Den Auftakt dieser Woche bildet ein Überblick über die bemerkenswertesten Trends im Bereich der Cyberkriminalität aus der ersten Hälfte des Jahres 2022, darunter ein Anstieg von BEC-Angriffen (Business Email Compromise) (öffnet in einem neuen Tab) , die in hohem Maße auf die gezielte Ansprache und Manipulation von Personen setzen. Als Nächstes analysieren wir die jüngste Entwicklung des Bumblebee-Malware-Loaders und des damit verbundenen Botnetzes. Abschließend berichten wir über das Auftauchen von betrügerischen GitHub-Repositorys, mit denen Cyberkriminelle versuchen, aus dem branchenweiten Aufsehen Kapital zu schlagen, das durch die Entdeckung und die gemeldete Ausnutzung der „ProxyNotShell“-Zero-Day-Schwachstellen durch mutmaßlich staatlich unterstützte APTs entstanden ist.
1. Der sprunghafte Anstieg der BEC-Angriffe deutet auf einen zunehmenden Trend bei Erpressungsangriffen ohne Verschlüsselung hin
Arctic Wolf hat kürzlich seinen Bericht „1H 2022 – Einblicke in die Reaktion auf Sicherheitsvorfälle (wird in einem neuen Tab geöffnet)“ veröffentlicht. Hier sind einige der wichtigsten Erkenntnisse:
- Die mittlere Lösegeldforderung von Cyberkriminellen lag bei 450 000 US-Dollar, wobei die Forderungen in der Technologiebranche sowie in der Versand- und Logistikbranche mehr als doppelt so hoch waren wie der weltweite Medianwert.
- Zwar stellt der Faktor Mensch einen häufigen Angriffsvektor dar, den Angreifer ausnutzen können, doch sind über 80 % der Vorfälle auf die Ausnutzung ungepatchter Sicherheitslücken oder Fernzugriffstools zurückzuführen.
- Vorfälle im Zusammenhang mit den viel diskutierten Sicherheitslücken „ProxyShell“ und „ Log4J “ verursachen den Unternehmen bei der Bewältigung weiterhin doppelt so hohe Kosten wie ein Vorfall im Median.
Zunahme von BEC-Betrugsfällen und deren Zusammenhang mit fehlender MFA
Die Daten von Arctic Wolf deuten darauf hin, dass sich der Fokus der Cyberkriminellen zunehmend von Ransomware weg verlagert, da Hacker immer häufiger auf „Erpressung ohne Verschlüsselung“ zurückgreifen. Eine der bedeutendsten Veränderungen in der Bedrohungslage ist die hohe Anzahl erfolgreicher BEC-Angriffe, die im zweiten Quartal des Jahres 2022 beobachtet wurden.
Laut Arctic Wolf haben sich die BEC-Fälle – betrachtet als Anteil an allen untersuchten Vorfällen im Bereich Incident Response – im zweiten Quartal dieses Jahres mehr als verdoppelt und machten 34 % aller Fälle aus, verglichen mit lediglich 17 % im ersten Quartal des Jahres 2022. In den Bereichen Unternehmensdienstleistungen, Recht/Behörden sowie Finanzen/Versicherungen war ein deutlicher Anstieg der Anzahl der von dieser Angriffsart betroffenen Unternehmen zu verzeichnen. Besorgniserregenderweise zeigte sich aus den Daten ein eklatanter gemeinsamer Nenner: 80 % der betroffenen Unternehmen verfügten nicht über eine Multi-Faktor-Authentifizierung (MFA).
Warum BEC-Angriffe stark zunehmen
Social-Engineering-Angriffe (wird in einem neuen Tab geöffnet) , die darauf abzielen, Menschen zu täuschen, können häufig E-Mail- und andere Sicherheitsmaßnahmen umgehen. In manchen Fällen sind sie erfolgreicher als Angriffe, die versuchen, Schwachstellen in der Hardware oder Software auszunutzen.
Das soll nicht heißen, dass externe Schwachstellen keine bedeutende Rolle spielen. Tatsächlich hat stellte Abnormal Security in seinem Bedrohungsbericht „ “ (öffnet in einem neuen Tab) Anfang dieses Jahres fest, dass die überwiegende Mehrheit aller Cyberkriminalitätsvorfälle (81 %) auf externe Sicherheitslücken in einigen wenigen, gezielt angegriffenen Produkten – nämlich dem Exchange-Server von Microsoft und der Virtual-Desktop-Software „Horizon“ von VMware – sowie auf schlecht konfigurierte Remote-Dienste wie das Remote Desktop Protocol (RDP) von Microsoft zurückzuführen war.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Abgesehen von der Darstellung einiger bemerkenswerter Details im Zusammenhang mit Ransomware vermeidet der Bericht „1H 2022 Incident Response Insights“ von Arctic Wolf ( ) (wird in einem neuen Tab geöffnet) es weitgehend, sich in die Kakophonie widersprüchlicher Ransomware-Trends einzumischen, die von Informationsdienstleistern verbreitet werden.“
„Während einige Statistiken einen Trend zu mehr Vorfällen als je zuvor belegen, deuten andere Berichten zufolge auf einen deutlichen Rückgang der gemeldeten Ransomware-Angriffe hin.“
„Angesichts der jüngsten Erkenntnisse von Arctic Wolf kann die Bedeutung eines umfassenden Schulungs- und Aufklärungsprogramms zum Thema Phishing und Social Engineering gar nicht hoch genug eingeschätzt werden.“ „Es ist zudem ratsam, bei Übungen die neuesten Cyberangriffe, bei denen Menschen den wahrscheinlichsten Angriffspunkt darstellen, so realistisch wie möglich nachzustellen.“
„Abgesehen davon sollten Berichte wie die oben genannten als weiterer Weckruf dienen, dass es nicht immer die ausgefeilteste Malware oder die raffiniertesten TTPs sind, die namhafte Organisationen in die Knie zwingen – sei es finanziell oder in Bezug auf ihren Ruf.“
2. Malware-Update: Der weit verbreitete Malware-Loader „Bumblebee“ verfügt nun über neue Funktionen und weiterentwickelte TTPs
Der nach wie vor weit verbreitete Malware-Loader „Bumblebee“ hat erneut für Schlagzeilen gesorgt, diesmal in Form von „ “. Die neue Analyse von Check Point (wird in einem neuen Tab geöffnet) zu dieser sich ständig weiterentwickelnden Malware.
Über den Bumblebee-Malware-Loader
Bumblebee hat BazarLoader als eine der führenden „Vorläufer“-Malware-Varianten abgelöst, die von Angreifern zur Auslösung von Ransomware-Infektionen genutzt werden – und hat damit seinen rechtmäßigen Platz neben bekannten Namen wie QBot, Emotet und TrickBot eingenommen.
Die Zeit, die Bumblebee benötigte, um diese Leiter hinaufzuklettern, ist geradezu bemerkenswert. Wie wir bereits berichtet haben, ist der Erfolg von „Bumblebee“ größtenteils auf die Raffinesse der Spear-Phishing-E-Mails von „ “ zurückzuführen: (wird in einem neuen Tab geöffnet) , über die die Malware in der Regel verbreitet wird – eine Theorie, die möglicherweise mit der Verbindung der Malware zu einem bekannten Initial-Access-Broker zusammenhängt.
Aktuelle Informationen zum Malware-Loader „Bumblebee“
Den neuesten Untersuchungen von Check Point zufolge war im Frühjahr 2022 ein deutlicher Anstieg der Aktivitäten im Zusammenhang mit dem Malware-Loader „Bumblebee“ zu verzeichnen.
Der Malware-Loader „Bumblebee“ war aufgrund seiner offensichtlichen Verbindungen zu mehreren bekannten Malware-Familien bereits Gegenstand intensiver Untersuchungen seitens der Informationssicherheits-Community gewesen. (wird in einem neuen Tab geöffnet)
Check Point hebt einige wichtige Erkenntnisse hervor:
- Bumblebee entwickelt sich ständig weiter, was sich am besten daran zeigt, dass das Ladersystem innerhalb weniger Tage zweimal eine radikale Änderung durchlaufen hat – zunächst von der Verwendung von Dateien im ISO-Format zu Dateien im VHD-Format, die ein PowerShell-Skript enthalten, und anschließend wieder zurück.
- Veränderungen im Verhalten der Server von Bumblebee, die um den Juni 2022 herum auftraten, deuten darauf hin, dass die Angreifer ihren Schwerpunkt möglicherweise von umfangreichen Tests ihrer Malware darauf verlagert haben, möglichst viele Opfer zu erreichen.
- Obwohl die Bedrohung ein Feld namens „group_name“ enthält, ist dies möglicherweise kein verlässlicher Indikator für Clustering-bezogene Aktivitäten: Proben mit unterschiedlichen „group_name“-Werten haben ein ähnliches Verhalten gezeigt, was darauf hindeuten könnte, dass ein einziger Akteur mehrere „group_name“-Bezeichnungen betreibt. Bei Verschlüsselungsschlüsseln trifft dies nicht zu: Unterschiedliche Verschlüsselungsschlüssel bedeuten in der Regel – wie zu erwarten – ein unterschiedliches Verhalten.
- Die Bumblebee-Payloads variieren stark je nach Art des Opfers. Infizierte Einzelplatzrechner werden wahrscheinlich mit Banking-Trojanern oder Infostealern befallen, während Unternehmensnetzwerke damit rechnen müssen, mit ausgefeilteren Post-Exploitation-Tools wie CobaltStrike angegriffen zu werden.
In dem Bericht von Check Point heißt es weiter, dass bestimmte ungewöhnliche Merkmale der kürzlich beobachteten „Bumblebee“-Aktivität (wie beispielsweise die Tatsache, dass C2 Server die Kommunikation mit allen infizierten Hosts unterbrachen, die „client_id“-Übermittlungen von der externen IP-Adresse einer Organisation generierten, nachdem sie die erste „client_id“ aus diesem Netzwerk erhalten hatten) die Forscher zu folgender Schlussfolgerung veranlassten: „sollten mehrere Computer einer Organisation, die über dieselbe öffentliche IP-Adresse auf das Internet zugreifen, infiziert sein, akzeptiert der C2 -Server nur den ersten infizierten Computer.“
Interessanterweise wurde diese Funktion vor einigen Wochen plötzlich deaktiviert, was zu einem drastischen Anstieg der Anzahl der hergestellten Verbindungen zu infizierten Hosts führte. Was mit dieser Funktion eigentlich bezweckt werden sollte, bleibt ein Rätsel, auch wenn es wahrscheinlich erscheint, dass sie während einer Phase intensiver Tests aktiviert wurde.
Dieses ungewöhnliche Verhalten veranlasste Check Point Research dazu, das Verhalten von Bumblebee in verschiedenen Umgebungen zu beobachten, in denen es ausgeführt worden war. Alles deutet darauf hin, dass diese plötzlich verbundenen IP-Adressen tatsächlich als Tarnfassaden für einen zentralen C2 -Server dienen, über den alle Bumblebee-Verbindungen weitergeleitet werden (d. h. typisches Botnetz-Verhalten).
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die von den Forschern von Check Point durchgeführte eingehende Analyse vermittelt ein klares Bild einer Bedrohung, von der wir bereits wussten, dass sie darauf ausgerichtet ist, ihre Fähigkeiten kontinuierlich zu erweitern. Gleichzeitig bereichert sie unsere Bumblebee-Wissensdatenbank, indem sie die Veränderungen in der Infektionskette sowie die Botnetzaktivitäten erläutert, die darauf abzielen, die Zahl der aktiven Opfer drastisch zu erhöhen und das Gesamtvolumen des C2 -Datenverkehrs zu steigern.“
„Bumblebee stellt nach wie vor eine einzigartige und ernstzunehmende Bedrohung dar und hebt sich von anderen Packern und Umgehungstools von Drittanbietern dadurch ab, dass es seinen eigenen Packer nicht nur für sich selbst, sondern auch für die Malware-Beispiele nutzt, die es auf einer großen Anzahl von Opfergeräten installiert.“ „Dies ist eine Eigenschaft, die Bumblebee möglicherweise von anderen führenden Vorläufer-Malware-Familien übernommen hat, die jedoch weitaus größere Wirkung entfaltet und ein deutlich höheres Maß an Flexibilität bietet, wenn es darum geht, das eigene Verhalten anzupassen und sich an neue Umgebungen anzupassen.“
3. Gefälschte „ProxyNotShell“-Exploits für Microsoft Exchange werden auf GitHub zum Verkauf angeboten
Laut einem Artikel von „ 3. Oktober“, der auf dem Cybersicherheitsblog „BleepingComputer“ veröffentlicht wurde, nutzen Angreifer den Hype um die viel beachteten beiden Zero-Day-Sicherheitslücken „ “ von Microsoft (öffnet in einem neuen Tab) – auch als „ProxyNotShell“ bezeichnet –, indem sie sich als Sicherheitsforscher ausgeben, um gefälschte „Proof-of-Concept“-Exploits für „ProxyNotShell“ zu verkaufen.
Gefälschte „Microsoft Exchange ProxyNotShell“-Exploits werden auf GitHub zum Verkauf angeboten – @LawrenceAbrams bleepingcomputer.com/news/security/…
Was ist ProxyNotShell?
ProxyNotShell bezieht sich auf das, was Microsoft unter (wird in einem neuen Tab geöffnet) als „zwei gemeldete Zero-Day-Sicherheitslücken, die Microsoft Exchange Server 2013, Exchange Server 2016 und Exchange Server 2019 betreffen“ beschreibt. Die erste, mit der Nummer CVE-2022-41040 gekennzeichnete, ist eine Sicherheitslücke im Zusammenhang mit Server-Side Request Forgery (SSRF), während die zweite, mit der Nummer CVE-2022-41082 gekennzeichnete, die Ausführung von Remote-Code (RCE) ermöglicht, wenn der Angreifer Zugriff auf Exchange PowerShell hat.“
Die beiden Sicherheitslücken wurden Berichten zufolge erstmals von Sicherheitsforschern des vietnamesischen Cybersicherheitsunternehmens GTSC entdeckt, und hat sie in einem Artikel auf 29. September (öffnet in einem neuen Tab), verfasst von Kevin Beaumont (öffnet in einem neuen Tab) – einer langjährigen, vertrauenswürdigen CTI-Quelle und einem renommierten Sicherheitsforscher – auf (öffnet in einem neuen Tab) hervorragend zusammengefasst.
Staatlich unterstützte APT-Gruppe steht im Verdacht, hinter den ProxyNotShell-Angriffen zu stehen
Das Microsoft Threat Intelligence Center (MSTIC), das angibt, weltweit in weniger als 10 Organisationen Angriffe beobachtet zu haben, die auf die „ProxyNotShell“-Sicherheitslücken abzielten, ist mit mittlerer Sicherheit zu der Einschätzung gelangt, dass diese Aktivitäten wahrscheinlich das Werk einer staatlich unterstützten APT-Gruppe sind.
Zwar hat bislang niemand diese Aktivitäten ausdrücklich einem bestimmten Akteur oder Nationalstaat zugeschrieben, doch wurde beobachtet, dass die Angreifer die beiden Zero-Day-Schwachstellen in Angriffszyklen miteinander verketten, was zur Installation der „China Chopper“-Webshell auf kompromittierten Servern führt, um die Persistenz zu gewährleisten, den Datendiebstahl zu erleichtern und laterale Bewegungen zu ermöglichen.
Forscher haben GitHub-Repositorys als Orte identifiziert, an denen Betrugsangriffe stattfinden
Wie wir bereits oft beobachtet haben, versuchen Cyberkriminelle aller Art, sobald eine Meldung wie diese die Aufmerksamkeit der gesamten Informationssicherheits-Community auf sich zieht, umgehend, aus dem Rummel um den Vorfall und dessen weitere Entwicklungen finanziellen Gewinn zu schlagen. Dies äußert sich häufig in Form von Phishing-Kampagnen unter , bei denen Köder zum Einsatz kommen, die sich auf das jeweilige Thema beziehen. Bei ProxyNotShell sehen wir etwas, das ein wenig anders ist.
John Hammond, ein Forscher bei Huntress Labs, hat die Aktivitäten eines bestimmten Betrügers im Auge behalten, der eifrig verschiedene GitHub-Repositorys angelegt hat, in denen er versucht, gefälschte POC-Exploits für die Sicherheitslücken „Exchange CVE-2022-41040 “ und „CVE-2022-41082 “ zu verkaufen – wobei er sogar mehrere Kopien anbietet, was wohl ein plumper Versuch ist, den Anschein der Legitimität der POCs zu verstärken.
Es scheint mehrere davon zu geben; ein weiteres mit einem anderen SatoshiDisk-Link, bei dem „nur FÜNF Exemplare verkauft werden“ … Meiner Meinung nach handelt es sich um einen Betrug. Mehrere Dateien, um glaubwürdiger zu wirken? Ich habe den Account und das Repository bei GitHub gemeldet. https[:]//github[.]com/TimWallbey/CVE-2022-41082-RCE
In einem weiteren Beispiel gab sich ein von Paulo Pacheco entdecktes Betrugs-Konto (wird in einem neuen Tab geöffnet)als Kevin Beaumont von CTI aus. Dies ist zweifellos ein Versuch, aus dem Ruf dieses bekannten Sicherheitsforschers Kapital zu schlagen, der unermüdlich und selbstlos die neuen Exchange-Sicherheitslücken und die verfügbaren Abhilfemaßnahmen dokumentiert hat.
Was ist in diesen GitHub-Repositorys enthalten?
Aus BleepingComputer:
„Die Repositorys selbst enthalten nichts von Bedeutung, doch in der Datei ‚README.md‘ wird beschrieben, was derzeit über die neuen Sicherheitslücken bekannt ist, gefolgt von einem Werbetext darüber, wie sie ein Exemplar eines PoC-Exploits für die Zero-Day-Schwachstellen verkaufen.“
„Das bedeutet, dass dies vom Benutzer und möglicherweise auch vom Sicherheitsteam unbemerkt bleiben kann.“ „Ein derart leistungsstarkes Tool sollte nicht öffentlich zugänglich sein; es steht streng genommen nur ein Exemplar zur Verfügung, damit ein ECHTER Forscher es nutzen kann: hxxps://satoshidisk[.]com/pay/xxx“, heißt es in dem Text des betrügerischen Repositorys.
Der gefälschte POC-Exploit wird derzeit zum äußerst günstigen Preis von 0,01825265 Bitcoin angeboten, was einem Wert von etwa 420,00 US-Dollar entspricht (weit weniger, als ein echter POC wert wäre, und deutlich weniger, als andere Organisationen an diejenigen zahlen, die in der Lage sind, Zero-Day-Exploits für Microsoft Exchange mit Remote-Code-Ausführung (RCE) zu entwickeln).
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„So schwer die technischen Details zu den ProxyNotShell-Sicherheitslücken auch zu finden sein mögen, es ist nur eine Frage der Zeit, bis ein seriöser Proof-of-Concept auftaucht.“ Tatsächlich beziffern verschiedene Quellen die durchschnittliche Zeitspanne zwischen der Bekanntgabe einer Sicherheitslücke und dem Auftauchen funktionierender POC-Exploits auf etwa 10-14 Tage. Aus diesem Grund ergreift CTI proaktive Maßnahmen, indem es aktive Suchprozesse einrichtet und aufrechterhält, um das Auftreten von POC-Exploits zu erkennen, die auf hochkarätige Zero-Day-Schwachstellen wie diese abzielen, sobald wir davon Kenntnis erlangen.“
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
