In der Zusammenfassung dieser Woche untersuchen wir, wie die „BazarCall“-Callback-Phishing-Technik von mindestens drei verschiedenen Bedrohungsgruppen genutzt wird. Zweitens hat der Technologieriese Cisco kürzlich bestätigt, dass er Opfer eines Cyberangriffs vom Typ „ Mai 2022 “ geworden ist. Darüber hinaus befasst sich CTI mit der neuesten Analyse des DFIR-Berichts zu einem Angriff mit der „BumbleBee“-Malware, der 11 Tage lang unentdeckt blieb.
1. AdvIntel veröffentlicht eine BazarCall-Warnung nach Angriffen auf Twilio und Cloudflare
AdvIntel hat einen Blogbeitrag veröffentlicht, in dem die jüngsten Aktivitäten von Cyberkriminellen beschrieben werden, die BazarCall (auch bekannt als BazaCall) nutzen – eine gefährliche und effektive Callback-Phishing-Methode.
BazarCall tauchte erstmals im Jahr 2020 unter (wird in einem neuen Tab geöffnet) als Teil des Toolkits von Ryuk auf, einer berüchtigten Ransomware-Bande, die später in Conti umbenannt wurde. Die Untersuchungen von AdvIntel legen nahe, dass drei separate und voneinander unabhängige Bedrohungsgruppen inzwischen ihre eigenen, von dieser Methodik abgeleiteten „ “-Phishing-Taktiken übernommen und weiterentwickelt haben: Silent Ransom, Quantum und Roy/Zeon.
In jüngerer Zeit waren sowohl Cloudflare (wird in einem neuen Tab geöffnet) als auch Twilio (wird in einem neuen Tab geöffnet) von ähnlichen Angriffen betroffen, bei denen ein hochentwickelter Angreifer Phishing-Angriffe durchführte und dabei über die privaten Telefonnummern von Mitarbeitern und deren Familien verfügte.
Auswirkungen auf die Landschaft
BazarCall zeichnet sich dadurch aus, dass es die übliche Vorgehensweise bei Phishing-Angriffen auf den Kopf stellt und stattdessen fortgeschrittene Kenntnisse im Bereich Social Engineering und gezieltes Phishing (Spear-Phishing) nutzt, um in die Netzwerke der Opfer einzudringen.
Der Einsatz von Social Engineering per Telefon – im Gegensatz zu komplexen, technischen Hacking-Operationen – ist ein Phänomen, das deutlich an Bedeutung gewonnen hat und von Angreifern aller Art genutzt wird, vor allem jedoch von Ransomware- und Erpressungsangreifern. So haben wir beispielsweise beobachtet, wie die relativ unerfahrene Gruppe „Lapsus$“ einige Giganten der Cyberbranche zu Fall gebracht hat, und es scheint, als versuchten einige ihrer Kollegen, es ihnen gleichzutun, wie die oben erwähnten jüngsten Angriffe auf Cloudflare und Twilio belegen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Silent Ransom – die sich, wie die beiden anderen oben genannten Gruppen, aus ehemaligen hochrangigen Mitgliedern von Conti zusammensetzt – ist offensichtlich nicht mehr die einzige Bedrohungsgruppe, die die von ihr selbst entwickelten, hochspezialisierten Phishing-Angriffe einsetzt.“ Sie sind auch nicht die einzige Gruppe, die sich das Voice-Phishing oder „Vishing“ zunutze macht, wie die hier erwähnten jüngsten Angriffe belegen. Andere Hackergruppen haben angesichts des Erfolgs, der Effizienz und der gezielten Einsatzmöglichkeiten dieser Taktiken begonnen, „Reverse-Phishing“-Kampagnen als grundlegende Methode zu nutzen und diesen Infektionsweg zu einem eigenen Angriffsstil weiterzuentwickeln.
Dieser Trend dürfte sich fortsetzen, und sollte dies der Fall sein, werden sich wahrscheinlich weitere Betroffene nach dem Vorbild von Cloudflare und Twilio zu Wort melden. Auf seltsame Weise scheint es fast so, als hätte sich der Kreis der von Hackern angewandten Taktiken geschlossen. Die Anfänge des „Hackens“, wie wir es heute kennen, reichen bis in die Zeit des „Phone-Phreaking“ von Kevin Mitnick – dem berüchtigtsten Hacker der Welt – und seinen Mitstreitern zurück, als sie sich ausschließlich auf ihren Verstand, ihr schnelles Denken, ihre Kenntnisse der Zielsysteme und vor allem auf ihre Stimmen verlassen mussten. Die Angreifer scheinen endlich das Potenzial ausgefeilter Social-Engineering-Taktiken erkannt zu haben. Dies bedeutet Ärger für uns alle, da Phishing-Angriffe immer raffinierter werden und sich immer schwerer von legitimen Mitteilungen unterscheiden lassen.“
2. Cisco wurde von der Ransomware-Bande „Yanluowang“ gehackt
Cisco bestätigte kürzlich, dass die Ransomware-Gruppe „Yanluowang“ Ende Mai in das Unternehmensnetzwerk eingedrungen war und dass der Angreifer versucht hatte, das Unternehmen unter Androhung der Veröffentlichung gestohlener Dateien im Internet zu erpressen. Nach Angaben von Cisco ergriff das Unternehmen unverzüglich Maßnahmen, um die Bedrohung zu beseitigen.
Das Unternehmen gibt an, dass die Angreifer lediglich nicht sensible Daten aus einem Box-Ordner entwenden konnten, der mit dem Konto eines betroffenen Mitarbeiters verknüpft war.
„Cisco hat keine Auswirkungen dieses Vorfalls auf unser Geschäft festgestellt, einschließlich keiner Auswirkungen auf Cisco-Produkte oder -Dienstleistungen, sensible Kundendaten oder sensible Mitarbeiterdaten, das geistige Eigentum von Cisco oder die Abläufe in der Lieferkette“, erklärte das Unternehmen in einer Stellungnahme (wird in einem neuen Tab geöffnet). „Auf 10. August haben die Angreifer eine Liste von Dateien aus diesem Sicherheitsvorfall im Dark Web veröffentlicht.“
Cisco wurde von der Ransomware-Bande „Yanluowang“ gehackt, angeblich wurden 2,8GB Geräte gestohlen – @serghei bleepingcomputer.com/news/security/…
Die Antwort enthält einen Link zu einer detaillierten Analyse von Cisco Talos unter (wird in einem neuen Tab geöffnet), die Einblicke in den Angriff bietet. In einem lobenswerten Beispiel für Transparenz geht der Bericht von Cisco Talos überraschend ausführlich auf die verschiedenen Phasen der Angriffskette ein.
Wichtige Erkenntnisse
Die folgende Liste stellt keineswegs eine vollständige Aufzählung aller bemerkenswerten Aspekte dieses Angriffs dar, sondern enthält vielmehr einige interessante Punkte, die zur Charakterisierung des Vorfalls beitragen:
- Während des gesamten Angriffs wurden Versuche beobachtet, Informationen zu entwenden.
- Der Angreifer nutzte wiederholt die mangelhafte Praxis beim Passwortwechsel nach vorgeschriebenen Passwortzurücksetzungen durch Mitarbeiter aus und zielte dabei auf Benutzer ab, von denen er offenbar annahm, dass sie lediglich ein Zeichen ihres bisherigen Passworts geändert hatten.
- Der Angreifer nutzte Dienste zur Anonymisierung des Datenverkehrs wie beispielsweise Tor.
- Nachdem er aus dem Netzwerk ausgeschlossen worden war, versuchte der Angreifer wiederholt, per E-Mail Kontakt zu Führungskräften aufzunehmen – er äußerte jedoch keine konkreten Drohungen und stellte auch keine Erpressungsforderungen.
Während des gesamten Angriffs hat der Angreifer zudem eine Reihe von Schadcode-Modulen auf die Systeme übertragen. Viele davon werden noch analysiert, doch zumindest einige wurden bereits untersucht und ihr Verwendungszweck ermittelt. Darunter befindet sich eine einfache Backdoor, die dazu dient, über den Windows-Befehlsprozessor Anweisungen von einem C2 -Server zu empfangen und auszuführen, die in Form von JSON-Blobs gesendet werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Cisco verdient Lob für die Transparenz, mit der das Unternehmen die Ereignisse im Zusammenhang mit dem Angriff geschildert hat. Ein Informationsaustausch dieser Tiefe und Detailgenauigkeit könnte dazu beitragen, zu verhindern, dass ähnliche Angriffe künftig andere Organisationen betreffen.
Die Ransomware „Yanluowang“ tauchte erstmals (wird in einem neuen Tab geöffnet) etwa Oktober 2021 auf, als sie bei gezielten Angriffen auf Unternehmensnetzwerke eingesetzt wurde. Bei dieser Angriffswelle wurden die Angreifer häufig aufgedeckt, als Analysten nach dem Einsatz legitimer Tools – wie beispielsweise des AdFind-Tools zur Abfrage von Active Directory – verdächtige Aktivitäten feststellten. April 2022 hatte Kaspersky bereits bekannt gegeben, dass das Unternehmen Schwachstellen im Verschlüsselungsalgorithmus der Ransomware entdeckt habe, wodurch es möglich sei, die von ihr verschlüsselten Dateien wiederherzustellen. Kaspersky veröffentlichte kurz darauf einen kostenlosen Entschlüsseler (wird in einem neuen Tab geöffnet) für die Opfer von Yanluowang.
Es könnte ein vielsagendes Anzeichen sein, dass im Rahmen der Untersuchung von Cisco keine Ransomware-Payloads entdeckt wurden. Das Gleiche gilt für die Tatsache, dass ein Großteil des Angriffs – wenn nicht sogar der gesamte – offenbar von Menschen gesteuert wurde. Yanluowang könnte lediglich eine weitere Ransomware-Bande sein, die auf ein verschlüsselungsfreies Erpressungsmodell umsteigt, ähnlich wie ihre Kollegen von Lapsus$. Sollte sich dies als zutreffend erweisen, sollte Yanluowang als eine nicht minder große Bedrohung angesehen werden.“
3. BumbleBee-Malware-Angriff blieb 11 Tage lang unentdeckt
Der DFIR-Bericht bietet eine eingehende technische Analyse der BumbleBee-Malware von (wird in einem neuen Tab geöffnet) sowie der Rolle, die diese bei einem kürzlich erfolgten Einbruch spielte, bei dem sich die Angreifer 11 Tage lang unentdeckt in einem Zielnetzwerk bewegten.
„Im Rahmen dieses Angriffs verschafften sich die Angreifer mithilfe einer ISO- und einer LNK-Datei Zugriff, setzten verschiedene Techniken zur lateralen Bewegung ein, erfassten Anmeldedaten auf drei verschiedene Arten, nutzten Kerberos-Exploits, um ein Domänenadministrator-Konto zu kompromittieren, und installierten bzw. führten ein maßgeschneidertes Tool aus, um Möglichkeiten zur Rechteausweitung zu ermitteln“, erklärt DFIR.
BumbleBee bahnt sich den Weg zum Domain-Administrator ➡️Erster Zugriff: BumbleBee (komprimierte ISO-Datei mit LNK- und DLL-Dateien) ➡️Persistenz: AnyDesk ➡️Erkennung: VulnRecon, Seatbelt, AdFind usw. ➡️Zugangsdaten: Kerberoast, comsvcs.dll, ProcDump ➡️C2: BumbleBee, CobaltStrike, AnyDesk thedfirreport.com/2022/08/08/bum…
Den DFIR-Forschern konnten bei diesem Angriff weder eine Exfiltration noch eine Datenverschlüsselung noch eine Datenvernichtung festgestellt werden. Die beobachteten TTPs weisen jedoch „die typischen Vorgehensweisen bekannter Akteure der Cyberkriminalität auf, die möglicherweise zu einer domänenweiten Ransomware-Attacke geführt hätten, hätten die Angreifer genügend Zeit gehabt.“
CTI hat bereits über die Malware „BumbleBee“ berichtet, bei der es sich um einen Malware-Loader handelt, über den erstmals berichtet und den (öffnet in einem neuen Tab) beobachtet hat: in März 2022 von Googles Threat Analysis Group (TAG). Google führt diese Malware auf einen sogenannten „Initial Access Broker“ (IAB) namens „Exotic Lily“ zurück.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Der DFIR-Bericht ist für seine unglaublich gründliche Analyse bekannt, und dieser Fall bildet da keine Ausnahme. CTI empfiehlt, den vollständigen Bericht zu lesen, um weitere technische Details zu erfahren.“
Die Malware „BumbleBee“ schien für großes Aufsehen zu sorgen, als sie Anfang dieses Jahres erstmals entdeckt wurde. Forscher bezeichneten sie als „“ – den Nachfolger von „BazarLoader“ (öffnet in einem neuen Tab) – und wiesen zudem nachdrücklich auf ihre offensichtlichen Verbindungen zu organisierten kriminellen Netzwerken hin, die aus Initial-Access-Brokern (IABs) bestehen.
Die Aktivitäten im Zusammenhang mit BumbleBee schienen seit ihrem ersten Auftreten nachgelassen zu haben, doch die Malware ist kürzlich wieder aufgetaucht und hat ihren früheren Ruf als ernstzunehmender und erfolgreicher Verbreitungsweg für Ransomware und andere Schadprogramme zurückerobert. Die Malware wird von Angreifern zunehmend eingesetzt, und es ist leicht nachvollziehbar, warum. BumbleBee ist ein recht ausgeklügeltes Programm, dessen Schwerpunkt auf der Umgehung von Erkennungsmaßnahmen liegt. Tatsächlich ist BumbleBee so geschickt darin, herkömmliche Abwehrlösungen zu umgehen, dass es den Angreifern hinter dem oben analysierten Angriff ermöglichte, 11 Tage lang unentdeckt zu bleiben. Das mag vielleicht nicht nach einer langen Zeit klingen, aber betrachten Sie es einmal so: Würden Sie es gutheißen, wenn sich ein Einbrecher 11 Tage lang in Ihrem Haus herumtreiben würde?
Weiter: Besuchen Sie die Tanium-Community
Haben Sie Fragen oder Anregungen zu diesen neuen Themen? Besuchen Sie unsere „ “-Benutzergemeinschaft unter (wird in einem neuen Tab geöffnet) , um an Diskussionsforen teilzunehmen und sich über die neuesten Best Practices im Bereich Cybersicherheit zu informieren.
Sie können Tanium auch gerne einmal ausprobieren und sich selbst davon überzeugen, wie unsere „Converged Endpoint Management“ (XEM)-Lösung Ihr Unternehmen vor raffinierten Bedrohungen schützen kann. Testen Sie die kostenlose Testversion unter (wird in einem neuen Tab geöffnet).
