In dieser Woche befasst sich CTI mit zwei „ “-Gruppen, die im Bereich „Business Email Compromise“ (BEC) aktiv sind und derzeit weltweite, mehrsprachige Kampagnen durchführen. Als Nächstes folgt eine Analyse der jüngsten Kampagne von „North Korea’s APT37’s “ (auch bekannt als „ScarCruft“ oder „RedEyes“), in deren Rahmen der Angreifer im Rahmen seiner Cyberspionage-Operation eine neue, schwer zu erkennende Malware namens „M2RAT “ einsetzt, die auf einer interessanten Kombination aus Steganografie und der Ausnutzung von Sicherheitslücken basiert. Und zum Abschluss geben wir Ihnen einen Überblick über den jüngsten Angriff auf ein Open-Source-Software-Repository – eine Kampagne, bei der zwischen dem 27. Januar und dem 29. Januar 2023 fünf schädliche Pakete veröffentlicht wurden, die alle die Malware „ W4SP Stealer“ zum Diebstahl von Daten enthielten.
1. BEC-Gruppen führen mehrsprachige Angriffe durch, bei denen sie sich als Führungskräfte ausgeben, und zielen dabei auf Unternehmen weltweit ab
Zwei Gruppen, die sich mit „Business Email Compromise“ (BEC) befassen, nutzen mittlerweile automatisierte Übersetzungstools, um Zahlungsbetrug und Angriffe zur Umleitung von Gehaltszahlungen gleichzeitig in verschiedenen Sprachen durchzuführen.
BEC zählt nach wie vor zu den am schnellsten wachsenden und finanziell verheerendsten Cyberbedrohungen. Das FBI schätzt (wird in einem neuen Tab geöffnet), dass BEC-Betrugsfälle seit 2016 zu Verlusten in Höhe von mehr als 43 Milliarden US-Dollar geführt haben – demselben Jahr, in dem BEC-Angriffe erstmals (wird in einem neuen Tab geöffnet) an der Spitze der FBI-Liste der kostspieligsten Cyberverbrechen in den USA standen. Seitdem befindet es sich an dieser Stelle.
Forscher beobachten gezielte, mehrsprachige Angriffe
Forscher von Abnormal Intelligence haben Berichten zufolge zwei Gruppen identifiziert, die sich bei BEC-Angriffen ( ) auf globale Unternehmen die Identitätsfälschung von Führungskräften zunutze machen. (öffnet in einem neuen Tab) Diese Gruppen werden von dem Unternehmen als „Midnight Hedgehog“ – die sich mit Zahlungsbetrug befasst – und „Mandarin Capybara“ – eine Gruppe, die sich auf Angriffe zur Umleitung von Gehaltszahlungen spezialisiert hat – verfolgt.
Insgesamt sind diese beiden Gruppen für die Durchführung von BEC-Kampagnen in nicht weniger als 13 verschiedenen Sprachen verantwortlich, darunter Dänisch, Niederländisch, Estnisch, Französisch, Deutsch, Ungarisch, Italienisch, Norwegisch, Polnisch, Portugiesisch, Spanisch und Schwedisch.
Beobachtete TTPs
Groß angelegte, mehrsprachige Cyberangriffe, die sich gegen Opfer auf der ganzen Welt richteten, waren früher die Domäne hochrangiger Angreifer. Es handelte sich um hochqualifizierte, ausgeklügelte Cyberkriminalitätsringe mit umfangreichen Budgets und Zugang zu beträchtlichen Ressourcen. Tatsächlich mussten diese Gruppen häufig Linguisten einstellen oder Muttersprachler in ihren Reihen beschäftigen, um mehrere überzeugende Versionen von E-Mails in Fremdsprachen zu erstellen.
Dank der jüngsten technologischen Fortschritte lässt sich dieser Prozess jedoch wesentlich einfacher und kostengünstiger umsetzen. Infolgedessen haben sich die Hindernisse, die weniger versierte Cyberkriminelle davon abhalten, solche ehrgeizigen Operationen durchzuführen, stetig verringert.
Die Verfügbarkeit effektiver, kostengünstiger Marketingtechnologien und die zunehmende Verbreitung hochpräziser Übersetzungs-Apps wirken zusammen als Kraftverstärker, die es Akteuren im Bereich der Cyberbedrohungen ermöglichen, ihre Aktivitäten rasch auszuweiten und weltweit finanziell verheerende Kampagnen durchzuführen. Darüber hinaus hat das Aufkommen von maschinellem Lernen und die Einbindung dieser Technologie in Übersetzungstools zur Verbesserung von Kontext und Realismus es Angreifern erleichtert, KI-basierte Plattformen wie ChatGPT (öffnet in einem neuen Tab) für böswillige Zwecke zu manipulieren.
Die Spieler
Der Bericht von „Abnormal Intelligence“ konzentriert sich auf die Aktivitäten zweier mehrsprachiger BEC-Gruppen, von denen jede ihr eigenes Spezialgebiet hat.
Midnight Hedgehog (Spezialgebiet: weltweiter Zahlungsbetrug)
„Midnight Hedgehog“ bedient sich in erster Linie einer mittlerweile gängigen Taktik bei finanziell motivierten Social-Engineering-Betrugsfällen, bei der die Identitätsfälschung von Führungskräften von (öffnet in einem neuen Tab) genutzt wird, um Empfänger dazu zu verleiten, Zahlungen für nicht existente Dienstleistungen zu leisten – in der Regel, indem sich die Täter als CEO eines Unternehmens ausgeben.
Die Darsteller von „Midnight Hedgehog“ scheinen die Aufgaben und Verantwortlichkeiten, die mit den von ihren Zielpersonen ausgeübten Rollen verbunden sind, gründlich zu recherchieren. Sie verschaffen sich einen umfassenden Überblick über die Beziehung des Ziels zum Vorstandsvorsitzenden, um äußerst überzeugende gefälschte E-Mail-Konten zu erstellen, die echte Konten nachahmen.
Diese Angriffe richten sich in der Regel gegen Finanzmanager oder andere hochrangige Mitarbeiter, die für die Einleitung von Unternehmenstransaktionen zuständig sind, oder gegen untergeordnete oder unerfahrene Mitarbeiter, die ebenfalls befugt sind, finanzielle Entscheidungen zu treffen und Zahlungen im Namen des Unternehmens zu veranlassen.
Die Aktivitäten von „Midnight Hedgehog“ reichen Berichten zufolge mindestens bis ins Jahr „ Januar 2021“ zurück. Die Angriffe gingen von Konten aus, die bei einer Vielzahl von Anbietern kostenloser Webmail-Dienste wie Gmail, Yandex, Earthlink und Web.de gehostet wurden. Die von der Gruppe erstellten Domains wurden bei NameCheap oder GoDaddy registriert. Den Daten von „Abnormal Intelligence“ zufolge sind die Mitglieder der Gruppe in verschiedenen Ländern ansässig, darunter Großbritannien, die USA, Kanada und Nigeria.
Mandarin Capybara (Spezialgebiet: Angriffe zur Umleitung von Gehaltszahlungen weltweit)
Mandarin Capybara nutzt bei seinen Angriffen zudem eine Vielzahl von Sprachen, um sich als Führungskräfte des Unternehmens auszugeben. Der wesentliche Unterschied besteht jedoch darin, dass „Mandarin Capybara“ Lohnumleitungen vornimmt und nicht Zahlungsbetrug begeht. Dies beinhaltet, Mitarbeiter der Personalabteilung ins Visier zu nehmen und sie davon zu überzeugen, die Daten für die direkte Überweisung auf Konten, die unter der Kontrolle der Führungskraft stehen, zu ändern und diese Daten so anzupassen, dass sie denen eines Kontos entsprechen, das unter der Kontrolle der Angreifer steht.
Ein weiterer Unterschied zwischen den beiden Gruppen zeigt sich in den Zielauswahlmustern von Mandarin Capybara. Im Gegensatz zu „Midnight Hedgehog“, bei dem bislang ausschließlich Unternehmen in Europa mit nicht-englischsprachigen Nachrichten ins Visier genommen wurden, sind die Opfer von „Mandarin Capybara“ über ein weites geografisches Gebiet verstreut, sodass Unternehmen weltweit betroffen sind.
Was die ersten E-Mails von „Mandarin Capybara“ betrifft, so unterscheiden sich diese kaum von vielen der Vorlagen für Gehaltsumleitungen, die von BEC-Syndikaten tagtäglich verwendet werden. Der Angreifer erkundigt sich in der Regel, ob er sein Gehaltskonto aktualisieren darf, wobei die Änderungen noch vor dem nächsten Zahltag in Kraft treten sollen.
Interessanterweise berichtet „Abnormal Intelligence“, mehrere Fälle beobachtet zu haben, in denen die Gruppe eine BEC-Kampagne in einer Sprache startete, um kurz darauf von demselben E-Mail-Konto aus (wenn auch in einer zweiten Sprache) eine zweite Kampagne zu starten, die sich an eine andere Organisation richtete.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„BEC-Angriffe stehen seit sieben Jahren in Folge an erster Stelle als die Form der Cyberkriminalität, die den größten finanziellen Schaden verursacht. Daher ist CTI der Ansicht, dass jede Erkenntnis, die wir über die Vorgehensweise dieser speziellen Art von Cyberkriminellen gewinnen können, wertvolle Informationen darstellt – insbesondere wenn es sich um Gruppen wie diese handelt, die eine Affinität zur Innovation zeigen und nachweislich bestrebt sind, neuartige Taktiken, Techniken und Vorgehensweisen (TTPs) einzusetzen.“
„Leider gibt es weder einen Anbieter noch eine technische Lösung, die Sie und Ihr Unternehmen im Alleingang vor BEC-Angriffen schützen kann.“ „Geschichten wie die oben beschriebene verdeutlichen jedoch die stetig wachsende Bedeutung einer fundierten, rollenbasierten, zielgerichteten und regelmäßig durchgeführten Schulung und Sensibilisierung zum Thema Social Engineering.“
2. Hacker der Gruppe „RedEyes“ nutzen neue Malware, um Daten von Windows-Systemen und Mobiltelefonen zu stehlen
A recent report (opens in a new tab)by AhnLab Security Emergency Response Center (ASEC) dives into APT37’s latest campaign. APT37, also known as RedEyes, uses a new evasive M2RAT malware and steganography in its cyberespionage campaign.
APT37 is Eine von Nordkorea staatlich geförderte Gruppe, „ “ (öffnet in einem neuen Tab) , die seit mindestens 2012 Cyberspionagekampagnen durchführt. Die Gruppe hat bereits Opfer in Südkorea, Japan, Vietnam, Russland, Nepal, China, Indien, Rumänien, Kuwait und anderen Regionen des Nahen Ostens ins Visier genommen. Die Gruppe ist dafür bekannt, persönliche PC-Daten sowie Daten von Mobiltelefonen bestimmter Personen zu stehlen.
Kampagnenübersicht
Bei diesem Angriff nutzt APT37 eine alte EPS-Sicherheitslücke aus (CVE-2017-8291 (wird in einem neuen Tab geöffnet)) und setzt zudem Steganografie ein, um Schadcode zu verbreiten.
Die bei dem Angriff ausgenutzte Sicherheitslücke ist bereits einige Zeit her und wurde inzwischen behoben. Der Angreifer scheint den Angriff in dem Wissen durchgeführt zu haben, dass die betroffene Person eine veraltete Version verwendete und daher angreifbar war. Die im Rahmen der Kampagne identifizierte neue Malware wurde auf der Grundlage des Namens des bei dem Angriff genutzten Shared-Memory-Abschnitts als „ M2RAT (Map2RAT)“ bezeichnet.
Zu den Hauptfunktionen des M2RAT gehören Keylogging, Datenauslesung, das Starten und Beenden von Prozessen sowie Bildschirmaufnahmen. Die Backdoor speichert keine Keylogging-Daten und Bildschirmaufzeichnungen auf dem System des Opfers, sondern übermittelt diese an den C2 -Server des Angreifers, um keine Spuren auf dem System zu hinterlassen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Der in dieser Kampagne eingesetzte M2RAT weist einige interessante Merkmale auf. Besonders hervorzuheben ist die Nutzung eines Speicherbereichs, um den Datenaustausch mit dem C2 auf ein Minimum zu reduzieren. Diese Funktion erschwert Sicherheitsforschern die Analyse zusätzlich und zwingt sie dazu, diesen Speicherbereich ebenfalls zu untersuchen, um sich ein vollständiges Bild von den von der Malware verwendeten Befehlen zu verschaffen. Die APT37’s -fache Nutzung dieser Malware deutet eindeutig darauf hin, dass sie in der Lage ist, ihr Toolset kontinuierlich mit neuer Malware zu aktualisieren, um zu verhindern, dass ihre Kampagnen leicht aufgedeckt werden können.“
3. Entwickler sind das Ziel der Malware „ W4SP Stealer“ in bösartigen PyPI-Paketen
Als weiteres Beispiel für die Vielzahl von Bedrohungen, denen die Lieferkette von Open-Source-Software ausgesetzt ist, haben Sicherheits -Forscher bei Fortinet (wird in einem neuen Tab geöffnet) „mehrere neue 0-Day-Angriffe in den PyPI-Paketen (Python Package Index) durch den Malware-Autor ‘Core1337’ entdeckt, der die folgenden Pakete veröffentlicht hat: ‘3m-promo-gen-api’, ‚Ai-Solver-gen‘, ‚hypixel-coins‘, ‘httpxrequesterv2’ und ‚httpxrequester‘.“
Die Angriffe wurden in einem kurzen Zeitraum zwischen dem 27-29. Januar veröffentlicht. Die schädlichen Pakete enthielten jeweils W4SP Stealer (wird in einem neuen Tab geöffnet), bei dem es sich um eine Malware zum Diebstahl von Informationen handelt.
Details zum Angriff
Im PyPI-Repository – einem Software-Repository, das zur Bereitstellung von in der Programmiersprache Python erstellten Paketen dient – wurden fünf schädliche Pakete entdeckt. Damit soll es Entwicklern ermöglicht werden, bereits vorhandene Pakete zu finden, die verschiedenen Projektanforderungen entsprechen, wodurch Zeit und Aufwand eingespart werden.
Die Pakete wurden nach ihrer Entdeckung entfernt, jedoch nicht, bevor Hunderte von Entwicklern die mit Schadcode versehene Software heruntergeladen hatten. Nach Angaben von Forschern bei Fortinet wies jedes Paket eine Version und eine leere Beschreibung auf, und alle enthielten ähnlichen Schadcode.
Die Analyse von Fortinet ergab, dass die Pakete nach ihrer Installation versuchen, in Browsern, Cookies und Kryptowährungs-Wallets gespeicherte Passwörter zu stehlen. BleepingComputer bestätigte, dass es sich bei der in den schädlichen Paketen enthaltenen Malware zum Diebstahl von Informationen um den „ W4SP Stealer“ handelt – eine Variante von Malware zum Diebstahl von Informationen, die in Kampagnen, bei denen schädliche Softwarepakete in Open-Source-Software-Repositorys eingeschleust werden, besonders häufig zum Einsatz kommt (insbesondere , PyPI (wird in einem neuen Tab geöffnet),und ).
W4SP Dieb
Laut BleepingComputer entwendet die Malware Daten aus Browsern wie Chrome, Opera und Edge. Anschließend versucht das Programm, Authentifizierungs-Cookies von Discord, Discord Canary, Discord PTB und dem LightCord-Client zu extrahieren. Anschließend wird die Malware versuchen, die Kryptowährungs-Wallets „Atomic Wallet“ und „Exodus“ sowie die Cookies für das Spiel „The Nations Glory“ zu stehlen.
Die Malware zielt zudem auf eine Liste von Websites ab, um weitere sensible Nutzerdaten abzurufen, die Angreifern möglicherweise dabei helfen könnten, Konten zu stehlen.
Zu den betroffenen Websites gehören unter anderem die folgenden:
- Coinbase.com
- Gmail.com
- YouTube.com
- Instagram.com
- PayPal.com
- Telegram.com
- Hotmail.com
- Outlook.com
- Aliexpress.com
- ExpressVPN.com
- eBay.com
- Playstation.com
- Xbox.com
- Netflix.com
- Uber.com
Sobald genügend Daten vom kompromittierten Rechner gesammelt wurden, überträgt die Malware die gestohlenen Informationen über einen Discord-Webhook und veröffentlicht sie auf dem Server des Angreifers.
Laut BleepingComputer „ermöglichen Discord-Webhooks es Nutzern, Nachrichten mit Dateianhängen an einen Discord-Server zu senden, und werden häufig missbraucht, um Dateien, Discord-Token und andere Informationen zu stehlen.“
Als ob dies nicht schon schlimm genug wäre, stellten die Forscher von Fortinet zudem fest, dass die Malware „ W4SP “ über Funktionen verfügt, die Dateien auf bestimmte Schlüsselwörter überprüfen; werden diese gefunden, versucht die Malware, sie über den Dateiübertragungsdienst „transfer.sh“ zu stehlen. Diese Schlüsselwörter beziehen sich in erster Linie auf Finanzdienstleistungen: Bankpasswörter, PayPal-Daten, Daten im Zusammenhang mit Kryptowährungen sowie Dateien zur Multi-Faktor-Authentifizierung (MFA) unter .
Einige dieser Schlüsselwörter sind zudem auf Französisch – was auf eine mögliche Herkunftsregion des oder der hinter dem Angriff stehenden Angreifer hindeutet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Dieser Angriff zeichnet sich durch ein gewisses Maß an Effizienz aus. Einem Malware-Entwickler gelang es, mehrere Pakete zu veröffentlichen, die zwar alle unterschiedliche Namen trugen, jedoch ähnlichen Code enthielten, der darauf ausgelegt war, Angriffe auszuführen – in den meisten Fällen unter Verwendung eines einzigen Python-Skripts und von Discord-Webhooks. Dies sollte als weitere Mahnung dienen, dass Open-Source-Software-Repositorys wie PyPI keineswegs vor Missbrauch gefeit sind und noch weit davon entfernt sind, ausreichend gesichert zu sein.“
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
