagne auf
AT&T Alien Labs hat eine neue Kampagne entdeckt, die den AsyncRAT- (wird in einem neuen Tab geöffnet) an die Opfer übermittelt. Seit 11 Monaten verbreitet der hinter der Kampagne stehende Angreifer die Malware über eine anfängliche JavaScript-Datei, die in eine Phishing-Seite eingebettet ist. Forscher haben über 300 Proben und mehr als 100 Domains aufgedeckt, die die Hartnäckigkeit des Akteurs verdeutlichen.
Was ist AsyncRAT?
AsyncRAT gibt es bereits seit mindestens 2019 , als es als Open-Source-Tool für den Fernzugriff veröffentlicht wurde. Das Tool ist auch heute noch auf GitHub verfügbar, was es zu einer unter Angreifern sehr häufig genutzten RAT macht. Es ist bekannt für Keylogging, Exfiltrationstechniken und die Vorbereitung des Erstzugangs zur Auslieferung der endgültigen Payload.
Im Rahmen der „ September 2023“ stellte AT&T einen sprunghaften Anstieg von Phishing-E-Mails mit dem Betreff „ “ ( ) fest, die auf eine bestimmte Personengruppe abzielten. Die Phishing-E-Mails enthielten einen GIF-Anhang, der zu einer SVG-Datei führte. Die SVG-Datei führte wiederum zum Herunterladen einer stark verschleierten JavaScript-Datei, gefolgt von verschleierten PowerShell-Skripten und schließlich zur Ausführung eines AsyncRAT-Clients.
Anhand von Mustern im Code gelang es den Forschern von AT&T, weitere Samples dieser Kampagne zu identifizieren, darunter auch solche, die bis ins Jahr Februar 2023 zurückreichen. Die Registrierung von Domains und die Aufdeckung von AsyncRAT-Beispielen dauern an.
Technische Analyse
- Der AsyncRAT-Loader besteht aus mehreren Stufen, die durch einen C2 -Server zusätzlich verschleiert werden; dieser prüft, ob die Malware in einer Sandbox-Umgebung ausgeführt wird, bevor er die eigentliche AsyncRAT-Nutzlast bereitstellt.
- Im Verlauf der Kampagne werden dem Opfer über bösartige Phishing-Webseiten JavaScript-Dateien zugespielt. Die Dateien enthalten lange Zeichenfolgen, die auskommentiert sind und aus zufällig angeordneten Wörtern wie „Melville“, „church“, „chapter“ und „scottish“ bestehen.
- Das Skript selbst ist stark verschleiert und verfügt über mehrere Funktionen, um die erkennbaren Befehle bzw. Zeichenfolgen zu verschieben. Die Malware ändert in regelmäßigen Abständen den Wert C2 und die URL, wodurch die Erkennung erschwert wird. Darüber hinaus scheint der Angreifer zu versuchen, für jedes Opfer eine neue Version des Loaders zu erstellen. Die neuen Dateien weisen neue, zufällig generierte Variablennamen auf, was die Erkennung erneut erschwert.
- Erhält der C2 eine ungültige Antwort und läuft die Malware in einer Sandbox, leitet er die Anfrage an Google weiter oder gibt ein Skript zurück, das auf eine auf temp[.]sh gehostete Nutzlast zugreift. Diese Domain speichert Dateien etwa drei Tage lang und generiert für jede neu hochgeladene Datei einen neuen, zufällig generierten URL-Pfad. Auf den ersten Blick scheint es sich bei der Datei um einen AsyncRAT-Client zu handeln, wie aus einigen der Antiviren-Erkennungen hervorgeht. Bei der Dekompilierung erweist sich die RAT jedoch tatsächlich als Ablenkungsmanöver für diejenigen, die möglicherweise Ermittlungen zu dieser Kampagne durchführen. Bei der Probe handelt es sich um eine Täuschungsdatei, die so gestaltet wurde, dass sie einem RAT ähnelt, jedoch keinen C2 -Server enthält und Zeichenfolgen wie „LOL“ enthält.
- Erhält der C2 eine gültige Antwort und läuft die Malware nicht in einer Sandbox, stellt er ein Skript bereit, bei dem die nächste Domain und URL verschleiert sind; dieses Skript lädt später AsyncRAT herunter.
Netzwerkinfrastruktur
Der Code dieser Kampagne ändert sich ständig und ist stark verschleiert, was die Erkennung erschweren kann. Was die Netzwerkinfrastruktur betrifft, so griffen die untersuchten Proben auf eine Reihe von Domänen zu und aktualisierten die Liste regelmäßig.
Zwar änderten sich die Domains häufig, doch wiesen sie gemeinsame Merkmale auf, wie beispielsweise die TLD „.top“ und acht zufällige alphanumerische Zeichen. Zu den weiteren gemeinsamen Merkmalen zählten, dass Nicenic[.]net, Inc. als Registrar fungierte, dass die Domain eine Länderkennung für Südafrika aufwies und dass sie stets erst wenige Tage vor ihrer Nutzung registriert wurde.
Ein Skript führte die Forscher zu einer neuen Gruppe von Domains, die im Gegensatz zu dem zuvor beobachteten Beispiel keine fest programmierte Domain unter der Verschleierung enthielten. Stattdessen enthielten diese Beispiele ein Skript zur Berechnung der Domain auf der Grundlage des aktuellen Datums, wodurch die Beispiele die „ C2 “-Domain im Laufe der Zeit automatisch ändern konnten.
Der Algorithmus zur Domain-Generierung (DGA) erzeugte anhand des Tages im Jahr einen Startwert und nahm einige Anpassungen daran vor, um sicherzustellen, dass alle sieben Tage eine neue Domain bereitgestellt wird. Anhand dieses Startwerts werden anschließend 15 Buchstaben von „a“ bis „n“ ausgewählt, um die Domain zu generieren. Anhand dieser Muster können Forscher nicht nur historische Beispiele identifizieren, sondern auch Erkennungsmechanismen entwickeln, um künftige Infrastrukturen zu identifizieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne ist ein Paradebeispiel dafür, wie entschlossen Angreifer sein können und wie leicht es ihnen fällt, unbemerkt zu bleiben.
In vielen Fällen sorgen die Entwickler dafür, dass die Schadsoftware ihren Betrieb vollständig einstellt und beendet wird, sobald festgestellt wird, dass sie sich in einer Sandbox befindet, damit sie nicht weiter analysiert werden kann. Interessanterweise hat der Entwickler in dieser Kampagne besonders viel Zeit und Mühe darauf verwendet, eine Schein-RAT zu erstellen, die im Wesentlichen darauf ausgelegt ist, die Zeit eines Analysten zu verschwenden, bevor dieser erkennt, dass ihm nicht die eigentliche Malware vorgelegt wurde.
Dies ist ein interessanter Fall, in dem ein Malware-Autor zusätzliche Zeit in etwas investiert hat, das die Malware weder unauffälliger noch komplexer macht, sondern lediglich darauf abzielt, Analysten zu verärgern.
2. Water Curupira verbreitet die PikaBot-Loader-Malware
Ein als „Water Curupira“ bekannter Angreifer verbreitet derzeit aktiv die PikaBot-Loader-Malware „ “ (wird in einem neuen Tab geöffnet) im Rahmen von Spam-Kampagnen.
Dieser Akteur führt in der Regel Kampagnen durch, deren Ziel es ist, Hintertüren zu installieren, was häufig zu Ransomware-Angriffen führt (hauptsächlich Black Basta).
Der „ “-PikaBot-Loader (wird in einem neuen Tab geöffnet) weist viele der gleichen Verhaltensmerkmale auf wie der berüchtigte „ “-QBot , und sein zunehmender Beliebtheitsgewinn scheint zeitlich mit der Zerschlagung von QBot zusammenzufallen.
Erstzugang
Der Angriff beginnt mit einer bösartigen E-Mail, die über ein Thread-Hijacking versendet wird. Die E-Mail enthält einen Anhang, bei dem es sich entweder um eine passwortgeschützte ZIP-Datei handelt, die eine IMG-Datei enthält, oder um eine PDF-Datei. Falls erforderlich, wird der Akteur das Passwort für die Datei in die E-Mail einfügen.
Erste Stufe
Der an die E-Mail angehängte Anhang enthält ein stark verschleiertes JavaScript mit einer Dateigröße von mehr als 100 KB. Sobald dies ausgeführt wird, beginnt das Skript mit der Ausführung einer Reihe von Befehlen. Das Skript versucht, die Ausführung über „cmd“ durchzuführen. Sollte dies fehlschlagen, wird eine festgelegte Zeichenfolge auf der Konsole ausgegeben, und es wird versucht, ein angegebenes Ziel mit derselben Zeichenfolge anzupingen. Sollte dies fehlschlagen, wird „Curl.exe“ verwendet, um die PikaBot-Nutzlast von einem externen Server herunterzuladen.
Es wurde zudem eine weitere Angriffskette beobachtet, bei der der Angreifer kein schädliches Skript verwendete, sondern eine IMG-Datei aus dem PDF-Anhang der E-Mail nutzte, die zwei weitere Dateien enthielt. Bei diesen zusätzlichen Dateien handelte es sich um die PikaBot-Nutzlast. Letzterer Ansatz entwickelte sich gegen Ende des Jahres 2023.
PikaBot-Nutzlast
Trend Micro hat eine DLL-Datei analysiert, die in der ersten Phase aus dem Archiv extrahiert wurde, und dabei festgestellt, dass es sich um ein Beispiel einer 32-Bit-DLL-Datei mit 1515 Exportfunktionen handelt. Die DLL entschlüsselt und führt schließlich einen Shellcode aus, der wiederum eine weitere DLL-Datei entschlüsselt. Diese DLL-Datei wird in den Arbeitsspeicher geladen und schließlich ausgeführt. Die entschlüsselte DLL-Datei führt eine Anti-Analyse-Routine aus, die falsche Bibliotheken und andere irrelevante Elemente lädt, um Sandboxen zu erkennen.
Nach der Durchführung der Anti-Analyse lädt die Malware eine Reihe von PNG-Bildern, die einen verschlüsselten Teil des Kernmoduls enthalten. Nach der Entschlüsselung erstellt der PikaBot-Injektor einen angehaltenen Prozess und injiziert das Kernmodul in diesen, wobei er indirekte Systemaufrufe nutzt, um die Injektion zu verbergen.
PikaBot nutzt zwei Funktionen, um die Adressen der drei benötigten APIs abzurufen. Dazu gehören GetProcAddress, LoadLibraryA und HeapFree. Das Kernmodul überprüft die Systemsprache und bricht die Ausführung ab, falls festgestellt wird, dass es sich um Russisch oder Ukrainisch handelt.
Nachdem sichergestellt wurde, dass derzeit nur eine Instanz des Programms ausgeführt wird, ruft es Systemdaten ab, um diese an den C2 zu senden. Die Malware erstellt eine benannte Pipe und nutzt diese, um zusätzliche Informationen, die sie sammelt, vorübergehend zu speichern. Sobald die Malware alle Informationen gesammelt hat, die sie für notwendig erachtet, sendet sie diese an eine IP-Adresse, an die eine bestimmte URL angehängt ist.
Impact
Water Curupira führt häufig Kampagnen durch, die zur Verbreitung der Ransomware „Black Basta“ führen. Genau das macht PikaBot-Kampagnen zu einer solchen Bedrohung.
Trend Micro hat verschiedene Cluster von „ “-Beacons des Cobalt-Strike- s identifiziert, die über 70 .C2 Domains umfassen, welche zu , Black Basta führen und möglicherweise im Rahmen von Kampagnen dieses Angreifers platziert wurden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
PikaBot-Infektionen führen in der Regel zur Installation der Ransomware „Black Basta“. Daher ist PikaBot keine Bedrohung, die man auf die leichte Schulter nehmen sollte.
Darüber hinaus haben zahlreiche Forscher Überschneidungen und mögliche Zusammenhänge zwischen PikaBot und QBot festgestellt. Es ist ein merkwürdiger Zufall, dass QBot etwa zur gleichen Zeit abgeschaltet wurde, als PikaBot an Beliebtheit gewann.
Auch wenn wir nicht mit Sicherheit wissen, ob es sich bei PikaBot um den neuen QBot handelt, stellen seine möglichen Verbindungen zur Ransomware „Black Basta“ sowie seine ausgeklügelte, mehrstufige Funktionsweise eine Bedrohung dar, vor der man sich in Acht nehmen sollte.
3. Türkische Hacker nutzen weltweit MS-SQL-Server aus
Eine finanziell motivierte Kampagne mit den aktuellen Codenamen „ “, „“, „RE#TURGENCE“, „“ und „“ zielt weltweit auf ungesicherte Microsoft-SQL-Server ab und nutzt Brute-Force-Angriffe als Mittel zum Erlangen eines ersten Zugriffs. Die Kampagne endet auf eine von zwei Arten: Entweder wird der erlangte Zugriff verkauft, oder es wird Ransomware eingesetzt.
Der Angreifer verschafft sich zunächst mittels Brute-Force-Angriffen Zugang zu einem unzureichend gesicherten MS-SQL-Server und nutzt dabei die Prozedur, die die Ausführung von Befehlen auf Betriebssystemebene aus dem SQL-Server heraus ermöglicht, um Befehle auf dem Host auszuführen. Nach der Ausführung des Codes begannen sie, weitere Befehle aus dem Prozess „sqlservr.exe“ heraus auszuführen.
- Der erste Befehl ruft die ausführbare Datei auf und bewirkt, dass eine Datei mit der Nummer 189jt vom Remote-Server des Angreifers heruntergeladen und der darin enthaltene Code mithilfe eines PowerShell-Aufrufausdrucks „ “ () ausgeführt wird. Das PowerShell-Skript lädt die nächste Stufe des Angriffs herunter und führt sie aus.
- Das folgende PowerShell-Skript enthält eine verschleierte Cobalt-Strike-Nutzlast, die in den aktuell ausgeführten Prozess geladen wird. Die Verschleierung konzentriert sich auf die DLL-Importe und die Cobalt-Strike-Nutzlast, in der Hunderte von Zeilen aus Variablen und überflüssigen Kommentarblöcken festgestellt wurden. Der Cobalt Strike Beacon wurde so konfiguriert, dass er in den Windows-eigenen Prozess „SndVol.exe“ eingeschleust wird. Der Angreifer lud daraufhin AnyDesk-Binärdateien von einem eingebundenen Netzwerkfreigabeordner herunter.
Zugriff auf Anmeldedaten
Es wurde beobachtet, dass der Angreifer mithilfe von AnyDesk Mimikatz auf das System herunterlud, zusammen mit einem weiteren Batch-Skript, das zur Automatisierung einiger Mimikatz-Befehle diente.
Das Skript ist für die Ausführung verschiedener Funktionen zuständig. Zunächst wird eine bekannte Registrierungsanpassung verwendet, um Anmeldedaten im Klartext zu aktivieren. Anschließend führt das Programm einige Überprüfungen durch, bevor es Mimikatz aus dem entsprechenden Unterverzeichnis ausführt. Die Ergebnisse des Mimikatz-Dumps werden in einer Datei namens „Mimikatz_dump.txt“ gespeichert.
Entdeckung und seitliche Bewegung
Nach dem Einsatz von Mimikatz konzentrierte sich der Angreifer auf Erkundungsmaßnahmen. Sie nutzten AnyDesk, um das Dienstprogramm „Advanced Port Scanner“ herunterzuladen. Dieses Dienstprogramm wurde verwendet, um Remote-Freigaben auf Domänencontrollern zu überprüfen, den Hostnamen einer Hyper-V-VM abzurufen, psexec.exe auf einem Domänencontroller zu testen und auszuführen, RDP zu testen und zu nutzen sowie für weitere Zwecke. Einige Tage später gelang es dem Angreifer, sich lateral auf zwei weitere Rechner im Netzwerk auszubreiten. Der Angreifer nutzte „psexec“, um eine neue Sitzung mit einem Domänencontroller zu eröffnen, wobei er ein Passwort verwendete, das er aus dem Mimikatz-Dump gewonnen hatte. Mithilfe dieses Kontos konnten sie auf weitere Rechner umsteigen.
Impact
Nachdem er sich auf einige weitere Rechner verschafft hatte, nutzte der Angreifer AnyDesk, um eine Ransomware-Nutzlast unter dem Namen „ red25.exe“ herunterzuladen. Die Nutzlast ist ein selbstextrahierendes Archiv, das die endgültige Ransomware-Nutzlast entpackt und ausführt. Bei der in dieser Kampagne eingesetzten Ransomware handelt es sich um „Mimic“. Die Ransomware „Mimic“ nutzt legitime Anwendungen, um Dateien zu ermitteln und aufzufinden, die verschlüsselt werden sollen.
Nach Abschluss des Verschlüsselungsvorgangs hinterlässt die Ransomware dem Opfer die Verschlüsselungs- und Zahlungsaufforderung. Die Ransomware wurde schließlich von den Angreifern zunächst manuell auf dem MS-SQL-Server ausgeführt, anschließend auf einem Domänencontroller und schließlich auf weiteren Hosts, die der Domäne angehörten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Praxis, schlecht gesicherte MS-SQL-Server ins Visier zu nehmen, scheint so schnell nicht zu verschwinden, vor allem weil sie für Angreifer nach wie vor lukrativ ist.
Abgesehen davon stützt sich dieser Angreifer in mehreren Phasen des Angriffs in hohem Maße auf den Einsatz von AnyDesk. Dies unterstreicht, wie häufig es mittlerweile vorkommt, dass Angreifer bei ihren Operationen legitime Tools missbrauchen, und wie wichtig es daher für die Verteidiger ist, dies zu überwachen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „“.
