In der Zusammenfassung dieser Woche befasst sich CTI mit einer neuen Linux-Malware namens „Auto-color“, die auf Unternehmen in Nordamerika und Asien abzielt. Als Nächstes untersucht CTI eine derzeit laufende Kampagne, bei der eine Sicherheitslücke in einem Windows-Treiber ausgenutzt wird, um die RAT-Malware „ Gh0st “ zu verbreiten. Abschließend untersucht CTI mehrere Spionageaktionen, die mit einem als „Lotus Blossom“ bekannten Angreifer in Verbindung stehen.
Die Linux-Malware „Auto-color“ gewährt uneingeschränkten Fernzugriff
Forscher der Palo Alto- (wird in einem neuen Tab geöffnet) haben eine neue Linux-Malware entdeckt, die von den Forschern als „Auto-color“ bezeichnet wird.
Die Malware, die offenbar auf Organisationen in Nordamerika und Asien abzielt, gewährt den Angreifern uneingeschränkten Fernzugriff auf infizierte Rechner.
Die Malware verwendet vor allem harmlos wirkende Dateinamen, verschleiert ihre Remote- C2 -Verbindungen und nutzt einen proprietären Verschlüsselungsalgorithmus, um einer Erkennung noch besser zu entgehen.
Auf wen zielt die Linux-Malware „Auto-color“ ab?
Palo Alto hat erstmals ein Exemplar dieser Malware unter November 2024 entdeckt; das jüngste Exemplar wurde unter Dezember 2024 festgestellt. Palo Alto hat festgestellt, dass diese Malware-Familie vor allem Universitäten und Behörden ins Visier nimmt.
Die Forscher haben bislang noch nicht herausgefunden, auf welchem Weg die Malware ihre Opfer erreicht. Palo Alto stellte jedoch fest, dass die Datei so konzipiert ist, dass sie vom Opfer der „ “-Kampagne explizit auf Linux-Rechnern ausgeführt wird: (wird in einem neuen Tab geöffnet).
Wie funktioniert die „Auto-Color“-Malware?
Die Malware verwendet für jedes Ziel, auf dem sie eingesetzt wird, einen anderen Dateinamen. Wie bereits erwähnt, verwendet es harmlos wirkende Dateinamen wie „door“ oder „egg“. Der Hash ist für jede Datei unterschiedlich, da der Entwickler von „Auto-Color“ sich dafür entschieden hat, „die verschlüsselte C2 -Konfigurations-Nutzlast statisch in jedes Malware-Exemplar zu kompilieren“.
Wenn die Schadsoftware auf einem Rechner ausgeführt wird, prüft sie, ob es sich bei der ausführbaren Datei tatsächlich um „Auto-color“ handelt. Sollte der Dateiname nicht „Auto-color“ lauten, wird die Installationsphase „für eine verschleierte Bibliotheks-Einbindung, die sich innerhalb der ausführbaren Datei selbst befindet“, ausgeführt.
Die Malware führt ihre Routine nur dann aus, wenn sie über die erforderlichen Root-Rechte verfügt; ist dies der Fall, installiert sie eine bösartige Bibliotheks-Implantation, die die legitime C-Dienstprogramm-Bibliothek nachahmt.
„Auto-color“ kopiert sich selbst und benennt sich in „/var/log/cross/auto-color“ um, bevor es das Bibliotheks-Implantat installiert und die schädliche Bibliotheksdatei als „ld.preload“ in eine Standarddatei auf Linux-Systemen schreibt.
Wie Palo Alto feststellt, werden Bibliotheken in „ld.preload“ zuerst geladen, wodurch eine später geladene bösartige Bibliothek einige dieser Kernbibliotheken überschreiben kann.
Vor der eigentlichen Ausführungsphase der Malware muss diese die Nutzlast entschlüsseln, um festzustellen, mit welchen Servern des Angreifers sie eine Verbindung herstellen muss. Um diese Nutzlast zu erhalten, liest das Programm entweder eine bestimmte Datei aus oder entnimmt sie dem .data-Abschnitt dieser Datei, falls die erste Option nicht erfolgreich war.
Die Verschlüsselung der Nutzdaten erfolgt mittels einer Variante einer Stromverschlüsselung. Palo Alto analysierte die Nutzlast und stellte fest, dass sie aus drei Hauptkomponenten bestand:
- Die Größe des verschlüsselten Blocks
- Der Chiffretext
- Der Schlüssel selbst
Die endgültige Nutzlast enthält nach der Entschlüsselung die tatsächlichen Ziele, mit denen die Malware eine Verbindung herstellen muss.
Sobald die Malware eine Verbindung zum Angreifer hergestellt hat, initiiert sie einen Handshake und wartet darauf, dass Befehle ausgeführt werden. Die Nutzdaten weisen eine eindeutige Struktur für einen zugehörigen spezifischen API-Befehl auf, die auf der Befehls-ID basiert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Das jüngste Beispiel für „Auto-color“ wurde unter Dezember 2024 beobachtet. Daher ist unklar, ob es sich hierbei noch um eine aktive Bedrohung handelt, die bisher unentdeckt geblieben ist, oder ob sie tatsächlich abgeklungen ist.
Interessanterweise verwendet diese Malware für jedes Ziel eine andere Datei mit einem anderen Namen und einem anderen Hash-Wert, wodurch eine Erkennung, die sich ausschließlich auf diese Indikatoren stützt, wenig aussagekräftig ist. Dies soll daran erinnern, dass es nicht ausreicht, sich ausschließlich auf diese Indikatoren zu verlassen, und dass es möglicherweise sinnvoller ist, Erkennungsmechanismen für bestimmte Taktiken einzusetzen.
Angreifer nutzen „Truesight.sys“ in einer neuen Malware-Kampagne aus
Check Point hat kürzlich (wird in einem neuen Tab geöffnet) eine andauernde Malware-Kampagne identifiziert, bei der eine Sicherheitslücke im Windows-Treiber „Truesight.sys“ ausgenutzt wird, um die Malware „ Gh0st RAT“ zu verbreiten.
Die Untersuchung deckte Tausende von Schadcode-Beispielen der ersten Stufe auf, die ein Modul zum Ausschalten von EDR- und Antiviren-Programmen einsetzten.
Hintergrund und wichtigste Ergebnisse
Check Point hat diese Untersuchung in der Absicht begonnen, den Missbrauch von Treibern aufzudecken, von denen nicht bekannt ist, dass sie anfällig sind – was, wie Sie sich vorstellen können, eine weitaus größere Herausforderung darstellt als die Suche nach solchen, von denen bekannt ist, dass sie anfällig sind. Die Untersuchungen führten zur Aufdeckung einer umfangreichen und andauernden Malware-Kampagne.
Auf den ersten Blick schien eine der Proben einen bekannten, anfälligen Treiber (öffnet in einem neuen Tab) mit dem Namen „Truesight.sys“ abzuspeichern. Den Forschern wurde klar, dass es sich hierbei nicht lediglich um einen weiteren anfälligen Truesight-Treiber handelte. Sie stellten fest, dass die Proben dieselbe Version des anfälligen Truesight-Treibers ablegten, die Hash-Werte sich jedoch unterschieden. Dies deutete darauf hin, dass der Angreifer den Treiber wahrscheinlich gerade so weit verändert hatte, dass sich der Datei-Hash änderte, jedoch nicht so weit, dass sich die digitale Signatur änderte.
Was die Forscher festgestellt haben:
- Diese Akteure nutzen die Infrastruktur der Region „China“ einer öffentlichen Cloud. Diese Infrastruktur beherbergt die Payloads und die C2 Server.
- Es wird davon ausgegangen, dass sich etwa 75 % der Opfer in China befinden.
- Es wurde beobachtet, dass sich die als Downloader fungierenden Samples als bekannte Anwendungen tarnten und über folgende Links verbreitet wurden: , phishing (wird in einem neuen Tab geöffnet),sowie .
Technische Details
Die früheste erkannte Probe aus der Anfangsphase dieser Kampagne stammt von Juni 2024, wo die angreifende Seite die Sicherheitslücke in der ursprünglichen, veralteten Treiberversion von ausnutzte: (wird in einem neuen Tab geöffnet). Kurz darauf begannen diese Proben aus der Anfangsphase, die Varianten des Treibers anstelle des ursprünglichen Treibers zu nutzen.
Check Point hat den anfänglichen Infektionsverlauf in drei Phasen unterteilt, darunter:
- Herunterladen der zweiten Stufe und der verschlüsselten Nutzdaten
- Laden der Nutzdaten und Herunterladen der dritten Stufe sowie ihrer verschlüsselten Nutzdaten
- Laden der Nutzdaten der dritten Stufe und Einbinden des EDR/AV-Killer-Moduls im Arbeitsspeicher
Letztendlich gipfelt dies im Einsatz und in der Durchführung von Gh0st RAT.
Der Bericht von Check Point enthält detaillierte Informationen zum älteren Truesight-Treiber. Darüber hinaus führte die Untersuchung aller von Check Point untersuchten Proben zur Installation von Gh0st RAT – genauer gesagt einer Variante mit der Bezeichnung HiddenGh0st.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Aus den Untersuchungen von Check Point geht eindeutig hervor, dass Angreifer zunehmend Schwachstellen in Treibern ausnutzen. Während die Suche nach bekannten anfälligen Treiberinstanzen oft unkompliziert ist, hätte dieser spezielle Angriff, bei dem der Truesight-Treiber eine Rolle spielte, unter anderem Erkennungsmechanismen umgangen, die auf bekannten Hash-Werten basierten.
Wie Check Point hervorhebt, ist die Umstellung auf einen Ansatz, bei dem „Treiber anhand von Merkmalen blockiert werden, die über reine Hash-Werte hinausgehen […], von entscheidender Bedeutung für die Verbesserung der Erkennung und des Schutzes.“
„Lotus Blossom“ stellt eine Bedrohung für zahlreiche Branchen dar
Cisco Talos hat (wird in einem neuen Tab geöffnet) mehrere Spionagekampagnen aufgedeckt, an denen „Lotus Blossom“ beteiligt war, eine Gruppe, die seit mindestens 2012 aktiv ist.
Die jüngsten Angriffe, bei denen die Backdoor „Sagerunex“ und andere Hacking-Tools verbreitet werden, richten sich gegen verschiedene Branchen, darunter das verarbeitende Gewerbe (wird in einem neuen Tab geöffnet), den öffentlichen Sektor, die Telekommunikation und die Medien. Der Akteur entwickelte zudem neue Varianten seiner charakteristischen Hintertür, die Cloud-Dienste von Drittanbietern für C2 missbraucht. Cisco Talos stellt fest, dass die jüngste Kampagne offenbar erhebliche Erfolge erzielt hat, wobei sie sich in erster Linie an Opfer auf den Philippinen, in Vietnam, Hongkong und Taiwan richtete.
Die Forscher entdeckten zudem neue Varianten der „Sagerunex“-Backdoor von Lotus Blossom. Anstatt für den Kurs „ C2“ auf virtuelle private Server zurückzugreifen, nutzen diese neuen Varianten Cloud-Dienste von Drittanbietern, darunter Dropbox, Twitter und Zimbra.
Welche Tools werden in der „Lotus Blossom“-Angriffskette verwendet?
Cisco Talos hat festgestellt, dass diese Gruppe eine Vielzahl von Tools einsetzt, darunter Open-Source-Tools sowie weitere, wie beispielsweise einen Cookie-Stealer, das Proxy-Tool „Venom“, ein Tool zur Anpassung von Berechtigungen, ein Archivierungstool, ein Port-Relay-Tool und ein RAR-Tool. Der Bericht enthält weitere Einzelheiten zu jedem dieser Instrumente.
Es wurde häufig beobachtet, dass die Gruppe das Tool „Impacket“ nutzte, um Befehle aus der Ferne auszuführen. Nachdem der Angreifer erfolgreich Zugang zum Netzwerk erlangt hat, durchläuft er mehrere Phasen, beginnend mit der Erkundung. Anschließend überprüft der Mitarbeiter, ob das Gerät eine Internetverbindung herstellen kann, und sollte dies nicht der Fall sein, nutzt er verschiedene Hilfsmittel, um das Gerät mit internetfähigen Systemen zu verbinden. Es wurde zudem beobachtet, dass der Schauspieler die Backdoor sowie verschiedene Hacking-Tools im Unterordner „public\pictures“ einsetzte, bevor er die Sagerunex-Backdoor installierte.
So wird Sagerunex installiert
Cisco Talos hat durch die Analyse des Loader-Codes mehrere Varianten der Sagerunex-Backdoor identifiziert. Wenn die Backdoor ausgeführt wird, führt sie Überprüfungen durch, um sicherzustellen, dass sie fortfahren kann. Jede Variante verfügt über eine eigene Zeitprüfungslogik, die festlegt, ob sie sofort ausgeführt werden soll oder ob die Ausführung verzögert werden soll. Ein gemeinsames Merkmal aller identifizierten Varianten ist die Proxy-Konfiguration.
Cisco Talos hat mehrere Varianten identifiziert, darunter eine Beta-Version, Dropbox- und Twitter-Varianten sowie eine Zimbra-Version. Der Bericht geht detailliert auf die Beta-, Dropbox- und Twitter-Versionen ein.
Zimbra (wird in einem neuen Tab geöffnet), die aktuellste Version, nutzt die Zimbra-API, um eine Verbindung zum Dienst herzustellen, der anschließend als Kanal C2 für die Kampagne verwendet wird. Diese Version verwendet die Zimbra-URL, den Benutzernamen und das Passwort, um das entsprechende Authentifizierungstoken abzurufen. Anschließend kann es das Token verwenden, um Ordner und Dokumente zu synchronisieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie viele andere Akteure auch setzt Lotus Blossom mittlerweile verstärkt auf seriöse Dienste wie Dropbox, Twitter und Zimbra, um einer Entdeckung zu entgehen. Dies ist ein weit verbreiteter Trend, bei dem Akteure gezielt Dienste missbrauchen, (wird in einem neuen Tab geöffnet) , die sich in den normalen Geschäftsverkehr einfügen.
Die von Cisco Talos erstellte Zeitleiste zu den verschiedenen Sagerunex-Varianten zeigt, dass der Akteur bereits im Jahr 2018 damit begann, legitime Dienste zu missbrauchen – noch bevor es in den letzten Jahren zu einem stärkeren Anstieg kam.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .