In der Zusammenfassung dieser Woche präsentiert CTI die wichtigsten Erkenntnisse aus dem „Threat Horizons“-Bericht von Google Cloud für das dritte Quartal des Jahres 2023. Als Nächstes untersucht CTI den nordkoreanischen Nationalstaatsakteur „BlueNoroff“ und dessen Verbindung zu einer bislang nicht dokumentierten macOS-Malware namens „ObjCShellz“. CTI bietet zudem einen Überblick über „Predator AI“, einen neuen, auf Python basierenden Infostealer und Hack-Tool, der auf Cloud-Dienste abzielt.
1. Google Cloud veröffentlicht seinen Bericht „ Q3 Threat Horizons“
Der neueste „ : Threat Horizons“-Bericht von Google Cloud mit dem Titel „ “ (wird in einem neuen Tab geöffnet) für das dritte Quartal 2023 ist nun verfügbar und bietet cloudspezifische Forschungsergebnisse und Empfehlungen der Intelligence- und Sicherheitsteams des Unternehmens.
Bemerkenswert ist, dass der Bericht vor mehreren Angreifern warnt, die einen öffentlich zugänglichen Proof-of-Concept-Exploit (PoC) verbreiten, der den Google-Kalenderdienst nutzt, um eine C2 -Infrastruktur zu hosten.
Angreifer haben es auf Daten in der Cloud gehosteter SaaS-Dienste abgesehen
Da immer mehr Unternehmen auf cloudbasierte SaaS-Lösungen umsteigen, vergrößert sich die Angriffsfläche für Angreifer kontinuierlich. In den letzten Monaten hat Google beobachtet, dass Angreifer eine Reihe von Taktiken einsetzen, um Zugriff auf in der Cloud gehostete SaaS-Systeme zu erlangen und Daten aus diesen zu entwenden. Google beobachtet zudem Angriffe, bei denen Angreifer mehr als ein System gleichzeitig ausnutzen.
Google Kalender als Plattform für die „ C2 “-Infrastruktur nutzen
In dem Bericht wird zudem erwähnt, dass Angreifer zunehmend legitime Cloud-Dienste nutzen, um ihre schädliche Infrastruktur zu hosten. Dies liegt zum Teil daran, dass öffentliche Cloud-Dienste eine kostengünstige und zuverlässige Infrastruktur bieten, der Unternehmen vertrauen. Angreifer nutzen öffentliche Cloud-Dienste, um sich in große Mengen legitimen Datenverkehrs einzuschleusen und einer Entdeckung zu entgehen.
Seit mehreren Jahren missbrauchen Angreifer cloudbasierte Speicherdienste, um die Infrastruktur für ihre Kampagnen zu hosten, Malware zu verbreiten, als „Malware- C2“ zu fungieren und exfiltrierte Daten hochzuladen. Der Missbrauch von Google Kalender ist der neueste Trend. In „ Juni 2023“ veröffentlichte ein unabhängiger Entwickler auf GitHub einen Proof-of-Concept-Code für „Google Calendar RAT“. Google hat diesen Google-Kalender-RAT bislang noch nicht in freier Wildbahn entdeckt, hat jedoch festgestellt, dass mehrere Angreifer ihn in Untergrundforen verbreiten, was eindeutig auf ein gewisses Maß an Interesse hindeutet.
Dieses Tool nutzt Google-Kalender-Termine für C2 verschiedene Zwecke. Dadurch kann ein Angreifer Befehle in das Feld „Beschreibung“ von Kalenderterminen einfügen. Der Google-Kalender-RAT überprüft in regelmäßigen Abständen die Beschreibung des Kalendertermins auf neue Befehle, führt diese aus und aktualisiert die Terminbeschreibung mit der Befehlsausgabe.
Der Entwickler der Malware gibt an, dass diese ausschließlich über legitime Google-Infrastruktur kommuniziert, um einer Entdeckung zu entgehen.
Missbrauch durch Typosquatting auf Cloud-Speicherplattformen
Cyberkriminelle passen ihre Taktiken zunehmend an und nutzen nun auch Typosquatting-Angriffe auf Cloud-Speicherplattformen wie Google Cloud Storage, Amazon S3 und Azure Blob.
Die Namen von Cloud-Speichern sind über alle Cloud-Anbieter hinweg weltweit eindeutig, sind jedoch nicht speziell an eine Organisation gebunden. Aus diesem Grund kann ein Angreifer den Namen eines Unternehmens vortäuschen, sofern ein entsprechender Bucket-Name verfügbar ist. Ebenso kann ein Angreifer, falls die genaue Schreibweise eines Firmennamens nicht bekannt ist, auf einen Typosquatting-Angriff zurückgreifen. In einer Umfrage stellte Google fest, dass etwa 60 % der Unternehmen eine oder mehrere durch Typosquatting betroffene URLs für Cloud-Speicher hatten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Entdeckung des Google-Kalender-RAT-PoC – auch wenn dieser bislang noch nicht in freier Wildbahn beobachtet wurde – verdeutlicht das anhaltende Interesse daran, Cloud-Dienste zu missbrauchen, um sich im legitimen Datenverkehr zu tarnen.
In dem Bericht von Google werden im weiteren Verlauf verschiedene TTPs zur Kompromittierung von Cloud-Umgebungen behandelt. Interessant ist, dass ihre Daten darauf hindeuten, dass Opfer in der Cloud nicht durch bahnbrechend komplexe oder ausgefeilte Angriffe kompromittiert werden, sondern dass diese Angriffe häufig auf gängige und bekannte TTPs zurückzuführen sind. Dies hilft Sicherheitsverantwortlichen und Sicherheitsexperten dabei, zu verstehen, wo sie bei der Erkennung von Bedrohungen den Schwerpunkt setzen sollten.
2. BlueNoroff hackt macOS-Rechner mit der Malware „ObjCshellz“
Forscher der Jamf Threat Labs führen die Aktivitäten des nordkoreanischen staatlich gestützten Akteurs „ “ (BlueNoroff) (wird in einem neuen Tab geöffnet) auf eine bislang nicht dokumentierte macOS-Malware namens „ObjCShellz“ zurück. Die Malware wird im Rahmen der „RustBucket“-Malware-Kampagne eingesetzt, die erstmals in „ April 2023“ bekannt wurde.
Entdeckung und Hintergrund
Jamf hat kürzlich eine neue Malware-Variante namens „ “ namens „ObjCShellz“ identifiziert: (wird in einem neuen Tab geöffnet). Das Unternehmen führt diese auf die APT-Gruppe „BlueNoroff“ zurück. Es wird angenommen, dass BlueNoroff eine untergeordnete Einheit der Lazarus-Gruppe ist und in der Regel finanziell motivierte Angriffe durchführt. Der Schauspieler greift regelmäßig Unternehmen aus dem Bereich des Risikokapitals, Banken und Kryptowährungsbörsen an.
Jamf entdeckte die neue Malware-Variante im Rahmen einer routinemäßigen Bedrohungssuche. In diesem Fall wurde eine Mach-O-Universal-Binärdatei identifiziert, die mit einer Domain kommunizierte, die zuvor als bösartig eingestuft worden war. Die ausführbare Datei wurde bei ihrer ersten Entdeckung auf VirusTotal nicht als schädlich erkannt.
Die Binärdatei „ProcessRequest“ ist ad hoc signiert und es wurde festgestellt, dass sie mit swissborg[.]blog kommuniziert. Die Malware teilt die URL „ C2 “ in zwei separate Zeichenfolgen auf, die miteinander verknüpft werden, um einer statischen Erkennung zu entgehen. Diese Domain steht im Zusammenhang mit anderen Aktivitäten, die zuvor mit BlueNoroff in Verbindung gebracht wurden – insbesondere mit der „ “-Kampagne von RustBucket: (wird in einem neuen Tab geöffnet),und .
BlueNoroffs Verbindung zu „RustBucket“
Im Rahmen der „RustBucket“-Kampagne nimmt der Angreifer Kontakt zu einem Opfer auf und gibt vor, an einer Zusammenarbeit interessiert zu sein oder ihm etwas anzubieten, wobei er sich als Investor oder Personalvermittler ausgibt.
BlueNoroff richtet daraufhin eine Domain ein, die den Anschein erweckt, als gehöre sie zu einem seriösen Kryptounternehmen, um sich in vertrauenswürdige Netzwerkaktivitäten einzufügen. Die Domain «swissborg» steht im Einklang mit dieser Tätigkeit, da «swissborg» von einer seriösen Kryptowährungsbörse genutzt wird.
Die Domain „swissborg[.]blog“ wurde im Jahr Mai 2023 registriert und es wurden mehrere weitere URLs aufgedeckt, die für die Kommunikation der Malware genutzt wurden. Die Domain wird zudem auf eine IP-Adresse aufgelöst, die zuvor mit von BlueNoroff verwendeter Malware in Verbindung gebracht wurde.
Technische Details
- Die Schadsoftware ist in Objective-C programmiert. Es handelt sich um eine recht einfache Remote-Shell, deren Zweck darin besteht, vom Angriffsserver gesendete Shell-Befehle auszuführen.
- Der Erstzugriff ist derzeit noch nicht bestätigt, da die Malware in einer späteren Phase dazu verwendet wird, Befehle manuell auszuführen, nachdem das System kompromittiert wurde.
- Die Malware unterscheidet sich von anderen Varianten der „RustBucket“-Kampagne, scheint jedoch dennoch eine grundlegende Remote-Shell-Funktionalität zu bieten.
- Bei der Ausführung ruft die Malware eine Funktion namens „sendRequest“ auf, um eine POST-Anfrage an eine fest programmierte Swissborg-URL zu senden. Anschließend sammelt das Programm Informationen über den Malware-Prozess selbst, bevor es die macOS-Version ermittelt.
- Die Hauptfunktion des Programms besteht darin, eine Instanz der Klasse „ProcessRequest“ zu initialisieren, bevor ein sich wiederholender Timer eingerichtet wird. Der Timer löst in regelmäßigen Abständen die Methode „sendRequest“ aus, um sicherzustellen, dass in regelmäßigen Abständen Netzwerkanfragen erfolgen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Malware scheint in ihren Funktionen begrenzt zu sein: Sie bietet lediglich eine einfache Remote-Shell und führt die empfangenen Shell-Befehle aus. Aufgrund ihrer Einfachheit und des Mangels an verfügbaren Daten bezüglich des Erstzugriffs wird davon ausgegangen, dass sie als Malware in einer späteren Phase auf einem bereits kompromittierten System eingesetzt wird.
Dennoch ist es wichtig, die verschiedenen TTPs zu verstehen, die BlueNoroff üblicherweise einsetzt. Indem Sie sich mit den TTPs vertraut machen, ist es möglich, böswillige Aktivitäten bereits lange vor dem Einsatz von ObjCShellz zu erkennen.
3. Von ChatGPT gesteuerter Infostealer zielt auf Cloud-Plattformen ab
Forscher haben einen Python-basierten Infostealer namens „ “ (öffnet in einem neuen Tab) sowie ein Hack-Tool namens „Predator AI“ entdeckt, das auf Cloud-Dienste abzielt.
Der Entwickler von Predator AI hat eine ChatGPT-gesteuerte Klasse in das Python-Skript integriert, um die Bedienung des Tools zu vereinfachen und eine einheitliche, textbasierte Schnittstelle zwischen den einzelnen Funktionen zu schaffen. Der Infostealer scheint zwar noch nicht einsatzbereit zu sein, verdeutlicht jedoch, wie Angreifer beginnen, KI auf realistische Weise in ihre Arbeitsabläufe zu integrieren, um diese zu optimieren.
Was ist Predator AI?
Für „Predator AI“ wird auf verschiedenen Telegram-Kanälen geworben, die sich mit Hacking befassen. Sein Hauptzweck besteht darin, Angriffe auf Webanwendungen zu ermöglichen, die auf eine Reihe von Technologien abzielen, darunter Content-Management-Systeme und Cloud-E-Mail-Dienste wie Amazon Simple Email Service (SES). Es handelt sich um ein vielseitiges Tool, das sich noch in der aktiven Entwicklung befindet.
Technische Details zu Predator AI
- „Predator“ ist eine Python-Anwendung mit über 11 000 Codezeilen.
- Es wird über eine auf Tkinter basierende grafische Benutzeroberfläche ausgeführt. Es gibt keinen eigenständigen Befehlszeilenmodus, wodurch sich das Programm von vielen anderen ähnlichen Tools unterscheidet.
- Das Skript enthält 13 definierte globale Klassen, die verschiedene Funktionen unterteilen. Dazu gehören unter anderem das Aufblähen der Dateigröße, das Erzeugen gefälschter Fehlermeldungen, das Erstellen eines Infostealers als Windows-PE, das Abfragen der OpenAI-API und vieles mehr.
- Die Web-App-Angriffe von Predator suchen nach gängigen Schwachstellen, Fehlkonfigurationen und Sicherheitslücken. Es richtet sich an Technologien wie Drupal, Joomla, Laravel, Magento, OpenCart, osCommerce, PrestaShop, vBulletin und WordPress.
Die Klasse GPTj
Die Klasse „GPTj“ enthält die eigentlichen Funktionen der Predator-KI. Diese Funktion ist eine chatähnliche Textverarbeitungsschnittstelle, die dem Benutzer Zugriff auf die Funktionen von Predator gewährt. Es sucht zunächst nach lokalen Lösungen, bevor die OpenAI-API abgefragt wird, um den API-Verbrauch zu reduzieren.
Die Klasse „GPTj“ durchsucht die Benutzereingabe nach Zeichenfolgen, die mit einem bekannten Anwendungsfall in Verbindung stehen. Sentinel One hat über 100 Fälle festgestellt, in denen Predator die Daten entweder intern oder über einen kostenlosen Drittanbieter-Dienst verarbeitet hat. Die Klasse enthält zudem einige teilweise implementierte Hilfsfunktionen, die sowohl AWS SES als auch Twilio betreffen, sowie Hilfsfunktionen zum Erfassen von Informationen über IP-Adressen und Telefonnummern. Predator fragt die ChatGPT-API nur dann ab, wenn kein Testfall zur Verarbeitung der empfangenen Eingabe vorhanden ist.
AWS-Funktionen
Diese Kernfunktion ist derzeit im Skript enthalten. Es stehen jedoch keine AWS-bezogenen Funktionen zur Verfügung. Sentinel One geht davon aus, dass dies wahrscheinlich daran liegt, dass sich die Funktionen noch in der Entwicklung befinden.
Das Skript überprüft die Eingabe auf das Vorhandensein von „aws.c“ und ruft, falls vorhanden, die folgenden Funktionen auf:
- Überprüfen Sie alle E-Mail-Konten in einer AWS SES-Umgebung.
- Überprüfen Sie die Versandkontingente.
- Erstellen Sie ein neues Konto, weisen Sie Administratorrechte zu und löschen Sie das alte Konto.
Über die Klasse „StealerBuilder“
Die Klasse „StealerBuilder“ enthält die Konfigurationsvariablen, die zum Erstellen eines Infostealers erforderlich sind. Im vergangenen Monat veröffentlichte der Entwickler ein Video, in dem der Erstellungsprozess dieses Stealers detailliert beschrieben wird. Der Entwickler bestätigte zudem, dass die ausführbare Datei vollständig unauffindbar ist.
Der Stealer kann so konfiguriert werden, dass er für seine C2 -Kommunikation entweder Discord- oder Telegram-Webhooks verwendet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Angesichts des großen Interesses an KI und großen Sprachmodellen (LLM) ist das Aufkommen von etwas wie „Predator AI“ durchaus zu erwarten.
Zwar stellt dieses Tool einen Schritt in Richtung einer verstärkten Nutzung von KI durch Angreifer dar, doch ist Predator AI nur bedingt funktionsfähig. Wie Sentinel One feststellt, führt die Integration zum gegenwärtigen Zeitpunkt nicht zu einer wesentlichen Erweiterung der Möglichkeiten eines Angreifers.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
