CTI Roundup: Angriffe nehmen in 2023 zu, Ransomware-Zahlungen schnellen in die Höhe

In der Zusammenfassung dieser Woche befasst sich CTI mit einem Bericht von Mandiant, der einen sprunghaften Anstieg von Angriffen aufzeigt, bei denen in der ersten Hälfte des Jahres 2023 Malware über USB-Sticks verbreitet wurde – darunter zwei neue Kampagnen. Als Nächstes befasst sich CTI mit einem Bericht, der prognostiziert, dass die Ransomware-Aktivitäten in diesem Jahr auf dem besten Weg sind, bisherige Rekorde zu brechen, wobei Forscher einen allgemeinen Anstieg der Zahl erfolgreicher Lösegeldzahlungen beobachten. Schließlich untersucht CTI eine als „Big Head“ bekannte Ransomware-Variante.

1. Anzahl der Malware-Angriffe über USB-Sticks steigt in der ersten Hälfte des Jahres 2023 sprunghaft an

Laut Mandiant hat sich die Zahl der Angriffe , bei denen Malware über USB-Sticks verbreitet wurde, im ersten Halbjahr 2023 verdreifacht.

Der Bericht von Mandiant hebt zudem zwei neue Malware-Kampagnen hervor, bei denen USB-Sticks als Übertragungsweg dienten und die zu diesem sprunghaften Anstieg beigetragen haben, darunter die Malware „SOGU“ und „SNOWYDRIVE“.

SOGU verbreitet sich über USB

Mandiant entdeckte diese Kampagne erstmals bei der Suche nach verdächtigen Dateischreibvorgängen in Verzeichnissen, die Angreifer üblicherweise zur Speicherung von Malware, Tools und Dienstprogrammen nutzen.

Die Forscher stellen fest, dass die SOGU-Kampagne „der am weitesten verbreitete USB-basierte Cyberspionageangriff unter Verwendung von USB-Sticks und eine der aggressivsten Cyberspionagekampagnen ist, die sich weltweit gegen Organisationen sowohl des öffentlichen als auch des privaten Sektors in verschiedenen Branchen richtet“.

Im Rahmen dieser Kampagne werden USB-Sticks verwendet, um die SOGU-Malware zu installieren und Informationen vom Gerät des Opfers zu stehlen. Mandiant führt diese Kampagne auf TEMP.hex zurück, einen mit China in Verbindung stehenden Spionageakteur, und geht davon aus, dass die Kampagne zum Zweck der Informationsbeschaffung zur Unterstützung der nationalen Sicherheit und der Interessen Chinas durchgeführt wurde.

Den Untersuchungen von Mandiant zufolge stellen diese Angriffe ein Risiko für eine Vielzahl von Branchen in Europa, Asien und den USA dar.

• Erstinfektion: Der Vektor für die Erstinfektion ist ein infizierter USB-Stick. Dieser USB-Stick enthält mehrere Schadprogramme, die darauf ausgelegt sind, über DLL-Hijacking eine schädliche Nutzlast in den Arbeitsspeicher zu laden.
• Etablierte Zugangsbasis: Die Infektionskette besteht in der Regel aus drei Dateien, darunter eine legitime ausführbare Datei, ein bösartiger DLL-Loader und eine verschlüsselte Nutzlast.

Wenn die legitime ausführbare Datei ausgeführt wird, lädt sie eine schädliche DLL-Datei, die unter dem Namen KORPLUG bekannt ist, seitlich ein. Die KORPLUG-Malware lädt anschließend einen entschlüsselten Shellcode und führt ihn im Speicher aus. Dieser Shellcode ist eine in C geschriebene Hintertür und trägt den Namen SOGU.

• Erkundung und Datenaufbereitung: In den Ordner „recycle.bin“ wird eine Batch-Datei abgelegt, die Befehle zur Erkundung des Hosts ausführt und die Ergebnisse in eine Datei namens „ c3lzLmluZm8“ ausgibt.

Die Malware durchsucht das Laufwerk C nach Dateien mit bestimmten Dateiendungen und verschlüsselt eine Kopie jeder Datei, wobei sie das Original verschlüsselt, bevor sie die verschlüsselten Dateien in den folgenden Verzeichnissen ablegt:

C:\Benutzer\\AppData\Roaming\Intel\\

:\RECYCLER.BIN\\

• Persistenz: Die Malware erstellt ein Verzeichnis, das sich als legitimes Programm tarnt, und setzt das Attribut des Verzeichnisses auf „versteckt“. Anschließend kopiert es seine Hauptkomponenten in dieses neu erstellte Verzeichnis.

Darüber hinaus legt die Malware einen „Run“-Registrierungsschlüssel mit demselben Namen wie das zuvor erstellte Verzeichnis an. Bei einigen SOGU-Varianten wurde eine zusätzliche geplante Aufgabe erstellt, um die Malware alle 10 Minuten auszuführen und so ihre Persistenz zu gewährleisten.

• Exfiltration: Die Malware exfiltriert alle Daten, die in der letzten Phase des Angriffs bereitgestellt wurden. Die Malware kann HTTP, HTTPS, ein benutzerdefiniertes binäres Protokoll über TCP oder UDP sowie ICMP nutzen, um mit ihrem Command-and-Control-Server (C2) zu kommunizieren.

Zudem unterstützt es eine Vielzahl von Befehlen, darunter Dateiübertragung, Dateiausführung, Remote-Desktop, Screenshot-Aufnahme, Reverse-Shell und Keylogging. Schließlich ist diese Malware auch in der Lage, sich auf neue Wechseldatenträger zu kopieren, die an ein infiziertes Gerät angeschlossen werden, wodurch sie potenziell Daten aus isolierten Systemen erfassen kann.

Eine Infektion mit der Malware „SNOWYDRIVE“ über USB zielt auf Öl- und Gasunternehmen in Asien ab

Auch bei dieser Kampagne werden USB-Sticks zur Verbreitung der SNOWYDRIVE-Malware eingesetzt. Nachdem die Malware geladen wurde, richtet sie eine Hintertür im System ein und gewährt dem Angreifer Zugriff, um aus der Ferne Systembefehle auszuführen.

Es kann sich zudem auf andere USB-Geräte ausbreiten und über das Netzwerk weiterverbreiten. Mandiant hat diese Kampagne der Gruppe „ UNC4698“ zugeschrieben, einem Akteur, der bereits zuvor die Öl- und Gasindustrie in Asien ins Visier genommen hat.

Dieser Angreifer führt Payloads über die Windows-Eingabeaufforderung aus, nutzt Wechseldatenträger, legt lokale Zwischenverzeichnisse an und nimmt Änderungen an der Windows-Registrierung vor.

• Erstinfektion: Auch in diesem Fall ist der Erstinfektionsvektor dieser Kampagne ein infiziertes USB-Gerät. In diesem Fall verleitet die Malware das Opfer dazu, auf eine schädliche Datei zu klicken, die sich als legitime ausführbare Datei tarnt. Wenn das Opfer auf diese Datei klickt, löst dies eine Kette bösartiger Erweiterungen aus.
• Fuß fassen: Die Infektion beginnt mit einer ausführbaren Datei, die als Dropper dient. Dieser Dropper ist dafür zuständig, schädliche Dateien auf die Festplatte zu schreiben und diese anschließend auszuführen.

Die verschlüsselten Dateien enthalten ausführbare Dateien und DLLs, die extrahiert und in das Verzeichnis „C[:]\Users\Public\SymantecsThorvices\Bin“ geschrieben werden. Die Dateien lassen sich in vier Hauptkomponenten unterteilen, die jeweils aus einer legitimen ausführbaren Datei und einer schädlichen DLL bestehen.

• Befehls- und Kontrollsystem: Die auf Shellcode basierende Hintertür „SNOWYDRIVE“ generiert eine eindeutige Kennung auf der Grundlage des Systemnamens, des Benutzernamens und der Seriennummer des Datenträgers. Diese dient als eindeutige Kennung bei der Kommunikation mit dem C2 -Server und ist in der Regel fest im Shellcode hinterlegt.
• Persistenz: Die Kampagne verwendet den folgenden Registrierungswert für die Persistenz:

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ushsguaei1hgba

• Seitliche Ausbreitung: Die Malware kopiert sich anschließend auf Wechseldatenträger, die später an das infizierte Gerät angeschlossen werden. Es wird den Ordner „\Kaspersky\Usb Drive\3,0” “ auf dem Wechseldatenträger erstellen und die verschlüsselten Dateien, die die schädlichen Komponenten enthalten, dorthin kopieren.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Der jüngste Anstieg von über USB-Sticks verbreiteter Malware macht deutlich, dass diese Angriffe zwar physischen Zugriff auf das Gerät erfordern, jedoch eindeutig Vorteile bieten, die sie in der heutigen Sicherheitslandschaft weiterhin relevant machen.“

„Die Untersuchungen von Mandiant zu diesen Kampagnen ergaben, dass lokale Druckereien und Hotels offenbar als Brennpunkte für USB-Malware-Infektionen dienen – was darauf hindeutet, dass diese Angriffe nach wie vor eher opportunistischer Natur sind.“

2. Ransomware-Zahlungen nehmen in 2023 stark zu

Laut einem aktuellen Bericht des Blockchain-Analyseunternehmens Chainalysis sind die Aktivitäten im Bereich der Ransomware auf dem besten Weg, bisherige Rekorde zu brechen, wobei die Forscher einen allgemeinen Anstieg der Zahl erfolgreicher Lösegeldzahlungen – sowohl in großem als auch in kleinem Umfang – feststellen.

Ransomware sticht besonders hervor

Aus dem Bericht geht hervor, dass Ransomware die einzige Kategorie von Kryptowährungsdelikten ist, bei der in diesem Jahr ein Anstieg zu verzeichnen ist, während alle anderen Kategorien einen starken Rückgang verzeichnen – darunter Hackerangriffe, Betrugsmaschen, Malware, der Verkauf von missbräuchlichem Material, Betrugs-Shops und die Einnahmen aus Darknet-Marktplätzen.

Aus einem Artikel von BleepingComputer zu diesem Thema:

„Ransomware ist die einzige Form von Kryptowährungs-basierter Kriminalität , die im Jahr 2023 bislang zugenommen hat“, heißt es in dem Bericht von Chainalysis. „Tatsächlich sind die Ransomware-Angreifer auf dem besten Weg, ihr zweitumsatzstärkstes Jahr aller Zeiten zu verzeichnen, da sie bis Juni bereits mindestens 449,1 Millionen US-Dollar erpresst haben.“

Darüber hinaus beliefen sich die kumulierten jährlichen Ransomware-Einnahmen für 2023 im ersten Halbjahr auf 90 % des Gesamtwerts von 2022 .

Ausblick

Dem Bericht zufolge werden die Ransomware-Täter, sollte sich das derzeitige Umsatzwachstum fortsetzen, im Jahr 2023 knapp 900 Millionen US-Dollar von ihren Opfern erpressen – ein Wert, der nur knapp unter dem Rekordwert von 940 Millionen US-Dollar aus dem Jahr 2021 liegt.

Die Forscher von Chainalysis gehen davon aus, dass die treibende Kraft hinter diesem steilen Umsatzanstieg die „Jagd auf große Beute“ ist, bei der Erpresserbanden und Ransomware-Familien gezielt große, finanzstarke Organisationen ins Visier nehmen, die rekordhohe Geldsummen zahlen können.

Die Spitzenreiter

Laut Chainalysis führen „ “, „BlackBasta“, „ “, „LockBit“, „ALPHV/Blackcat“ und „ Cl0p “ die Liste der Hauptempfänger von Zahlungen in großer Höhe an, wobei „Cl0p “ eine durchschnittliche Zahlungshöhe von 1,7 Millionen US-Dollar und einen Medianwert von 1,9 Millionen US-Dollar aufweist.

Insbesondere ist Cl0p für zwei massive Angriffswellen verantwortlich, bei denen zwei Zero-Day-Schwachstellen ausgenutzt wurden, die in Dateiübertragungstools entdeckt wurden: Fortras GoAnywhere im ersten Quartal dieses Jahres sowie Progress’ MOVEit Transfer im zweiten Quartal.

Aus BleepingComputer:

Tatsächlich machte die „GoAnywhere“-Kampagne von Clop, die 129 Angriffe umfasste, den März 2023 . zu einem Monat mit Rekordzahlen, wie die NCC Group damals unter berichtete. Die MOVEit-Angriffswelle hat bereits an Ausmaß zugenommen: Bislang wurden 296 victims Fälle gezählt, und jede Woche werden auf der Erpressungsseite von Clop weitere Fälle bekannt gegeben.

Darüber hinaus erklärt Chainalysis: „Der Wachstumstrend bei H1 2023 lässt sich auch am anderen Ende des Spektrums beobachten, wo geringe Lösegeldzahlungen an opportunistische ‚Spray-and-Pray‘-Ransomware-as-a-Service-Operationen (RaaS) wie Dharma, Phobos und STOP/DJVU geleistet werden, die ihre Opfer um einige hundert US-Dollar erpressen.“

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Es ist wahrscheinlich, dass der jährliche Rückgang der Zahl der Organisationen, die bereit sind, Erpressungsforderungen nachzugeben, dazu beigetragen hat, dass Cyberkriminelle wieder auf die Jagd nach großen Zielen aus sind und dass die Angreifer ihre Lösegeldforderungen erhöhen.“

„Letzteres ist wahrscheinlich ein strategischer Versuch von Erpressergruppen und Ransomware-Familien, die steigenden finanziellen Verluste durch Unternehmen, die sich weigern zu zahlen, auszugleichen.“

3. Die Ransomware „Big Head“ zeigt eine gefälschte Windows-Update-Meldung an

Trend Micro hat kürzlich eine Ransomware-Variante namens „Big Head“ analysiert. Die Ransomware verbreitet sich Berichten zufolge über Malvertising, das gefälschte Windows-Updates und Microsoft Word-Installationsprogramme bewirbt.

Das erste Beispiel

Das erste Beispiel von „Big Head“ enthielt eine mit .NET kompilierte Binärdatei. Die Binärdatei prüft mithilfe von „CreateMutex“ auf das Vorhandensein des Mutex-Namens „ “8bikfjjD4JpkkAqrz” “ und beendet sich selbst, falls dieser gefunden wird.

Die Datei enthielt zudem eine Liste von Konfigurationen mit Einzelheiten zum Installationsvorgang. Darin wurden verschiedene Aktionen festgelegt, darunter das Anlegen eines Registrierungsschlüssels, das Überprüfen, ob bestimmte Dateien vorhanden sind, und deren Überschreiben, falls erforderlich, das Festlegen von Systemdateiattributen sowie das Anlegen eines Autorun-Registrierungseintrags.

Die Forscher stellten fest, dass drei Dateien vorhanden waren, darunter „1.exe“, „archive.exe“ und „Xarch.exe“. Die Datei „1.exe“ legt eine Kopie von sich selbst ab, um sich zu verbreiten. „Archive.exe“ installiert einen Telegram-Bot, der für die Herstellung der Verbindung zur Chatbot-ID des Angreifers zuständig ist. Und „Xarch.exe“ installiert eine Ransomware, die Dateien verschlüsselt und dem Opfer ein gefälschtes Windows-Update anzeigt.

Binärdateien

• 1.exe: Diese Datei blendet das Konsolenfenster aus und legt einen Autorun-Registrierungsschlüssel an, sodass sie beim Systemstart automatisch ausgeführt wird. Außerdem erstellt das Programm eine Kopie von sich selbst, die es als „discord.exe“ im Ordner <%localappdata%> speichert.

Die Ransomware „Big Head“ überprüft anschließend die ID des Opfers. Falls die Datei vorhanden ist, liest das Programm deren Inhalt; andernfalls erzeugt es eine zufällig generierte Zeichenfolge mit 40 Zeichen und schreibt diese als eine Art Infektionsmarker in eine Datei, um seine Opfer zu identifizieren.

Die Forscher stellten außerdem fest, dass die Ransomware ihre Schattenkopien und Sicherungskopien löschte, bevor sie die Lösegeldforderung auf dem Desktop, in Unterverzeichnissen und im Ordner „%appdata%“ ablegte. Die Ransomware „Big Head“ ändert zudem den Hintergrundbildschirm des Computers. Zuletzt führt die Ransomware einen Befehl aus, um einen Browser zu öffnen und auf den Telegram-Kanal des Malware-Entwicklers zuzugreifen.

• Teleratserver.exe: Hierbei handelt es sich um eine 64-Bit-Binärdatei, die mit Python kompiliert wurde und als Kommunikationskanal zwischen dem Angreifer und dem Opfer über Telegram dient. Es akzeptiert die Befehle „start“, „help“, „screenshot“ und „message“.
• BXluSsB.exe: Diese Malware zeigt eine gefälschte Windows-Update-Benutzeroberfläche an, um das Opfer glauben zu machen, dass es sich bei der Aktivität um einen legitimen Software-Update-Vorgang handelt.

Die Malware beendet sich selbst, wenn die Systemsprache des Benutzers mit den Ländercodes für Russisch, Weißrussisch, Ukrainisch, Kasachisch, Kirgisisch, Armenisch, Georgisch, Tatarisch und Usbekisch übereinstimmt. Außerdem wird der Task-Manager deaktiviert, um zu verhindern, dass das Opfer den Prozess beendet. Die Malware speichert anschließend eine Kopie von sich selbst in einem versteckten Ordner, den sie selbst erstellt, und richtet einen Eintrag im Registrierungsschlüssel „RunOnce“ ein.

Die Malware vermeidet es, Dateien in Verzeichnissen zu verschlüsseln, die eine bestimmte Liste von Teilzeichenfolgen enthalten, und verschlüsselt ausschließlich Dateien mit bestimmten Dateiendungen. Die Malware beendet zudem eine bestimmte Liste von Prozessen.

Beispiel 2

Die zweite Probe von „Big Head“ weist sowohl Ransomware- als auch Stealer-Verhalten auf. Die Hauptdatei entpackt drei Dateien und führt diese aus: „runyes.crypter.bat“, „ azz1.exe“ und „server.exe“.

Die Ransomware-Aktivitäten werden von „runyes.cryper.batt“ und „ azz1.exe“ ausgeführt, während „server.exe“ für das Sammeln von Informationen zum Zweck des Diebstahls zuständig ist. Genau wie das erste Beispiel ändert auch dieses Beispiel den Desktop-Hintergrund des Opfers.

Beispiel 3

Diese Probe enthält einen Datei-Infektor, den Trend Micro in seiner Kette als „Neshta“ identifiziert hat. Neshta wurde entwickelt, um ausführbare Dateien zu infizieren und seinen Schadcode in diese einzuschleusen.

Die Einbindung von Neshta in den Einsatz der Ransomware kann zudem als Tarnung für die eigentliche Ransomware-Nutzlast dienen und Analysten möglicherweise davon ablenken, die eigentliche Bedrohung – nämlich die Ransomware – zu erkennen.

Über den Angreifer

Aus der Lösegeldforderung geht hervor, dass der Entwickler der Schadsoftware E-Mail und Telegram nutzt, um mit den Opfern zu kommunizieren.

Nachdem sie den Telegram-Benutzernamen genauer untersucht hatten, konnten die Forscher ein zugehöriges YouTube-Konto ausfindig machen. Der Account ist relativ neu – er wurde im April dieses Jahres eingerichtet – und verfügt über insgesamt 12 veröffentlichte Videos. Die Videos zeigen Demonstrationen der von Trend Micro beobachteten Malware.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Auch wenn es sich bei ‚Big Head‘ nicht um eine besonders ausgefeilte Ransomware-Variante handelt, deuten die zahlreichen im Umlauf befindlichen Varianten darauf hin, dass ihre Entwickler aktiv daran arbeiten, sie weiterzuentwickeln und zu verfeinern.“

„Trend Micro hat den Verlauf der zugehörigen Bitcoin-Wallet untersucht und Transaktionen gefunden, die bis zum Block 2022 zurückreichen.“ Derzeit liegen keine weiteren Einzelheiten darüber vor, um welche Transaktionen es sich handelt oder wie die damit verbundenen Angriffe aussehen könnten. Dies lässt jedoch vermuten, dass dieser Angreifer möglicherweise bereits über gewisse Erfahrungen verfügt.“

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Diskussionsforum von Tanium unter, und starten Sie eine Unterhaltung.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .