In dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium eine neue Kampagne, an der die Ransomware-Gruppe „BlackSuit“ beteiligt ist. Anschließend befasst sich das Team mit der Entwicklung von AsyncRAT zu einem komplexen Geflecht aus Forks. Abschließend geben wir Ihnen einen Überblick über HazyBeacon, eine bislang nicht dokumentierte Windows-Backdoor.
Ein Blick hinter die Kulissen der BlackSuit-Ransomware: Die doppelte Bedrohung durch Verschlüsselung und Datendiebstahl
Ein aktueller Blogbeitrag von Cybereason enthält eine eingehende Analyse einer „ “-Ransomware-Kampagne , die von der Ransomware-Gruppe „BlackSuit“ durchgeführt wurde.
Was ist die Ransomware „BlackSuit“?
BlackSuit ist eine ausgeklügelte Ransomware-Operation, bei der es sich vermutlich um eine Umbenennung der „Royal“-Gruppe (einem Ableger der berüchtigten Conti-Bande) handelt, was auf ein hohes Maß an operativer Reife und Bedrohungsfähigkeit hindeutet.
Die Kampagnen von BlackSuit kombinieren Datenexfiltration mit Dateiverschlüsselung, wodurch der Druck auf die Opfer maximiert wird.
[So verhandeln Sie mit Ransomware-Tätern: Erkenntnisse eines erfahrenen Verhandlungsführers]
Wie dringt BlackSuit in Netzwerke ein und bewegt sich dort?
Cybereason stellte fest, dass BlackSuit Tools wie (PsExec),, (Cobalt Strike),, (RDP), sowie (rclone) einsetzte, um sich einen ersten Zugriff zu verschaffen, sich lateral zu bewegen und Persistenz aufrechtzuerhalten.
Bei einem beobachteten Angriff wurde PsExec eingesetzt, um Cobalt-Strike-Beacons aus der Ferne zu installieren, während der RPC- -Dienst von „ “ genutzt wurde, um Remote-Dienste einzurichten. Dies ist eine ungewöhnliche, aber bemerkenswerte Taktik.
What are BlackSuit’s command and control (C2) techniques?
Wie Cybereason feststellt, stützen sich die Angreifer in hohem Maße auf die Befehle „ “ und „PowerShell “, um eine Verbindung zu ihrer C2 -Infrastruktur herzustellen. Die Angreifer laden Nutzdaten, darunter Cobalt Strike Beacon und die Ransomware-Binärdatei, sowohl von externen als auch von kompromittierten internen IP-Adressen herunter, was die Erkennung erschwert.
Dieser Ansatz mit zwei Quellen erschwert die Aufdeckung und unterstreicht die Anpassungsfähigkeit der Gruppe.
Wie eskaliert BlackSuit seine Angriffe, nachdem es sich Zugang verschafft hat?
Sobald sich BlackSuit in einem Netzwerk befindet, nutzt es die Datei „ Rundll32.exe“ ( ), um Cobalt-Strike-Beacons zu laden und eine Verbindung zu bösartigen Domänen herzustellen. Anschließend werden Anmeldedaten über LSASS weitergegeben, Daten werden mithilfe einer umbenannten rclone-Binärdatei (vmware.exe) abgezogen und Schattenkopien gelöscht, um eine Wiederherstellung zu verhindern.
Die Gruppe legt Ausschlusspfade fest, um die Verschlüsselung systemkritischer Dateien und ihrer eigenen Lösegeldforderungen zu vermeiden, und unterstreicht damit ihre heimliche und strategische Vorgehensweise.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Cyberkriminelle verwischen zunehmend die Grenze zwischen Red-Team-Taktiken bzw. legitimen Aktivitäten und realer Cyberkriminalität, wie der Einsatz legitimer Tools wie rclone und Cobalt Strike durch BlackSuit verdeutlicht.
Das Interessante an dieser Gruppe ist ihre Entstehungsgeschichte, die sich von Conti über Royal bis hin zu BlackSuit zurückverfolgen lässt. Eine derartige Umbenennung und Anpassung ist bei Gruppen von Angreifern weit verbreitet und erschwert die Zuordnung erheblich.
Die Zunahme von AsyncRAT-Ablegern in Open-Source-Malware
Laut dem ESET- hat sich der Open-Source-Fernzugriffstrojaner AsyncRAT zu einem komplexen Geflecht aus Ablegern entwickelt, von denen jeder mit einzigartigen Funktionen ausgestattet ist.
Anhand der Rückverfolgung seiner Herkunft und der Vielfalt seiner Plugins verdeutlichen die Forscher die Anpassungsfähigkeit von AsyncRAT und die anhaltende Bedrohung, die von ihm für die Cybersicherheit ausgeht.
Was ist AsyncRAT und warum gibt es so viele Abspaltungen davon?
Die ursprüngliche Version von AsyncRAT wurde im Jahr 2019 auf GitHub veröffentlicht. Es verfügt über Funktionen zum Aufzeichnen von Tastatureingaben, zum Erstellen von Bildschirmaufnahmen, zum Diebstahl von Zugangsdaten und vieles mehr.
Da es sich bei der Malware um Open-Source-Software handelt, erfreut sie sich bei Angreifern großer Beliebtheit und hat zu mehreren Abzweigungen geführt. Diese Verzweigungen sind durch die von der Malware verwendeten benutzerdefinierten Kryptografieklassen miteinander verknüpft.
ESET stellt fest, dass AsyncRAT zwar kryptografische Komponenten mit Quasar RAT gemeinsam hat – wie beispielsweise identische Klassen „ “ Aes256 und „ “ Sha256 –, es sich jedoch nicht um einen direkten Fork, sondern um eine vollständige Neuprogrammierung handelt. Dank seiner modularen Architektur und seiner Stealth-Funktionen ist es schwerer aufzuspüren und sich besser zu verbergen, was zu seiner Beliebtheit bei Angreifern beiträgt.
Wie identifiziert ESET AsyncRAT-Ableger in freier Wildbahn?
ESET setzte verschiedene Methoden ein, um Proben zu identifizieren und zu kategorisieren. Der einfachste Weg, diese Abzweigungen zu identifizieren, bestand darin, die Konfiguration der Malware zu überprüfen.
Bei den meisten Proben stellte ESET fest, dass das Feld „Version“ in der Konfiguration hilfreich war, da es entweder den Namen des Forks selbst oder den Namen des Malware-Autors enthielt. In einigen Fällen war dieses Feld leer, sodass die Forscher an anderer Stelle nach Hinweisen suchen mussten, wie beispielsweise dem Salt-Wert für die Verschlüsselung.
ESET gewann zudem Erkenntnisse, indem es nach dem Zertifikat suchte, das zur Authentifizierung des Servers C2 verwendet wurde; dieses ließ sich in einigen Fällen bis zur vorherigen Abspaltung zurückverfolgen.
Inwiefern hängen AsyncRAT-Varianten wie DcRAT und VenomRAT miteinander zusammen?
Laut ESET sind die am häufigsten verwendeten AsyncRAT-Varianten (DcRAT), sowie (VenomRAT).
DcRAT basiert auf AsyncRAT und bietet zusätzliche Funktionen und Möglichkeiten, während VenomRAT vermutlich von DcRAT inspiriert wurde.
Darüber hinaus sind zahlreiche weniger bekannte Forks im Umlauf, auf die ESET näher eingeht.
Warum sind weniger bekannte AsyncRAT-Varianten besonders zu beachten?
ESET hat mehrere weniger bekannte AsyncRAT-Ableger identifiziert, die über das übliche RAT-Verhalten hinausgehende Funktionen bieten, darunter:
SantaRATBoraRATNonEuclid RATScreamer.dllPiano.dllService.dllMaps.dllWormUsb.dll
Während einige, wie beispielsweise SantaRAT und BoraRAT, offenbar als Scherzvarianten konzipiert sind, weisen andere – wie Screamer.dll und WormUsb.dll – charakteristische Plugins wie USB-Verbreitungsmechanismen und ausgefallene Payloads auf.
Diese Beispiele verdeutlichen die Flexibilität des Open-Source-Frameworks von AsyncRAT sowie die Kreativität – und manchmal sogar den Humor – seiner Nutzer.
Für alle, die an einer tiefergehenden technischen Analyse interessiert sind, ist der vollständige Bericht von ESET sehr lesenswert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Forschungsergebnisse von ESET sind aufschlussreich. Es wurde bereits viel darüber gesprochen, wie Varianten aus anderer Malware hervorgehen, doch wenn man sieht, wie viele Ableger es von einem einzigen AsyncRAT-Trojaner gibt, wird dies erst richtig deutlich.
Die schiere Anzahl der AsyncRAT-Forks stellt für die Verteidiger eine Herausforderung dar, da die signaturbasierte Erkennung Schwierigkeiten haben kann, mit der sich ständig weiterentwickelnden Bedrohungslandschaft Schritt zu halten. Diese Untersuchung verdeutlicht zudem den zweischneidigen Charakter von Open-Source-Software, die sich zwar hervorragend für die Zusammenarbeit eignet, es Akteuren jedoch auch ermöglicht, solche Werkzeuge mühelos als Waffen einzusetzen.
Weitere CTI-Zusammenfassungen zum Thema AsyncRAT
AsyncRAT ist in mehreren Bedrohungskampagnen aufgetaucht, die vom Cyber Threat Intelligence-Team von Tanium verfolgt wurden. Weitere Informationen dazu, wie diese Malware in Verbindung mit anderer Malware und dem Missbrauch von Infrastruktur eingesetzt wird, finden Sie in den folgenden Blogbeiträgen:
- AsyncRAT, PikaBot-Malware und MS-SQL-Server im Visier (Veröffentlicht am 18. Januar, 2024): Der Artikel beleuchtet eine neue Kampagne, bei der AsyncRAT über Phishing-Seiten unter und verschleierte JavaScript-Loader verbreitet wird, sowie die Verbreitung von PikaBot und die Ausnutzung von Sicherheitslücken in MS-SQL-Servern
- Cyber-Einheit des US-Justizministeriums geht gegen staatlich geförderte Bedrohungen vor (Veröffentlicht am 27. Juni, 2023): Untersucht die Präsenz von AsyncRAT in Kampagnen, die mit staatlichen Akteuren in Verbindung stehen, sowie den Missbrauch von Infrastruktur, einschließlich abgelaufener AWS- S3 -Buckets
- ESXiArgs-Ransomware-Angriffe zielen auf VMware-ab (Veröffentlicht am 14. Februar, 2023): Erläutert den Einsatz von AsyncRAT bei Vorbereitungsmaßnahmen vor dem Ransomware-Angriff sowie dessen Rolle in Kampagnen, die auf nicht gepatchte VMware-ESXi-Server abzielen
Bleiben Sie auf dem Laufenden, was künftige CTI-Updates und Kampagnenanalysen betrifft, da unser Team AsyncRAT und dessen sich weiterentwickelnde Varianten in der gesamten Bedrohungslandschaft weiterhin verfolgt.
Die Malware „HazyBeacon“ nutzt AWS Lambda für verdeckte staatliche Spionage aus
Palo Alto recently discovered a novel Windows backdoor, dubbed HazyBeacon, that exemplifies the growing trend of adversaries abusing cloud-native infrastructure for stealthy C2 operations.
Diese Malware steht im Zusammenhang mit dem Bedrohungskomplex CL-STA-1020 , der auf staatliche Stellen in Südostasien abzielt und dessen Schwerpunkt auf der Informationsbeschaffung liegt.
Missbrauch von AWS-Lambda-URLs für verdeckte Befehls- und Kontrollzwecke
HazyBeacon nutzt „ “ – ein AWS Lambda- –, einen serverlosen Rechendienst, der Code als Reaktion auf Ereignisse ausführt, ohne dass die Bereitstellung oder Verwaltung von Servern erforderlich ist. Im Jahr 2022 wurden Lambda-URLs eingeführt, um diese Funktionalität zu erweitern – damit können Entwickler Lambda-Funktionen über HTTP-Endpunkte aufrufen. However, this convenience has been co-opted by threat actors, who now use Lambda URLs as C2 channels.
Indem sie Beaconing-Aktivitäten in scheinbar legitimen Cloud-Datenverkehr einbetten, können Angreifer böswillige Kommunikation mit dem normalen Unternehmensbetrieb verschmelzen, was die Erkennung erheblich erschwert.
Unauffällige Bereitstellung durch DLL-Sideloading und persistente Dienste
Um in Systeme einzudringen, nutzt HazyBeacon das „ “-DLL-Sideloading , um eine schädliche DLL als legitime Windows-Bibliothek zu tarnen und so ihre Schadfunktion auszuführen.
Sobald es ausgeführt wird, stellt es eine Verbindung zum vom Angreifer kontrollierten Lambda-Endpunkt her. Um ihre Persistenz zu gewährleisten, installiert die Malware einen Windows-Dienst mit dem Namen „ “ („msdnetsvc“).
Gezielte Datenerfassung und Versuche der Exfiltration über die Cloud
Eine der wichtigsten Nutzlasten, igfx.exe, ist ein Dateisammler, der bestimmte Dateien anhand festgelegter Dateiendungen und Zeiträume in ZIP-Dateien komprimiert. Anschließend zerlegt der Akteur das Archiv in kleinere Teile, um diese zu exfiltrieren. Es wurden Tools wie , GoogleGet.exe und verwendet, um Uploads auf Google Drive und Dropbox zu versuchen, doch diese wurden letztendlich blockiert.
Bereinigung nach der Datenexfiltration zur Minimierung der Erkennung
Nach der Datenerfassungsphase führte der Angreifer Bereinigungsbefehle aus, um Payloads und Archive zu löschen und so forensische Spuren zu minimieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Verwendung von AWS-Lambda-URLs für die C2 -Kommunikation verdeutlicht, wie Cloud-Dienste zunehmend von Angreifern genutzt werden, um böswillige Aktivitäten innerhalb vertrauenswürdiger Infrastrukturen zu verschleiern – wodurch herkömmliche, perimeterbasierte Abwehrmaßnahmen an Wirksamkeit verlieren.
HazyBeacon steht stellvertretend für den allgemeinen Trend bei den Taktiken im Zusammenhang mit Advanced Persistent Threats (APT), bei dem die Akteure zunehmend von statischen Infrastrukturen auf Cloud-Infrastrukturen umsteigen. Diese Maßnahme unterstreicht erneut die Notwendigkeit, dass Sicherheitsverantwortliche verstärkt auf verhaltensbasierte Erkennungsstrategien setzen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
