In der Zusammenfassung dieser Woche befasst sich CTI mit den häufigsten Sicherheitslücken bei Kaspersky im ersten Quartal des Jahres 2024. Anschließend untersucht CTI die als „HijackLoader“ bekannte modulare Malware, die sich seit ihrem Auftauchen im vergangenen Jahr weiterentwickelt hat. Abschließend fasst CTI die wichtigsten Erkenntnisse aus dem Bericht „State of Pentesting 2024 “ von Cobalt zusammen.
1. Kaspersky veröffentlicht die wichtigsten Trends bei Exploits und Sicherheitslücken im Jahr Q1 2024
Der neueste Bericht von Kaspersky mit dem Titel „ “ befasst sich mit den häufigsten Sicherheitslücken im Zeitraum von 2023 bis zum ersten Quartal 2024.
Die Forscher von Kaspersky haben analysiert, welche dieser Sicherheitslücken am häufigsten ausgenutzt wurden, um Trends hinsichtlich der Ziele von APTs aufzudecken.
Registrierte Sicherheitslücken
Laut Kaspersky nimmt die Zahl der als CVEs registrierten Sicherheitslücken von Jahr zu Jahr zu.
- Ein Faktor, der dazu beiträgt, ist das Wachstum von Bug-Bounty-Plattformen, die dazu beitragen, Schwachstellen zu identifizieren und aufzudecken.
- Ein weiterer Faktor ist die kontinuierliche Entwicklung neuer Anwendungen sowie die Aktualisierung bestehender Anwendungen, die jeweils eigene Sicherheitslücken mit sich bringen.
Nicht nur die Anzahl der CVEs steigt von Jahr zu Jahr, auch der Anteil kritischer Sicherheitslücken nimmt zu.
Weitere Erkenntnisse aus dem Bericht von Kaspersky
Kaspersky wertete öffentliche Quellen, registrierte CVEs sowie eigene Telemetriedaten aus, um Schlussfolgerungen und Statistiken hinsichtlich der Ausnutzung von Sicherheitslücken zu erstellen. Sie stellten fest, dass die Zahl der Windows-Nutzer, bei denen Sicherheitslücken ausgenutzt wurden, konstant blieb, während bei Linux-Nutzern ein Anstieg der Ausnutzung von Sicherheitslücken zu verzeichnen war.
Bei der Untersuchung der ausgenutzten Sicherheitslücken stellten sie fest, dass es einige Kategorien gab, die für Angreifer von besonderem Interesse waren. Dazu gehören Browser, Betriebssysteme, Microsoft Exchange, Microsoft SharePoint und die Microsoft Office-Suite.
Betrachtet man ausschließlich kritische Sicherheitslücken, so betrafen die am häufigsten ausgenutzten Sicherheitslücken Betriebssysteme, auf die 50 % entfielen.
Ausnutzung von Sicherheitslücken bei APT-Angriffen
Kaspersky hat festgestellt, dass viele APTs bei ihren Angriffen die Ausnutzung von Sicherheitslücken nutzen. Zu den am häufigsten ausgenutzten Sicherheitslücken im ersten Quartal des Jahres 2024 gehörten CVE-2023-38831 (WinRAR), CVE-2017-11882 (MS Office) und CVE-2017-0199 (MS Office).
Kaspersky stellte zudem fest, dass zu den häufigsten Angriffspunkten anfällige Fernzugriffsdienste, anfällige Zugriffskontrollfunktionen und anfällige Office-Anwendungen zählen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Zunahme der Ausnutzung von Sicherheitslücken ist ungebrochen und scheint in absehbarer Zeit nicht nachzulassen.
Aus dem Bericht von Kaspersky geht hervor, dass Angreifer und APTs häufig versuchen, Fernzugriffsdienste, Fernsteuerungsfunktionen und Microsoft-Office-Anwendungen auszunutzen. Dieser Trend unterstreicht erneut, wie wichtig es ist, die eigene Umgebung und Infrastruktur genau zu kennen, um ein Programm zum Schwachstellenmanagement effizient aufrechterhalten zu können.
2. HijackLoader entwickelt sich mit neuen Umgehungstechniken weiter
Laut Zscaler hat sich die als „HijackLoader“ bekannte modulare Malware vom Typ „ “ seit ihrem ersten Auftreten im Jahr 2023 weiterentwickelt.
Die neueste Version der Malware enthält zusätzliche Module, die eine Ausnahme für Windows Defender AV hinzufügen, die Benutzerkontensteuerung (UAC) umgehen, das Inline-API-Hooking umgehen und Prozess-Hollowing einsetzen.
Die Malware wird nun über eine PNG-Bilddatei verbreitet, die entschlüsselt wird, um die nächste Stufe des Angriffs zu starten.
Die erste Stufe von HijackLoader
Die erste Stufe der Malware ist für die Entschlüsselung und Dekomprimierung der verschiedenen HijackLoader-Module zuständig. Außerdem wird die zweite Stufe entschlüsselt und ausgeführt.
In der ersten Phase werden APIs dynamisch aufgelöst und die Internetverbindung überprüft. Nach dem Herstellen einer Verbindung wird der Shellcode entschlüsselt und ausgeführt, der für verschiedene Zwecke konzipiert ist. Dieser Shellcode ruft weitere APIs auf und prüft, ob Prozesse auf der Sperrliste stehen.
Die zweite Stufe von HijackLoader
Anschließend lädt die Malware eine Kopie von sich selbst in den Arbeitsspeicher und liest ihre Konfigurationsdatei ein. Diese zweite Stufe wird auf eine von zwei Arten geladen: Entweder wird eine PNG-Datei heruntergeladen und zum Laden der zweiten Stufe verwendet, oder eine PNG-Datei wird eingebettet und zum Laden der zweiten Stufe verwendet.
Die zweite Stufe ist für das Einbinden des Hauptmoduls zuständig, nutzt jedoch auch zusätzliche Module zur Umgehung von Analysen, darunter modCreateProcess ( modCreateProcess64), modUAC ( modUAC64), modWriteFile ( modWriteFile64) und WDDATA.
Verbreitete Schadsoftware
Zscaler hat 50 HijackLoader-Beispiele im Rahmen der „ März 2024“ analysiert, die alle eine eingebettete PNG-Datei enthielten.
Sie analysierten diese Proben, um eine Liste der von HijackLoader verbreiteten Malware-Familien zu erstellen, und bestätigten, dass folgende Malware verbreitet wurde: Amadey, Lumma Stealer, Racoon Stealer v2, Remcos RAT, Meta Stealer und Rhadamanthys.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Obwohl HijackLoader erst seit letztem Jahr bekannt ist, wurde es bereits zur Verbreitung einiger namhafter Malware-Familien wie Racoon Stealer, Lumma Stealer, Amadey und Remcos RAT genutzt.
Die jüngste Weiterentwicklung erhöht den Bedrohungsgrad von HijackLoader und macht das Programm für Angreifer wahrscheinlich noch attraktiver, vor allem aufgrund der zusätzlichen Umgehungstechniken. Die Verwendung eines eingebetteten PNG-Bildes zur Übertragung ist seltener anzutreffen und entgeht daher eher der Erkennung.
3. Cobalt veröffentlicht seinen Bericht „ 2024 State of Pentesting“
Cobalt hat seinen Bericht „ : 2024 – State of Pentesting“ ( ) veröffentlicht, der sich eingehend mit den wichtigsten Trends aus dem Jahr 2023 befasst. Dieser Bericht basiert auf Daten aus über 4 000 Penetrationstests sowie auf Umfrageantworten von Sicherheitsexperten.
Der Bericht behandelt nicht nur einige wichtige Beobachtungen, sondern untersucht auch, wie sich der zunehmende Einsatz von KI auf die Branche auswirkt.
KI-Anwendungen: eine neue Angriffsfläche
Cobalt führte im Laufe des Jahres 2023 mehrere Penetrationstests an KI-Systemen durch und verzeichnete dabei einen deutlichen Anstieg der Kundennachfrage nach dieser Art von Penetrationstests.
Zur Durchführung dieser Tests stützen sie sich auf die OWASP Top 10 für LLM-Anwendungen und prüfen dabei auf die Offenlegung von Informationen sowie auf eine unsichere Verarbeitung der Ausgabe. Bei einem dieser Tests stießen sie auf ein LLM, das auf Anfrage Zugang zu vertraulichen Informationen gewährte, zu denen es eigentlich keinen Zugriff haben sollte.
Außerdem identifizierten sie mehrere Chatbots, die eigentlich durch verschiedene Sicherheitsmaßnahmen vor Missbrauch schützen sollten; diese Maßnahmen konnten sie jedoch problemlos umgehen.
Cobalt identifizierte drei Arten von Schwachstellen, die am häufigsten auftraten, darunter die Einfügung von „ “-Eingabeaufforderungen, Model-Denial-of-Service sowie das Durchsickern von Eingabeaufforderungen.
Zunahme von Sicherheitslücken
In den meisten 2023 -Trendberichten wurde ein Anstieg der Sicherheitslücken erwähnt. Auch Cobalt verzeichnete im Jahresvergleich einen Anstieg der Anzahl der Feststellungen pro Penetrationstest um 21 %.
Cobalt hat bei 4 068 Penetrationstests mehr als 39 000 Sicherheitslücken entdeckt, wobei der häufigste Schwachstellentyp Fehlkonfigurationen der Serversicherheit waren.
Durchschnittliche Reparaturzeit (MTTR)
Cobalt stellte im Vergleich zu den Vorjahren einen Anstieg der MTTR fest, wobei die durchschnittliche MTTR für „ “ bei über 20 Tagen lag. Die meisten davon wurden als mittelschwer eingestuft, wobei ein geringer Prozentsatz den Schweregrad „kritisch“ erreichte.
Umfrageergebnisse
Cobalt befragte fast 1 000 Sicherheitsexperten, um zu verstehen, warum die Ergebnisse von Penetrationstests nicht immer behoben werden oder warum es einige Zeit dauert, bis sie behoben werden. Die aus den Umfrageantworten gewonnenen Erkenntnisse, in Verbindung mit ihren eigenen Untersuchungen, führten dazu, dass ein Großteil dieser Probleme auf unterbesetzte und überlastete Sicherheitsteams zurückgeführt wurde.
81 % der Befragten gaben an, dass es aufgrund von Entlassungen, Kündigungen und Rücktritten zu „spürbaren Beeinträchtigungen beim Arbeitsaufkommenmanagement“ gekommen sei, und 44 % gaben an, derzeit unter Burnout zu leiden.
2024 Daten
Bislang nutzen im Jahr 2024 62 % der Unternehmen Penetrationstests, um nach bestimmten Schwachstellen zu suchen, und 58 % führen Penetrationstests speziell zur Verbesserung der Cloud-Sicherheit durch.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Cobalt hat einige interessante Statistiken dazu vorgelegt, welche Rolle KI in der Bedrohungslandschaft spielt. So ergab ihre Umfrage beispielsweise, dass 75 % der Sicherheitsteams bereits neue KI-Tools eingeführt haben. Interessanterweise gelang es Cobalt, die häufigsten Schwachstellen dieser KI-Tools in drei Kategorien zu unterteilen: Prompt-Injection, Model-Denial-of-Service und Prompt-Leaking. Dies bietet Unternehmen eine Orientierungshilfe dabei, worauf sie bei der Bewertung potenzieller KI-Tools achten sollten.
Cobalt stellte zudem fest, dass mehr als die Hälfte der Befragten der Ansicht war, ihr Sicherheitsteam sei nicht in der Lage, mit diesen Tools Schritt zu halten, und nicht dafür ausgerüstet sei, die Sicherheit von KI-Tools zu prüfen. Dies ist eine Herausforderung, die mit der fortschreitenden Entwicklung der KI zunehmend an Bedeutung gewinnen wird und für die Unternehmen bereits jetzt Lösungen erarbeiten sollten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
