Als Erstes in unserem Wochenrückblick befasst sich CTI mit AlphaLock, einer russischen Gruppe, die Hacker ausbildet und deren Dienste über ein spezielles Partnerprogramm zu Geld macht. Als Nächstes befasst sich CTI mit einer kürzlich veröffentlichten gemeinsamen Warnmeldung zu „ “ Rhysida, einer neuen Ransomware, die mittlerweile mehrere Branchen bedroht. CTI schließt mit einem Überblick über eine neue Kampagne ab, die auf öffentlich zugängliche Instanzen der Docker-Engine-API abzielt.
1. AlphaLock bildet Hacker aus und erzielt mit deren Dienstleistungen Einnahmen
Forscher haben eine neue russische Hackergruppe namens „ “ entdeckt, die unter den Namen AlphaLock (öffnet in einem neuen Tab) auftritt und eine Schulungsorganisation für Penetrationstests betreibt. Die Gruppe wurde in einem öffentlichen Telegram-Kanal entdeckt, der inzwischen privat ist.
AlphaLock bildet Hacker mithilfe maßgeschneiderter Online-Kurse aus. Zudem erzielt das Unternehmen Einnahmen aus seinen Dienstleistungen über ein spezielles Partnerprogramm – und schafft so einen durchgängigen Marktplatz für Cyberkriminalität.
Das Geschäftsmodell besteht aus zwei Teilen, nämlich den „Bazooka Code“-Schulungen zum Thema Penetrationstests und dem Hacking-Marktplatz „ALPentest“:
- Bazooka Code: Der erste Teil ihres Geschäftsmodells umfasst Schulungen. Hier bieten sie Hackern maßgeschneiderte Online-Schulungen namens „Bazooka Code“ an. AlphaLock versucht, den Eindruck zu vermeiden, es handele sich um einen Angreifer oder einen Cyberkriminellen. Stattdessen behauptet die Gruppe, sie bilde lediglich Penetrationstester aus.
- Der ALPentest Hacking Marketplace: Der zweite Teil des Geschäftsmodells von AlphaLock umfasst das Dark-Web-Forum XSS sowie ein Partnerprogramm, mit dem das Unternehmen voraussichtlich den Großteil seiner Einnahmen erzielen wird. Ihr Plan sieht vor, neu ausgebildete Hacker – sogenannte Penetrationstester – einzusetzen, um einen Marktplatz zu schaffen, auf dem Angreifer Testdienstleistungen erwerben können, die auf eine bestimmte Organisation zugeschnitten sind.
Beta-Versionen des neuen Marktplatzes zeigten, dass Angreifer dort Ziele auflisten könnten, an denen sie Penetrationstests durchführen möchten. Andere Angreifer könnten dann dieses Ziel angreifen, einen Nachweis veröffentlichen und das Geld einfordern.
Die Plattform hat offenbar zu viel Aufmerksamkeit auf sich gezogen, was den Angreifer dazu zwang, eine lange Nachricht zu veröffentlichen, in der er darauf hinwies, dass das gesamte Programm auf eine neue dezentrale Chat-Anwendung namens Matrix verlagert werde.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
AlphaLock arbeitet intensiv daran, sich als Marke zu etablieren – mit einem eigens entwickelten Online-Schulungskurs und einem eigenen Marktplatz. Interessanterweise legt die Gruppe mehr Wert darauf, wie ein Unternehmen zu agieren, anstatt sich ausschließlich auf technische Raffinesse zu konzentrieren.
Wie Flare auf Bleeping Computer hervorhebt, steht dies im Zusammenhang mit dem aktuellen Trend zur Diversifizierung und Rollenspezialisierung, der sich derzeit in der Cyberkriminalität abzeichnet. Mittlerweile gibt es detaillierte und komplexe Lieferketten, die Cyberkriminellen Skaleneffekte ermöglichen.
2. Neue gemeinsame Warnung zur „Rhysida“-Ransomware veröffentlicht
Das Federal Bureau of Investigation (FBI), die Cybersecurity and Infrastructure Security Agency (CISA) und das Multi-State Information Sharing and Analysis Center (MS-ISAC) haben eine gemeinsame Cybersicherheitswarnung veröffentlicht, um über die jüngsten Aktivitäten im Zusammenhang mit der Ransomware „ “ und „Rhysida“ zu informieren: (wird in einem neuen Tab geöffnet).
Rhysida ist eine neue Ransomware, die vor allem auf die Bereiche Bildung, Gesundheitswesen, Fertigung, Informationstechnologie und den öffentlichen Sektor abzielt.
Erster Zugriff auf Rhysida
Der Rhysida-Ransomware-Angreifer nutzt nach außen gerichtete Ferndienste wie virtuelle private Netzwerke (VPNs), um sich zunächst Zugang zu verschaffen und seine Präsenz aufrechtzuerhalten. Es wird häufig versucht, sich bei internen VPN-Zugangspunkten mit kompromittierten, aber gültigen Anmeldedaten zu authentifizieren. Dies ist häufig auf das Fehlen einer Multi-Faktor-Authentifizierung zurückzuführen.
Es wurde beobachtet, dass der Akteur Phishing-Kampagnen vom Typ „ “ durchführte und die Schwachstelle „ CVE-2020-1472 “ ausnutzte, bei der es sich um eine kritische Sicherheitslücke zur Rechteausweitung im Netlogon-Fernzugriffsprotokoll von Microsoft handelt.
Vom Land leben
Wie viele andere Angreifer nutzt auch Rhysida bei seinen Angriffen „Living-off-the-Land“-Techniken. Dazu gehören das Herstellen von RDP-Verbindungen (Remote Desktop Protocol) zur lateralen Bewegung, das Einrichten eines VPN-Zugangs sowie die Nutzung von PowerShell. Der Angreifer nutzt in der Regel die Befehle „ipconfig“, „whoami“, „nltest“ sowie verschiedene „net“-Befehle, um Umgebungen zu erfassen und Informationen zu sammeln.
Rhysidas Werkzeuge
Rhysida nutzt bei seinen Angriffen mehrere legitime, öffentlich zugängliche Tools. Dies erschwert es den Sicherheitsverantwortlichen, böswillige Aktivitäten zu erkennen.
Hier einige Beispiele:
- Cmd.exe: das systemeigene Dienstprogramm für die Befehlszeile.
- PowerShell.exe: – ein natives Befehlszeilentool zum Ausführen einer Windows PowerShell-Sitzung in einem Eingabeaufforderungsfenster.
- PsExec.exe: Ein Tool aus der PsTools-Suite zur Remote-Ausführung von Prozessen.
Zu den weiteren Tools zählen unter anderem mstsc.exe, PuTTy.exe und PortStarter.
Ausführung
Bei einem Angriff mit der Ransomware „Rhysida“ erstellte der Angreifer auf dem Laufwerk C:\ zwei Ordner mit den Namen „in“ und „out“. Diese Ordner dienten als Zwischenverzeichnis und enthielten schädliche ausführbare Dateien:
- Der Ordner „in“ enthielt Dateinamen, die mit den Hostnamen im Netzwerk des Opfers übereinstimmten und vermutlich über ein Scan-Tool importiert worden waren.
- Der Ordner „Out“ enthielt verschiedene schädliche Dateien, die zur Unterstützung der netzwerkweiten Verschlüsselung bereitgestellt wurden.
Daten-Erpressung
Wie die meisten Ransomware-Akteure heutzutage führt auch Rhysida Angriffe mit doppelter Erpressung durch, indem zunächst eine Zahlung zur Entschlüsselung der Daten gefordert wird und anschließend damit gedroht wird, die Daten zu veröffentlichen, sollte das Opfer nicht zahlen.
Die Gruppe hinterlässt ihre Lösegeldforderung als PDF-Datei mit dem Namen „CriticalBreachDetected“, in der das Opfer angewiesen wird, über ein Tor-basiertes Portal Kontakt mit der Gruppe aufzunehmen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Ransomware ‚Rhysida‘ gibt es erst seit wenigen Monaten, doch sie hat bereits etwa 50 Opfer gefordert (wird in einem neuen Tab geöffnet).
Die Gruppe stützt sich in verschiedenen Phasen des Angriffs in hohem Maße auf legitime Tools, was es ihr wahrscheinlich ermöglicht, in einer Umgebung länger unentdeckt zu bleiben.
Es wurde zudem festgestellt, dass die Akteure von Rhysida im Rahmen eines „ “-RaaS-Modells (-as-a-Service) tätig sind (öffnet in einem neuen Tab), was es möglich macht, dass in Zukunft weitere mit Rhysida verbundene Akteure auftauchen könnten.“
3. OracleIV zielt auf öffentliche Docker-Engine-APIs ab
Forscher von Cado Security haben eine neue Kampagne entdeckt, die auf öffentlich zugängliche Instanzen der Docker-Engine-API abzielt.
Es wurde beobachtet, dass Angreifer eine Fehlkonfiguration ausnutzen, um einen schädlichen Docker-Container zu verbreiten. Die Malware fungiert als DDoS-Bot-Agent, der verschiedene DoS-Angriffe ausführen kann.
Erster Zugriff auf OracleIV
Wie bei vielen ähnlichen Angriffen erfolgte der erste Zugriff über eine HTTP-POST-Anfrage an den Endpunkt /images/create der Docker-API.
Diese Aktion führt auf dem Host einen „docker pull“-Befehl aus, um das angegebene Image von Docker Hub abzurufen. Darauf folgt ein weiterer Befehl zum Starten eines Containers, mit dem ein Container aus dem heruntergeladenen Image gestartet wird.
Der hier verwendete Befehl lautete:POST /v1,43/images/create?tag=latest&fromImage=robbertignacio328832/oracleiv_latest
Schädliches DockerHub-Image
Der Befehl bei diesem Angriff rief ein Image namens „oracleiv_latest“ ab, das vom Benutzer robbertignacio328832 auf DockerHub hochgeladen worden war.
Das Bild wurde bereits über 3 000 Mal abgerufen, als Cado Security es entdeckte, und scheint regelmäßig aktualisiert zu werden. Die jüngsten Änderungen wurden erst drei Tage vor der Veröffentlichung ihres Berichts vorgenommen.
Cado Security untersuchte die Image-Ebenen, um die Befehle aufzudecken, mit denen der Angreifer die schädliche Nutzlast „oracle.sh“ abrief und in das resultierende Image einbettete. Das Bild enthielt zusätzliche wget-Befehle zum Herunterladen einer Kopie von XMRig und einer zugehörigen Miner-Konfigurationsdatei.
Die Forscher konnten keine Mining-Aktivitäten durch diesen schädlichen Container feststellen, doch die Einbindung dieser Dateien in das Image würde dies in Zukunft möglich machen.
Statische Analyse
Die Forscher konzentrierten sich auf die Analyse der ausführbaren Datei „oracle.sh“, die in den schädlichen Container eingebettet war. Die statische Analyse dieser ausführbaren Datei ergab, dass es sich um eine 64-Bit-ELF-Datei mit statischer Verknüpfung und intakten Debug-Informationen handelt.
Sie stellten fest, dass die Schadsoftware in Python geschrieben und mit Cython kompiliert worden war. Der Code selbst ist prägnant und befasst sich in erster Linie mit den verschiedenen DoS-Methoden.
Dynamische Analyse
Der Bot stellt zunächst eine Verbindung zu einem „ C2 “-Server unter auf Port 40320 her, bevor er eine einfache Authentifizierung durchführt, bei der der Bot dem C2 grundlegende Informationen über die Umgebung sowie ein fest programmiertes Passwort übermittelt.
Nach erfolgreicher Authentifizierung sendet der C2 fortlaufend die Meldung „routine ping, greetz Oracle IV“. Forscher haben beobachtet, dass das Botnetz für DDoS-Angriffe auf zahlreiche Ziele genutzt wird, wobei vor allem UDP-basierte und SSL-basierte Flood-Angriffe zum Einsatz kommen. Es gelang ihnen, den Botnet-Agenten dazu zu bringen, eine Verbindung zu ihrem „Mimic C2 “-Server herzustellen, um Befehle zu erteilen und dessen Aktivitäten zu beobachten.
Das Botnetz verfügt über folgende DDoS-Fähigkeiten:
- UDP-us: Das Botnetz führt einen UDP-Flood mit 40k -Byte-Paketen durch. Dadurch wird der Schwellenwert überschritten, was zu einer Fragmentierung führt und zusätzlichen Rechenaufwand verursacht.
- UDP_PPS-: Diese Funktion scheint derzeit nicht zu funktionieren.
- SSL-us: Die SSL-Funktion öffnet eine TCP-Verbindung, sendet eine große Datenmenge und schließt die Verbindung anschließend, bevor der Vorgang wiederholt wird.
- SYN-: Diese Funktion entspricht der von SSL.
- HTTPGET: Auch diese Funktion ist nicht verfügbar.
- SLOW-: Hierbei handelt es sich um einen Angriff nach dem „Slow-Loris“-Prinzip, bei dem der Angreifer mehrere Verbindungen zum Server herstellt und wiederholt kleine Datenmengen sendet, um die Verbindung aufrechtzuerhalten.
- FIVE-: Ein UDP-Flood mit 18-Byte-Paketen, wahrscheinlich Teil des FiveM-Serverprotokolls.
- VSE-us: Ein UDP-Flood mit 20-Byte-Paketen.
- OVH-: Ein UDP-Flood mit 8-Byte-Paketen, der darauf abzielt, den DDoS-Schutz von OVH zu umgehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Angriff belegt, dass Angreifer nach wie vor daran interessiert sind, fehlerhaft konfigurierte, mit dem Internet verbundene Dienste als Mittel für den Erstzugang zu nutzen, und dies wahrscheinlich auch weiterhin tun werden.
Cado Security fasst diese Bedrohung sehr treffend zusammen:
Die durch die Containerisierung ermöglichte Portabilität führt dazu, dass bösartige Payloads auf Docker-Hosts auf deterministische Weise ausgeführt werden können, unabhängig von der Konfiguration des jeweiligen Hosts. Auch wenn es sich bei OracleIV technisch gesehen nicht um einen Supply-Chain-Angriff handelt, sollten sich Nutzer von DockerHub bewusst sein, dass in der Image-Bibliothek von Docker tatsächlich bösartige Container-Images vorhanden sind.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
