Den Auftakt in unserem Wochenrückblick bildet ein Blick auf eine bahnbrechende gemeinsame Cybersicherheitswarnung zur Malware „Snake“ – die als das ausgefeilteste Cyberspionage-Tool beschrieben wird, das jemals aus dem Zentrum 16 des russischen Föderalen Sicherheitsdienstes (FSB) hervorgegangen ist. Anschließend analysiert CTI einen Bericht von Meta, aus dem hervorgeht, dass die Zahl der Malware-Programme, die sich als ChatGPT ausgeben, auf den verschiedenen Plattformen des Unternehmens zugenommen hat. Abschließend untersucht CTI einen Sicherheitshinweis von Cisco Talos, in dem eine neue „Phishing-as-a-Service“-Plattform (PhaaS) namens „Greatness“ beschrieben wird, die auf Unternehmen abzielt, die Microsoft 365 einsetzen.
1. Die CISA veröffentlicht eine gemeinsame Cybersicherheitsempfehlung, in der die Aktivitäten der „Snake“-Malware detailliert beschrieben werden
Die Cybersecurity and Infrastructure Security Agency (CISA) hat einen gemeinsamen Bericht zur Cybersicherheit veröffentlicht, der in Zusammenarbeit mit dem Justizministerium (DoJ), dem FBI, der NSA, der Cyber National Mission Force (CNMF) des USCYBERCOM, dem britischen National Cyber Security Centre (NCSC), dem australischen Australian Cyber Security Centre (ACSC), dem kanadischen Centre for Cyber Security und dem neuseeländischen National Cyber Security Centre erstellt wurde.
Der Bericht liefert umfangreiche Hintergrundinformationen zur Malware „ Snake“ (wird in einem neuen Tab geöffnet), die als „das ausgefeilteste Cyberspionage-Tool, das vom Zentrum 16 des russischen Föderalen Sicherheitsdienstes (FSB) entwickelt und eingesetzt wird“ beschrieben wird.
In nachfolgenden Pressemitteilungen der NSA und des Justizministeriums werden die behördenübergreifenden Bemühungen der oben genannten Organisationen beschrieben, die operative Infrastruktur von „Snake“ aufzudecken und zu zerschlagen.
Was ist die „Snake“-Malware?
Laut BleepingComputer wurde „Snake“ ursprünglich unter den Namen „ “, „Uroburos“ (öffnet in einem neuen Tab) erfasst, wobei die Entwicklung Berichten zufolge bereits Ende 2003 begann und die ersten fertigen Versionen des Implants Anfang des folgenden Jahres fertiggestellt wurden. Bald darauf folgten Spionageangriffe mit dieser Malware, die Hackern zugeschrieben wurden, die vom russischen Staat unterstützt werden.
Die CISA führt die Raffinesse von „Snake“ auf drei wesentliche Aspekte zurück.
- Snake zeichnet sich durch ein außergewöhnlich hohes Maß an Unauffälligkeit in seinen Host-Komponenten und bei der Netzwerkkommunikation aus.
- Die interne technische Architektur von Snake ermöglicht die einfache Integration neuer oder Ersatzkomponenten. Dies erleichtert zudem die Entwicklung und Interoperabilität von Snake-Instanzen, die auf verschiedenen Host-Betriebssystemen ausgeführt werden. Die Autoren haben interoperable „Snake“-Implantate beobachtet, die für die Betriebssysteme Windows, macOS und Linux konzipiert sind.
- Snake zeichnet sich durch eine sorgfältige Konzeption und Umsetzung im Bereich der Softwareentwicklung aus. Das Implantat weist nur sehr wenige Fehler auf.
Zur beträchtlichen Wirksamkeit des Implantats trägt zudem die Fähigkeit seiner FSB-Entwickler bei, neue Funktionen und Techniken rasch zu implementieren – als Reaktion auf öffentlich zugängliche Berichte über die Taktiken, Techniken und Vorgehensweisen (TTPs) von „Snake“.
Die Verfasser der gemeinsamen Stellungnahme führen die fortlaufenden Modifikationen von „Snake“ als wiederkehrendes Hindernis für die Identifizierung und Erfassung von „Snake“ und den damit verbundenen Artefakten an – was letztendlich alle ernsthaften Bemühungen um die Entwicklung zuverlässiger Erkennungsmechanismen, die mit host- und netzwerkbasierten Abwehrtools genutzt werden könnten, zunichte macht.
Die Entwicklung eines Cyber-Spionage-Implantats, das so effektiv und überraschend langlebig ist wie „Snake“, hängt in erster Linie von dessen Fähigkeit ab, langfristig unentdeckt zu bleiben. Malware dieser Art ist für Spionagekampagnen konzipiert, bei denen es darum geht, über Monate oder sogar Jahre hinweg unentdeckt auf dem Zielsystem zu verbleiben, um einen kontinuierlichen Zugriff auf wertvolle Informationen zu gewährleisten und deren Erfassung bzw. Exfiltration zu erleichtern.
Vor diesem Hintergrund ist „Snake“ das „einzigartig ausgefeilte“ Ergebnis einer entschlossenen Initiative des FSB, deren Ziel es ist, den verdeckten Zugang zu hochrangigen Zielen auf unbestimmte Zeit zu ermöglichen, um den nachrichtendienstlichen Anforderungen (IRs) gerecht zu werden.
Wer ist für die „Snake“-Malware verantwortlich?
Die Mitverfasser der gemeinsamen Stellungnahme führen die „Snake“-Operationen auf „eine bekannte Einheit innerhalb des Zentrums 16 des FSB“ zurück.
Abgesehen von „Snake“ soll diese Einheit Berichten zufolge Zugriff auf verschiedene andere Komponenten des Tool-Sets haben, von dem angenommen wird, dass es der berüchtigten, von Russland unterstützten Hackergruppe „Turla“ gehört. Snake ist seit jeher fester Bestandteil ihres Instrumentariums – was den erheblichen Einfluss des Implantats auf zahlreiche Aspekte der aktuellen Cyberoperationen des FSB verdeutlicht.
In dem Gutachten wird festgestellt, dass „Snake“ fast ebenso lange ein zentraler Bestandteil der Operationen von „Center 16’s “ war, wie die Einheit bereits unter der Schirmherrschaft des FSB tätig ist.
Viktimologie der „Snake“-Malware
Im Zuge der Ermittlungen wurde Infrastruktur im Zusammenhang mit dem Betrieb in mehr als 50 Ländern in Nordamerika, Südamerika, Afrika, Europa, Asien und Australien entdeckt – darunter auch in den USA und in Russland.
Betroffen waren in den USA ansässige Organisationen aus verschiedenen Branchen, darunter das Bildungswesen, die Privatwirtschaft, die Medien sowie Sektoren, die als kritische Infrastruktur eingestuft werden, wie beispielsweise staatliche Einrichtungen, Finanzdienstleistungen, das verarbeitende Gewerbe und die Telekommunikation.
Aus der gemeinsamen Stellungnahme:
Obwohl Snake Infrastruktur aus allen Branchen nutzt, ist seine Zielausrichtung zielgerichtet und taktischer Natur. Wenn beispielsweise ein infiziertes System nicht auf die Snake-Kommunikation reagierte, infizierten die FSB-Akteure es innerhalb weniger Tage gezielt erneut. Weltweit hat der FSB „Snake“ eingesetzt, um sensible Informationen von Zielen mit hoher Priorität zu sammeln, darunter Regierungsnetzwerke, Forschungseinrichtungen und Journalisten.
Snake-Methodik
Eine eidesstattliche Erklärung von „ “ (wird in einem neuen Tab geöffnet) sowie ein Durchsuchungsbefehl von „ “ (wird in einem neuen Tab geöffnet) zeigen, dass US-Regierungsbehörden Snake sowie damit verbundene Malware und Operationen über den größten Teil der letzten 20 Jahre hinweg überwacht haben – eine Maßnahme, die auch die genaue Beobachtung der Turla-Hacker umfasste, als diese Snake von einer FSB-Einrichtung in Russland aus einsetzten.
Diese und weitere gemeinsame Initiativen haben wichtige Einblicke in die Architektur von „Snake“ sowie in andere Werkzeuge und TTPs geliefert, die bei Einsätzen mit dem Implantat zum Einsatz kamen.
Aus der gemeinsamen Stellungnahme:
Der FSB setzt „Snake“ in der Regel auf nach außen gerichteten Infrastrukturknoten eines Netzwerks ein und nutzt von dort aus weitere Tools und TTPs im internen Netzwerk, um zusätzliche Ausnutzungsoperationen durchzuführen. Sobald der FSB sich Zugang zu einem Zielnetzwerk verschafft und diesen gefestigt hat, führt er in der Regel eine Bestandsaufnahme des Netzwerks durch und versucht, Administratorzugangsdaten zu erlangen sowie Zugriff auf Domänencontroller zu erhalten. Es wurde eine Vielzahl von Mechanismen eingesetzt, um Anmeldedaten von Benutzern und Administratoren zu sammeln und sich so seitlich im Netzwerk auszubreiten; dazu zählen Keylogger, Netzwerksniffer und Open-Source-Tools.
Die Operationen werden von FSB-Hackern ermöglicht, die zuvor eine Netzwerkaufklärung durchführen – dabei erfassen sie die Netzwerke und beschaffen sich die erforderlichen Zugangsdaten für die Domänen der Zielobjekte.
„Snake“ ist als Instrument zur Informationsbeschaffung so effektiv, dass seine Betreiber nur selten zusätzliche, „schwergewichtige“ Implantate einsetzten; stattdessen verließen sie sich in erster Linie auf leichtgewichtige interne Fernzugriffstools und gelegentlich auf kleine, ferngesteuerte Reverse-Shells, um die interaktiven Funktionen von „Snake“ zu unterstützen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Nicht zuletzt dienen die Enthüllungen in der gemeinsamen Mitteilung sowie in den verschiedenen Pressemitteilungen von „ “ – (öffnet in einem neuen Tab),und –, die sich mit der Zerschlagung der globalen Malware-Infrastruktur von „Snake“ durch ein Team aus multinationalen Cybersicherheits- und Strafverfolgungsbehörden befassen, als eindringliche Mahnung in zweierlei Hinsicht:
- Erstens agieren die staatlich geförderten Hacker und Malware-Entwickler aus Russland auf einem Niveau, das mit dem vieler der derzeit führenden Softwarehersteller vergleichbar ist. Dies zeigt sich in der Komplexität, der Langlebigkeit und der überragenden Wirksamkeit von Snake.
- Zweitens ist offensichtlich, dass die US-Geheimdienste eine aggressivere Haltung gegenüber Cyberkriminellen (ob staatlich unterstützt oder nicht) einnehmen, die von ausländischem Boden aus operieren.“
2. Hacker nutzen ChatGPT-Köder, um Malware auf Facebook zu verbreiten
Meta, die Muttergesellschaft von Facebook, stellt einen Anstieg (wird in einem neuen Tab geöffnet) von Malware fest, die sich auf allen ihren Plattformen als ChatGPT tarnt.
Seit dem März 2023 hat das Sicherheitsteam von Meta 10 Malware-Familien aufgedeckt, die ChatGPT und andere KI-bezogene Themen nutzen, um Malware zu verbreiten. Zu diesen Malware-Familien gehören Ducktail und
NodeStealer greift seine Opfer über bösartige Browser-Erweiterungen, Werbeanzeigen und verschiedene Social-Media-Plattformen an.
Hier sind einige wichtige Erkenntnisse:
- In den vergangenen Monaten hat Meta mehrere Malware-Varianten untersucht und Maßnahmen gegen diese ergriffen, die das Interesse der Bevölkerung an ChatGPT und KI-bezogenen Funktionen ausnutzten. Die jüngsten von Meta beobachteten Versuche richteten sich nicht nur gegen Facebook, sondern umfassten auch Dateifreigabedienste wie Dropbox, Google Drive, Mega, MediaFire, Discord, Trello von Atlassian, OneDrive und iCloud, um dort Malware zu hosten.
- In einem von Meta beobachteten Fall entwickelte der Angreifer schädliche Browser-Erweiterungen, die in offiziellen Web-Stores angeboten wurden und angeblich auf ChatGPT basierende Tools bereitstellten. Diese Browser-Erweiterungen wurden anschließend auf Social-Media-Seiten und über gesponserte Suchergebnisse beworben, um die Opfer dazu zu verleiten, Malware herunterzuladen.
- In einigen Fällen enthielten die Erweiterungen neben der Malware auch legitime ChatGPT-Funktionen. Als Reaktion darauf hat Meta die Verbreitung von mehr als 1.000 eindeutigen, ChatGPT-bezogenen bösartigen URLs auf seinen Plattformen unterbunden.
Was ist die „Ducktail“-Malware?
Die Malware „Ducktail“ ist bereits seit geraumer Zeit im Umlauf und wurde entwickelt, um Browser-Cookies zu stehlen und nicht authentifizierte Facebook-Sitzungen auszunutzen. Zudem zielt die Malware auf LinkedIn ab, um Opfer durch Social Engineering dazu zu verleiten, Malware herunterzuladen, und nutzt Datei-Hosting-Dienste, um ihre Malware zu hosten.
Meta hat im Laufe der Jahre verschiedene Varianten von Ducktail nachverfolgt und blockiert. In der neuesten Version begannen die Betreiber von Ducktail, Anfragen nach werbebezogenen Aktionen, die von Angreifern gesendet wurden, automatisch mit Administratorrechten für das Unternehmen zu versehen, um ihre Abläufe zu beschleunigen.
Was ist die Malware-Variante „NodeStealer“?
Meta hat kürzlich eine neue, bisher unbekannte Malware-Variante namens „NodeStealer“ entdeckt und unschädlich gemacht. Bei „ Januar 2023“ stellte das Sicherheitsteam fest, dass die Malware auf Internetbrowser auf Windows-Geräten abzielte, um Cookies sowie gespeicherte Benutzernamen und Passwörter zu stehlen. NodeStealer ist eine maßgeschneiderte JavaScript-Malware, die vermutlich vietnamesischen Ursprungs ist.
Meta ergriff Maßnahmen, um NodeStealer zu unterbinden, angeblich innerhalb von zwei Wochen nach dessen Einsatz. Sie reichten mehrere Anträge auf Entfernung bei externen Registrierstellen, Hosting-Anbietern und Anwendungsdiensten ein, die von diesen Angreifern ins Visier genommen worden waren. Nach Angaben von Meta führten diese Maßnahmen dazu, dass die Malware erfolgreich unschädlich gemacht wurde.
NodeStealer wird in der Regel als getarnte PDF- oder Excel-Datei mit einem entsprechenden legitimen Symbol und Dateinamen verbreitet, um Nutzer dazu zu verleiten, die schädliche Datei zu öffnen.
Sein Ziel ist es, gespeicherte Passwörter und Cookie-Sitzungsdaten aus Chromium-basierten Browsern zu stehlen. Die Malware zielt auf die Browser Chrome, Opera, Microsoft Edge und Brave ab, um an diese Informationen zu gelangen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Das Interesse der Öffentlichkeit an ChatGPT und KI-bezogenen Technologien nimmt weiter zu, weshalb es nur folgerichtig ist, dass Angreifer alles daran setzen, dieses wachsende Interesse auszunutzen.“
„Meta gibt an, die Malware-Familie ‚NodeStealer‘ zerschlagen zu haben, und obwohl dies zweifellos positiv zu bewerten ist, ist es nur eine Frage der Zeit, bis die nächste ChatGPT-bezogene Cyberaktivität auftritt.“
3. Ein neues „Phishing-as-a-Service“-Tool taucht in freier Wildbahn auf
Cisco Talos hat eine Sicherheitswarnung veröffentlicht, in der eine neue „ “-Phishing-as-a-Service-Plattform (PhaaS) (wird in einem neuen Tab geöffnet) namens „Greatness“ näher beschrieben wird.
Es wurde festgestellt, dass diese Plattform Organisationen ins Visier nimmt, die Microsoft 365 nutzen, wobei sich viele Opfer in den USA befinden. Der Dienst umfasst Funktionen, die die E-Mail-Adresse des Opfers vorab ausfüllen und automatisch das entsprechende Firmenlogo sowie das Hintergrundbild anzeigen, die von der echten Microsoft 365 -Anmeldeseite der Organisation extrahiert wurden.
Das Phishing-Kit arbeitet mit der Greatness-API zusammen, um Informationen vom Opfer abzufragen, und versucht, sich in Echtzeit auf der legitimen Microsoft- 365 -Seite anzumelden.
Was ist die „Greatness PhaaS“-Plattform?
Seit mindestens Mitte 2022 wurde „Greatness“ in zahlreichen verschiedenen Phishing-Kampagnen festgestellt, wobei Spitzenwerte bei Dezember 2022 und März 2023 zu verzeichnen waren. Es umfasst Funktionen, die denen einiger der fortgeschritteneren PhaaS-Angebote von ähneln, darunter Multi-Faktor-Authentifizierung (MFA) Bypass, IP-Filterung sowie die Integration mit Telegram-Bots.
Derzeit konzentriert sich das Tool auf Microsoft- 365 -Seiten und stellt seinen Partnern einen Anhang- und Link-Generator zur Verfügung, mit dem sie äußerst überzeugende Anmeldeseiten erstellen können. Wie bereits erwähnt, ist die Seite in der Lage, die E-Mail-Adresse des Opfers automatisch einzutragen und das entsprechende Firmenlogo sowie das Hintergrundbild anzuzeigen, die von der legitimen Anmeldeseite extrahiert wurden. Dies macht Greatness für Angreifer attraktiv, die es auf Geschäftsanwender mit Phishing-Angriffen abgesehen haben.
Partner, die „Greatness“ nutzen, müssen ein bereitgestelltes Phishing-Kit mit einem API-Schlüssel bereitstellen und konfigurieren, wodurch auch unerfahrene Angreifer den Dienst ausnutzen können. Das Phishing-Kit und die API fungieren als Proxy für das Microsoft- 365 -Authentifizierungssystem und führen einen Man-in-the-Middle-Angriff durch, um die Anmeldedaten oder Cookies des Opfers zu stehlen.
„The Greatness PhaaS“ besteht aus drei Komponenten, darunter ein Phishing-Kit mit dem Admin-Panel, die Service-API sowie ein Telegram-Bot oder eine E-Mail-Adresse.
Aktivität und Viktimologie
- „Greatness“ scheint Mitte 2022 erstmals aufgetaucht zu sein, was sich an Spitzenwerten bei „ Dezember 2022 “ und „März 2023“ zeigt, gemessen an der Anzahl der auf VirusTotal verfügbaren Anhangsproben.
- Jede der untersuchten Kampagnen weist einen leicht unterschiedlichen geografischen Schwerpunkt auf. Allerdings hatten über 50 % aller Zielunternehmen ihren Sitz in den USA.
- „Greatness“ zielt darauf ab, Microsoft- 365 -Benutzer zu kompromittieren, wodurch der Kreis potenzieller Opfer sehr groß ist. Den Untersuchungen von Cisco Talos zufolge waren die Branchen Fertigung, Gesundheitswesen und Technologie am stärksten von Greatness betroffen.
Ein Blick auf den Angriffsablauf von „Greatness“
Der Angriffsablauf einer Kampagne, an der „Greatness“ beteiligt ist, beginnt damit, dass ein Opfer eine bösartige E-Mail erhält. Diese E-Mails enthalten in der Regel eine HTML-Datei als Anhang und verleiten das Opfer dazu, diese zu öffnen.
Wenn das Opfer die HTML-Datei öffnet, führt der Webbrowser einen kurzen, verschleierten JavaScript-Code aus, um eine Verbindung zum Server des Angreifers herzustellen. Über diese Verbindung kann „Greatness“ den HTML-Code der Phishing-Seite abrufen und ihn dem Nutzer im selben Browserfenster anzeigen. Der Code enthält ein unscharfes Bild und ein sich drehendes Rad, was den Eindruck erweckt, dass das Dokument gerade geladen wird. Die Seite leitet das Opfer auf eine Anmeldeseite von „Microsoft 365 “ weiter, auf der bereits die E-Mail-Adresse des Opfers sowie der entsprechende, von dessen Unternehmen verwendete individuelle Hintergrund bzw. das Logo voreingestellt sind.
Nachdem das Opfer sein Passwort eingegeben hat, versucht „Greatness“, sich mit den Zugangsdaten des Opfers bei „Microsoft 365 “ anzumelden. Falls das Opfer die MFA aktiviert hat, fordert der Dienst das Opfer zur Authentifizierung auf.
Wenn der Dienst die MFA-Anfrage erhält, gibt er hinter den Kulissen weiterhin vor, das Opfer zu sein, schließt den Anmeldevorgang ab und erfasst die authentifizierten Sitzungs-Cookies. Diese Informationen werden anschließend an den Servicepartner über dessen Telegram-Kanal oder direkt über das Web-Panel übermittelt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Das Interessanteste am Greatness PhaaS ist, dass es nicht wie beim herkömmlichen Phishing lediglich beim Diebstahl von Zugangsdaten endet.“ „Greatness übermittelt die gestohlenen Anmeldedaten in Echtzeit an die legitime Microsoft-Anmeldeseite, wodurch der Angreifer sofortigen Zugriff auf das Konto des Opfers erhält.“
„Es liegen noch nicht allzu viele Informationen darüber vor, wie die „Greatness“-E-Mail-Köder aussehen, doch CTI wird Sie auf dem Laufenden halten, sobald weitere Informationen bekannt werden.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne teilen möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyberbedrohungen im Rahmen der „ “.
