Im Bericht dieser Woche untersucht CTI einen taktischen Geheimdienstbericht über die Entdeckung einer bislang nicht dokumentierten Untergruppe der APT41, die den Namen „Earth Longzhi“ trägt. Im Folgenden finden Sie einen Überblick über den Vorschlag der australischen Regierung, möglicherweise ein Verbot von Ransomware und Lösegeldzahlungen einzuführen – unter Berücksichtigung der möglichen Auswirkungen auf Cyberkriminelle, Sicherheitsexperten, Strafverfolgungsbehörden, Cyberversicherer und weitere Akteure. Ebenfalls enthalten ist eine Zusammenfassung einiger aktueller Entwicklungen bei Twitter sowie eine Darstellung der Einschätzung von Sicherheitsexperten, inwiefern sich die Führungswechsel im Unternehmen möglicherweise auf die Sicherheitslage der Social-Media-Plattform auswirken könnten.
1. Earth Longzhi: eine neue Untergruppe der APT41 er-Gruppe, die einen maßgeschneiderten Symatic-Cobalt-Strike-Loader verwendet
Trend Micro (wird in einem neuen Tab geöffnet) hat kürzlich die Existenz einer bislang nicht dokumentierten Untergruppe der von der chinesischen Regierung unterstützten Hackergruppe „ “, APT41 (wird in einem neuen Tab geöffnet), namens „Earth Longzhi“ aufgedeckt. Die Untergruppe ist seit 2020 aktiv und nutzt maßgeschneiderte Versionen von Cobalt-Strike-Loadern, um dauerhafte Hintertüren auf Zielsystemen zu installieren.
Trend Micro untersuchte einen Vorfall Anfang 2022 , bei dem ein Unternehmen in Taiwan angegriffen wurde. Bei der im Rahmen des Vorfalls eingesetzten Malware handelte es sich um einen maßgeschneiderten Cobalt-Strike-Loader, der die Forscher auf weitere Vorfälle zurückführte, die bis zum Vorfall 2020 zurückreichen und bei denen ein ähnlicher Loader zum Einsatz kam. Trend Micro hat diese Gruppe „Earth Longzhi“ getauft und zwei groß angelegte Kampagnen beobachtet, die von dieser Gruppe durchgeführt wurden.
Die erste „Earth Longzhi“-Malware-Kampagne
Die erste „Earth Longzhi“-Kampagne fand zwischen dem Mai 2020 und dem Februar 2021 statt und richtete sich gegen die Regierungs-, Infrastruktur-, Hochschul- und Gesundheitsbranche in Taiwan sowie gegen den Bankensektor in China.
Im Rahmen dieser Kampagne wurden Spear--Phishing-E-Mails als primärer Angriffsvektor genutzt, um die Malware zu verbreiten. Dabei kam neben anderen maßgeschneiderten Hacking-Tools auch ein speziell angepasster Cobalt-Strike-Loader, der „Symatic Loader“, zum Einsatz.
Earth Longzhi entwickelt und nutzt ein All-in-One-Hacking-Tool für seine Aktivitäten im Anschluss an die Exploitation. Dieses All-in-One-Tool vereint alle erforderlichen Dienstprogramme in einem Paket und enthält zahlreiche davon, die entweder öffentlich zugänglich sind oder bei früheren Angriffen eingesetzt wurden. Dadurch kann der Angreifer mehrere Vorgänge ausführen, während er eine einzige ausführbare Datei verwendet. Zu seinen Funktionen gehören unter anderem das Starten eines Prozesses mit höheren Berechtigungen, das Erfassen von Informationen über lokale oder entfernte Laufwerke, das Ändern des Zeitstempels einer Datei, das Deaktivieren des Windows-Dateischutzes und so weiter.
Die zweite Kampagne
Die zweite Kampagne fand vom August 2021 bis zum Juni 2022 statt und richtete sich gegen hochrangige Opfer aus den Bereichen Verteidigung, Luftfahrt, Versicherungswesen und Stadtentwicklung in Taiwan, China, Thailand, Malaysia, Indonesien, Pakistan und der Ukraine.
Wie bereits bei der ersten Kampagne wurden auch bei dieser Kampagne in erster Linie Spear-Phishing-E-Mails als Einstiegspunkt genutzt. Earth Longzhi setzte in dieser Kampagne verschiedene Arten maßgeschneiderter Cobalt-Strike-Loader ein, die Trend Micro als „CroxLoader“, „BigpipeLoader“, „OutLoader“ und „MultipipeLoader“ bezeichnete.
Trend Micro hat im Rahmen der Ermittlungen zur zweiten Kampagne zudem mehrere Hacking-Tools gesammelt. Die gesammelten Tools dienten der Ausweitung von Berechtigungen (PrintNightmare und PrintSpoofer), dem Auslesen von Anmeldedaten (Mimikatz) sowie der Umgehung von Sicherheitsmaßnahmen (Deaktivierung von Sicherheitsprodukten). Anstatt auf öffentliche Tools zurückzugreifen, implementiert Earth Longzhi diese entweder neu oder entwickelt eigene Tools auf der Grundlage bestimmter Open-Source-Projekte.
Zuschreibung zu „Earth Longzhi“
Trend Micro führte diese Aktivität auf der Grundlage der folgenden Faktoren auf die Untergruppe APT41’s „Earth Longzhi“ zurück:
- zur Viktimologie: Die betroffenen Regionen und Zielsektoren sind Länder von Interesse in Ost- und Südostasien, was der Viktimologie einer anderen Untergruppe von APT 41 ähnelt: Earth Baku (wird in einem neuen Tab geöffnet).
- Gemeinsame Metadaten bei Cobalt Strike: Forscher stellten fest, dass die meisten Cobalt-Strike-Payloads dasselbe Wasserzeichen und denselben öffentlichen Schlüssel aufwiesen. Diese Kombination aus Wasserzeichen und öffentlichem Schlüssel wird auch von anderen APT41 -Untergruppen verwendet und deutet darauf hin, dass „Earth Longzhi“ denselben Cobalt-Strike-Team-Server mit anderen APT41 -Untergruppen nutzt.
- Code-Ähnlichkeiten: Forscher haben festgestellt, dass die Entschlüsselungsalgorithmen in Symatic Loader und CroxLoader denen sehr ähnlich sind, die bei der -Gruppe „GroupCC“ (wird in einem neuen Tab geöffnet), einer weiteren Untergruppe der APT41 , identifiziert wurden.
- Sich überschneidende TTPs: Earth Longzhi nutzt das von GroupCC eingesetzte Python Fastly CDN, um die tatsächliche Adresse des Command-and-Control-Servers (C2) zu verschleiern. Forscher sehen darin einen Hinweis auf einen Zusammenhang zwischen den beiden Untergruppen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
“APT41 ist unglaublich komplex, und alle potenziellen Untergruppen (wie beispielsweise „Earth Longzhi“) sollten mit derselben Vorsicht behandelt werden, die üblicherweise ihrer Dachorganisation entgegengebracht wird. Die beiden von Trend Micro beobachteten „Earth Longzhi“-Kampagnen dauerten mehrere Monate – ein weiterer Beleg für die Raffinesse der Gruppe und ihr Engagement für die operative Sicherheit (OPSEC), da die Aktivitäten mehr als zwei Jahre lang nicht zugeordnet werden konnten.“
2. Australien erwägt ein Verbot von Zahlungen an Ransomware-Erpresser
Australien erwägt derzeit ein Verbot von Lösegeldzahlungen, um den auf Erpressung basierenden Aspekt des Geschäftsmodells der Cyberkriminellen zu untergraben.
Clare O’Neil, Ministerin für Inneres und Cybersicherheit, hat bestätigt, dass die Regierung im Rahmen ihrer umfassenden Cybersicherheitsstrategie nicht nur ein Verbot von Zahlungen an Ransomware-Erpresser, sondern auch die Einstufung solcher Zahlungen als Straftat in Betracht zieht.
Warum Australien Zahlungen an Ransomware-Erpresser möglicherweise verbieten könnte
In Australien kam es in letzter Zeit zu zahlreichen vielbeachteten Cybersicherheitsvorfällen. Einer der bemerkenswertesten Vorfälle ist der Vorfall bei Medibank im Zusammenhang mit dem (wird in einem neuen Tab geöffnet), der sich Anfang dieses Monats ereignete. Medibank, einer der größten privaten Krankenversicherer Australiens, hat kürzlich bekannt gegeben, dass Hacker Zugriff auf die personenbezogenen Daten seiner Kunden erlangt haben. Die Organisation erklärte, dass sie kein Lösegeld an die Angreifer zahlen werde; diese Entscheidung beruhe Berichten zufolge auf Empfehlungen von Experten für Cyberkriminalität.
Der Vorfall bei Medibank ereignete sich nur wenige Wochen, nachdem Australiens zweitgrößtes Telekommunikationsunternehmen, Optus, , Opfer eines Cyberangriffs geworden war (öffnet in einem neuen Tab). Diese Angriffe waren letztendlich der Auslöser für die derzeitigen Überlegungen der australischen Regierung hinsichtlich eines möglichen Verbots von Zahlungen an Ransomware-Erpresser.
Was unternimmt Australien noch?
Australiens Überlegungen zu einem vollständigen Verbot von Lösegeldzahlungen begannen bereits einen Tag, nachdem der Minister eine neue, dauerhafte gemeinsame Einsatzstelle zwischen der Australian Federal Police (AFP) und dem Australian Signals Directorate (ASD) – den führenden Strafverfolgungs- bzw. Cyber- und Fernmeldeaufklärungsbehörden des Landes – zur Bekämpfung der Cyberkriminalität angekündigt hatte.
Diese neue Initiative zielt darauf ab, „cyberkriminelle Vereinigungen zu zerschlagen, wobei der Schwerpunkt auf Ransomware-Gruppen liegt“, und wird „Informationen sammeln und Anführer, Netzwerke sowie Infrastruktur identifizieren, um deren Aktivitäten zu stören und zu unterbinden – unabhängig davon, wo sie sich befinden.“
Wird Australiens Plan zur Bekämpfung von Ransomware funktionieren?
Das Verbot von Lösegeldzahlungen ist ein kontroverses Thema, das je nach dem, wen man fragt, wahrscheinlich unterschiedliche Reaktionen hervorrufen wird.
Ein Großteil der Argumentation für ein mögliches Verbot von Lösegeldzahlungen beruht auf der oft wiederholten Tatsache, dass die Opfer eines Ransomware-Angriffs gezwungen sind, mit Kriminellen zu verhandeln. Dies wirft die naheliegende Frage auf: Wie soll man einem Kriminellen vertrauen, insbesondere während einer Verhandlung? Auch wenn ein Angreifer behaupten mag, dass die Zahlung des Lösegelds sicherstellt, dass die entwendeten Daten nicht veröffentlicht werden und alle verschlüsselten Dateien wiederhergestellt werden, gibt es letztendlich einfach keine Garantie dafür.
Das Einzige, was sicher ist, ist, dass die Zahlung des Lösegeldes den Angreifer lediglich belohnt und ihm eine positive Rückmeldung gibt, indem sie ihm bestätigt, dass seine Bemühungen wirksam und erfolgreich sind. Darüber hinaus könnte die Zahlung von Lösegeld dazu führen, dass betroffene Unternehmen und ihre jeweiligen Branchen zu einem noch attraktiveren Ziel werden. Sobald Cyberkriminelle erkennen, dass ein bestimmtes Unternehmen, eine bestimmte Branche oder ein bestimmtes Land bereit ist, Lösegeld zu zahlen, wird dieses Ziel noch attraktiver.
Andererseits könnte die Kriminalisierung von Lösegeldzahlungen für Ransomware das Gegenteil der beabsichtigten Wirkung haben. Wie „The Record“ hervorhebt, könnte dies dazu führen, dass „Angriffe noch stärker in den Untergrund gedrängt werden, da Unternehmen gezwungen sind, Vorfälle zu verschweigen, um einer behördlichen Überprüfung zu entgehen.“
Die Erzwingung von Lösegeldzahlungen im Verborgenen verschleiert diese Straftaten und erschwert die Reaktion der Strafverfolgungsbehörden noch mehr, als dies ohnehin schon der Fall ist.
Was bedeutet dies für Cyberkriminelle?
Sollte Australien beschließen, das Verbot von Lösegeldzahlungen für Ransomware tatsächlich umzusetzen, könnten Cyberkriminelle auf verschiedene Weise darauf reagieren.
Einerseits betrachten die Angreifer Australien möglicherweise nicht mehr als lukratives Ziel für Ransomware-Angriffe. Warum sollte man sich die Mühe machen und den Aufwand betreiben, Ransomware-Angriffe durchzuführen, wenn es für das Opfer illegal ist, das Lösegeld zu zahlen? Was ist dabei zu gewinnen? Natürlich beruht dieses Ergebnis vollständig auf der Annahme, dass jede australische Organisation entschlossen ist, sich strikt an den Wortlaut des Gesetzes zu halten, unabhängig davon, welche Kosten ihr dadurch in Form von Ausfallzeiten, Betriebsunterbrechungen und Reputationsschäden entstehen mögen.
Auch Angreifer könnten dies als Herausforderung betrachten. Schließlich könnten Unternehmen, die Opfer einer Ransomware-Attacke geworden sind, versuchen, die Tatsache zu verschleiern, dass sie Lösegeld gezahlt haben, falls dies strafbar wird. Sollte dies geschehen, könnte ein Angreifer zurückkommen und eine zusätzliche Lösegeldzahlung verlangen, um die erste Zahlung geheim zu halten – eine weitere Form der Erpressung, die Ransomware-Täter ihrem Erpressungsarsenal hinzufügen könnten.
Angreifer könnten zudem von Ransomware auf andere Methoden der Erzielung von Einnahmen umsteigen. Es ist unklar, ob die Angreifer beschließen werden, ihre Aktivitäten von Australien auf andere Länder zu verlagern oder das Potenzial für weitere Lösegeldzahlungen auszunutzen.
Welche Auswirkungen dies auf die Cyberversicherung hat
Cyberversicherungen unterscheiden sich je nach Versicherungsgesellschaft und Vertragsdauer, doch viele von ihnen decken möglicherweise Lösegeldzahlungen sowie andere finanzielle Verluste im Zusammenhang mit Cyberangriffen ab. Cyberversicherer und Versicherungsnehmer mit einer Cyberversicherung müssten wahrscheinlich ihre bestehenden Policen überprüfen und anpassen, sollten Lösegeldzahlungen unter Strafe gestellt werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Überlegungen Australiens, Lösegeldzahlungen zu verbieten, könnten auf dem Ransomware-Markt erhebliche Auswirkungen haben.“ „Schließlich wird ein Verbot von Lösegeldzahlungen die Cyberkriminalität nicht beenden und die Angreifer wahrscheinlich dazu veranlassen, ihre Taktik zu ändern.“
„Die Aussicht auf ein vollständiges Verbot erinnert an die Prohibitionszeit in den Vereinigten Staaten, als der Volstead Act den Alkohol verbot.“ Anstatt die Menschen vom Alkoholkonsum abzuhalten, führte diese Maßnahme lediglich zu einer Zunahme der Bandenkriminalität und zur Entstehung neuer Schwarzmärkte. „Letzteres würde wahrscheinlich eintreten, wenn Lösegeldzahlungen gänzlich verboten würden.“
„Nun tauchen zahlreiche weitere Fragen auf. Werden Cyberkriminelle in Ländern, in denen Lösegeldzahlungen verboten sind, von Ransomware auf andere Einnahmequellen umsteigen? Und werden sich die Angreifer gänzlich von diesen Ländern abwenden? „CTI wird die Entwicklungen im Zusammenhang mit der Entscheidung Australiens, Lösegeldzahlungen zu verbieten, weiterhin verfolgen und etwaige Auswirkungen dieser Entscheidung zur Kenntnis nehmen.“
3. Das zunehmende Sicherheitsproblem bei Twitter
Twitter sieht sich derzeit mit einer Vielzahl von Sicherheitsrisiken konfrontiert, da das Unternehmen weiterhin Veränderungen in der Führungsspitze und im Personalbereich durchläuft.
So sind beispielsweise die führenden Sicherheitsverantwortlichen des Unternehmens kürzlich nach der Übernahme durch Elon Musk zurückgetreten.
Aus Politico: „Die obersten Sicherheitsverantwortlichen von Twitter (öffnet in einem neuen Tab) – darunter der Chief Information Security Officer, der Chief Privacy Officer, der Chief Compliance Officer und der Leiter des Bereichs „Trust and Safety“ – sind am Donnerstag unter Berufung auf das Risiko zurückgetreten, das mit der Umsetzung einiger von Musks neuer Maßnahmen zur Umsatzsteigerung (wie der neuen Richtlinie zu Verifizierungshäkchen) im Rahmen einer laufenden Untersuchung durch die Federal Trade Commission verbunden ist.“
Ein Massenexodus von Mitarbeitern, die für die Umsetzung der Sicherheitsrichtlinien von Twitter verantwortlich sind, lässt nichts Gutes für die Fähigkeit des Unternehmens ahnen, sich gegen Hacker zu verteidigen. Die Cybersicherheitslage bei Twitter gab bereits vielen Anlass zur Sorge und führte zu einer Beschwerde gemäß dem „ “, die unter (öffnet in einem neuen Tab) vom ehemaligen Sicherheitschef Peiter Zatko Anfang dieses Jahres eingereicht wurde. Nun scheint sich die Lage weiter zu verschlechtern.
Drastischer Personalabbau
Die ohnehin schon angespannte Lage wird durch zahlreiche Berichte verschärft, wonach Twitter über 4 000 der insgesamt 5 500 Leiharbeitskräfte des Unternehmens entlassen habe.
Zu den betroffenen Stellen sollen angeblich diejenigen gehören, die zu den „Kerninfrastrukturdiensten“ von Twitter zählen, sowie Positionen in den Bereichen Inhaltsmoderation und Marketing. Verschiedene Tweets aus erster Hand von den von den Kürzungen Betroffenen lassen vermuten, dass auch zahlreiche Mitarbeiter der „Trust and Safety“-Teams von Twitter davon betroffen waren.
Die Plattform hat wegen ihres Umgangs mit den Entlassungen heftige Kritik einstecken müssen, (öffnet in einem neuen Tab) , der von ehemaligen Twitter-Mitarbeitern größtenteils als äußerst unpersönlich beschrieben wurde. Viele Mitarbeiter erfuhren per E-Mail von ihrem Schicksal, während andere einfach auf sich allein gestellt waren, als ihnen plötzlich der Systemzugang entzogen wurde.
Die wichtigsten Sicherheitsbedenken
Eines der größten Sicherheitsprobleme bei Twitter hängt mit der enormen Datenmenge zusammen, die das Unternehmen speichert – und zwar weit über E-Mail-Adressen und Passwörter hinaus. Das Unternehmen speichert Daten zudem in den Direktnachrichten-Posteingängen von (wird in einem neuen Tab geöffnet) , verwendet jedoch keine Ende-zu-Ende-Verschlüsselung.
Twitter hat zudem mit den Folgen einer Flut von Falschinformationskonten zu kämpfen, die im Zuge der versuchten Überarbeitung seines Systems mit dem blauen Häkchen entstanden sind – ein System, das ursprünglich dazu gedacht war, das Vertrauen in die Zuverlässigkeit der Informationen auf der Plattform zu stärken.
Anfang November führte Twitter in seiner iPhone-App den Abonnementdienst „Blue“ für 7,99 Dollar ein. Der Dienst ermöglichte es den Nutzern, das begehrte blaue Häkchen zu erwerben – ein Kennzeichen, das zuvor als Symbol für die Echtheit und Authentizität eines Kontos gegolten hatte. Vor kurzem wurde die Möglichkeit für Nutzer, sich für Twitter Blue anzumelden, aus der App entfernt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die unmittelbarsten und sichtbarsten Folgen dieser jüngsten Ereignisse sind die Kursrückgänge an den Börsen sowie die wachsende Zahl von Werbekunden, die ihre Ausgaben bei Twitter vorübergehend ausgesetzt haben: (öffnet in einem neuen Tab).“
„Es gibt zudem Anlass zur Sorge hinsichtlich der personellen Folgen des Abwanderungswellen bei Twitter im Bereich Sicherheit.“ „Nach allem, was man hört, könnte der gesamte Sicherheitsapparat von Twitter (der einigen Berichten zufolge noch in den Kinderschuhen steckte) entlassen worden sein.“
„Natürlich wimmelte es auf Twitter bereits von Falschinformationen, Falschmeldungen und Betrugsversuchen. „Die oben beschriebenen Entwicklungen werden wahrscheinlich dazu führen, dass der durchschnittliche Twitter-Nutzer immer häufiger mit solchen Dingen konfrontiert wird.“
„CTI mahnt zur Vorsicht bei jeglicher Interaktion auf Social-Media-Plattformen. „Stellen Sie alles in Frage.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
