In der Zusammenfassung dieser Woche befasst sich CTI mit Intel471’s aktuellen Analysen von Angriffen, bei denen Telefon- und E-Mail-Phishing kombiniert werden. Anschließend befasst sich CTI mit der Analyse von Mandiant zu 138 ausgenutzten Sicherheitslücken, die ursprünglich in 2023 offengelegt wurden. Ebenfalls enthalten ist eine Aufschlüsselung der Analyse von Flashpoint zum Infostealer „PureLogs“, der auf den Chrome-Browser abzielt.
Angreifer verbreiten Malware über Callback-Phishing
Intel471 hat seine Analyse „ “ zu Angriffen veröffentlicht, bei denen Sprach- und E-Mail-Phishing kombiniert werden – eine Strategie, die als „Callback-Phishing“, „Hybrid-Vishing“ oder „“ sowie als „Telephone-Oriented Attack Delivery“ (TOAD) bekannt ist.
Laut Intel471 haben diese Arten von Angriffen zugenommen, ebenso wie die Nachfrage nach TOAD-Diensten seitens der Angreifer.
Was ist „Callback-Phishing“?
Ein typischer Angriff beginnt mit einer Phishing-E-Mail, in der der Empfänger dazu aufgefordert wird, eine bestimmte Telefonnummer anzurufen. Der konkrete Social-Engineering-Köder „ “ ( ), der in diesen Kampagnen zum Einsatz kommt, kann variieren, doch alle zielen darauf ab, das Opfer zu einem Telefonat mit einem böswilligen Akteur zu bewegen, um den Angriff abzuschließen.
Die neuesten Daten deuten darauf hin, dass Phishing-Angriffe per Rückruf immer häufiger auftreten. Proofpoint hat kürzlich in seinem Bericht „ “ bekannt gegeben, dass jeden Monat 10 Millionen TOAD-Angriffe stattfinden und weltweit etwa 67 % der Unternehmen davon betroffen sind.
Steigende Nachfrage
Parallel zur Zunahme dieser Angriffe streben viele Angreifer eine Ausweitung auf TOAD-Angriffe an.
Intel471 beobachtete mehr als 50 Akteure, die nach Opfern suchten, die sie in ihrer Angriffskette einsetzen konnten. Einige dieser Akteure suchten nach Anrufern, die bestimmte Sprachen sprachen.
Ransomware- und TOAD-Angriffe
Eine wachsende Zahl von Angreifern, die die Ransomware „ “ einsetzen , nutzt für ihre Angriffe Dienste im Zusammenhang mit TOAD. Diese Dienste können in der Phase des ersten Zugriffs im Rahmen ihrer Angriffe von Nutzen sein.
In Intel471 heißt es: „Die meisten Ransomware-Betreiber streben eine langfristige Zusammenarbeit mit den Erpressern an und bieten monatliche Vergütungen sowie Anteile an den Lösegeldzahlungen an, was darauf hindeutet, dass solche Dienstleistungen unter den mit Ransomware befassten Angreifern hoch geschätzt werden.“
Finanzieller Gewinn
Angriffe dieser Art werden in der Regel von Akteuren verübt, die auf finanziellen Gewinn aus sind. Erfolgreiche Callback-Phishing-Angriffe können dem Angreifer und dem Anrufer eine beträchtliche Geldsumme einbringen.
Ein solcher Anrufdienst, CrimeTalk, berechnet 10 Dollar pro Anruf. Intel471 beobachtete zudem einen Angreifer, der gezielt nach Anrufern suchte, die Italienisch sprachen, und diesen 5 000 Dollar pro Tag anbot.
Dienstleistungen
Einige Akteure entwickeln eher geschäftsorientierte Modelle für ihre Dienstleistungen. Ein Beispiel hierfür ist der E-Mail-Spam-/Phishing-Dienst „ M00N “, der verschiedene Möglichkeiten zum Versenden von Phishing-E-Mails bietet.
Ein weiterer Dienst, „ Quattr0“, bietet verschiedene betrügerische Anrufe an, darunter Anrufe bei Banken, Lieferdiensten, Online-Shops und weiteren Anbietern. Diese Gruppe gibt an, Anrufe in jedes Land außer nach Russland tätigen zu können.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Angreifer integrieren zunehmend „Callback-Phishing“-Taktiken in ihre Angriffe, was sich an der hohen Anzahl entsprechender Dienstleistungsangebote auf dem Schwarzmarkt zeigt.
Viele Unternehmen beziehen in ihre Schulungen zur Sensibilisierung für Sicherheitsfragen grundlegende Tipps und Tricks zur Erkennung von Phishing-E-Mails ein; es ist jedoch wahrscheinlich, dass nicht alle davon hilfreiche Informationen zu den eher hybriden Phishing-Varianten enthalten, wie beispielsweise solchen, die Rückrufe beinhalten.
Der „Intel471’s “-Bericht ist ein guter Anstoß für Unternehmen, ihre Schulungen zur Sensibilisierung für Sicherheitsfragen zu überarbeiten, um sicherzustellen, dass diese Informationen darüber enthalten, wie man die neuesten Phishing-Betrugsversuche erkennt.
Mandiant analysiert Trends bei der Zeit bis zur Ausnutzung von Sicherheitslücken
Mandiant analysierte 138 ausgenutzte Sicherheitslücken , die ursprünglich im Jahr 2023 bekannt gegeben worden waren.
Zu den wichtigsten Erkenntnissen gehörten:
- 70 % der Sicherheitslücken wurden als Zero-Day-Angriffe ausgenutzt
- Die durchschnittliche Zeit bis zur Ausnutzung betrug lediglich fünf Tage
- Microsoft, Apple und Google waren die am häufigsten ausgenutzten Anbieter
Zeit bis zur Ausnutzung (TTE)
Mandiant verwendet den Begriff „Time-to-Exploit“ (TTE), um die durchschnittliche Zeit zu definieren, die benötigt wird, um eine Sicherheitslücke vor oder nach der Veröffentlichung eines Patches auszunutzen.
Der TTE ist in den letzten Jahren zurückgegangen, wobei der stärkste Rückgang im vergangenen Jahr zu verzeichnen war. Im Jahr 2021-2022 betrug die TTE 32 Tage, doch im Jahr 2023 stellte Mandiant einen Durchschnittswert von lediglich fünf Tagen fest.
Zero-Day vs. N-Day
In diesem Jahr stellte Mandiant beim Vergleich von „n-Days“ (Sicherheitslücken, die ausgenutzt werden, nachdem Patches verfügbar sind) mit „Zero-Days“ (Sicherheitslücken, die ausgenutzt werden, bevor Patches verfügbar sind) ein Verhältnis von 30:70 fest, was einen stetigen Anstieg der Ausnutzung von Zero-Days im Vergleich zu den letzten Jahren verdeutlicht.
Mandiant stellte fest, dass eine Ausnutzung am ehesten im ersten Monat nach der Veröffentlichung eines Patches für eine zuvor bekannt gewordene Sicherheitslücke stattfand. Mandiant stellte ferner fest, dass 12 % der „n-Tage“ innerhalb eines einzigen Tages ausgenutzt wurden, während mehr als die Hälfte davon innerhalb eines Monats ausgenutzt wurde.
Zeitpläne für die Nutzung
Mandiant berichtete zudem, dass 30 % der Sicherheitslücken erstmals ausgenutzt wurden, nachdem sie der Öffentlichkeit bekannt gegeben worden waren.
Bei der Untersuchung von Sicherheitslücken, für die bereits vor dem festgestellten Missbrauch Exploits verfügbar waren, stellte Mandiant fest, dass ab dem Zeitpunkt der Veröffentlichung des öffentlichen Exploits im Median sieben Tage vergingen.
Bei Sicherheitslücken, für die nach der festgestellten Ausnutzung Exploits verfügbar waren, ermittelten sie einen Medianwert von 15 Tagen ab der Offenlegung.
Ausnutzung durch den Anbieter
Mandiant hat jede Sicherheitslücke nach Anbietern aufgeschlüsselt. Sie stellten einen Anstieg um 17 % im Vergleich zur bisher höchsten Anzahl an Anbietern fest, bei denen Sicherheitslücken ausgenutzt wurden, und wiesen darauf hin, dass Microsoft, Apple und Google bereits seit einigen Jahren die Anbieter mit den meisten Sicherheitslücken sind.
Die Angreifer scheinen ihre Angriffsziele nun zu diversifizieren, wobei Mandiant einen Anstieg der Gesamtzahl der betroffenen Anbieter feststellt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Priorisierung von Patches wird zu einer immer größeren Herausforderung, da Sicherheitslücken von Jahr zu Jahr immer schneller ausgenutzt werden.
Daher muss das Patch-Management für Sicherheitslücken unter mit einer effizienten Erkennung und Reaktion kombiniert werden, um sich in Echtzeit anpassen zu können.
Ihre Analyse deutet zudem darauf hin, dass Zero-Day-Angriffe zunehmend an Bedeutung gewinnen, was mit den jüngsten Trends in der Bedrohungslandschaft übereinstimmt.
PureLogs zielt auf den Chrome-Browser ab
Flashpoint hat kürzlich den Infostealer „ “ (PureLogs) untersucht, der gezielt den Chrome-Browser ins Visier nimmt, um sensible Daten zu stehlen. Derzeit sind nur wenige andere Malware-Familien in der Lage, Daten aus dem Chrome-Browser abzugreifen, weshalb diese Bedrohung besonders im Auge behalten werden sollte.
Flashpoint stellte im Jahr 2024 aufgrund von Infostealer-Aktivitäten mehr als 53 Millionen kompromittierte Zugangsdaten sowie 13 Millionen infizierte Geräte fest. Diese Malware tauchte erstmals im Jahr 2022 auf und ist seitdem im Umlauf. Sein im Vergleich zu anderen Infostealern niedriger Preis trägt wahrscheinlich dazu bei, dass er weiterhin genutzt wird.
Was ist PureLogs?
Die Infostealer-Malware „PureLogs“ ist in C# programmiert. Wie viele andere Malware-Familien nutzt auch diese mehrere Assemblierungsstufen.
Der Datendieb versucht, sensible Daten aus dem Chrome-Browser zu entwenden. Flashpoint weist darauf hin, dass es sich hierbei um eine Funktion handelt, „die nur wenige Malware-Programme aufweisen, darunter Lumma, Vidar sowie Meduza.“
Die Malware ist sowohl auf Untergrund-Marktplätzen als auch im Clearnet über einen eigenen Marktplatz präsent. PureLogs gehört derzeit zu den kostengünstigeren Infostealern auf dem Markt, was es für Angreifer noch attraktiver macht.
Neben Malware zum Diebstahl von Daten bietet der Entwickler zudem Zugriff auf einen Kryptowährungs-Miner, Tools zum Ersetzen der Zwischenablage, ein Botnetz sowie einen versteckten Virtual-Network-Computing-Client.
Wie funktioniert PureLogs?
Phase eins
Die erste Phase umfasst das Laden und die Ausführung. Diese Stufe enthält ein Byte-Array, das mithilfe des AES-Algorithmus entschlüsselt wird.
Sowohl der AES-Schlüssel als auch der Startwert sind als Base64 -kodierte Zeichenfolgen fest codiert. Die Binärdatei wird entpackt, woraufhin eine C#-DLL geladen und im Arbeitsspeicher ausgeführt wird.
Phase zwei
In der zweiten Phase werden Anti-Sandbox-Prüfungen durchgeführt, bevor die endgültige Infostealer-Assembly tatsächlich geladen wird. Zunächst wird geprüft, ob DLLs vorhanden sind, die derzeit in den Prozess geladen sind. Zudem wird die PPID des Prozesses überprüft, da diese nicht vorhanden sein sollte, da die Assembly so konzipiert ist, dass sie dynamisch in den Speicher des ursprünglichen Prozesses geladen wird.
Es werden mehrere WMI-Abfragen durchgeführt, um Informationen über die Hardware zu erhalten und zu prüfen, ob die Zeichenfolgen „VMware“ oder „Virtual“ vorhanden sind. Die Malware überprüft die Bildschirmgröße, die Bit-Architektur und den Benutzernamen, um festzustellen, ob sie in einer virtuellen Maschine ausgeführt wird. Andernfalls stellt es eine Verbindung zu seinem C2 her. Nachdem diese Verbindung hergestellt wurde, wird die Datei entschlüsselt, entpackt und die letzte Phase ausgeführt.
Phase drei
In der dritten und letzten Phase zielt PureLogs darauf ab, Daten durch Diebstahl zu erlangen:
- Browsing-Daten
- Erweiterungen für Chrome, Edge und Opera
- Krypto-Wallet-Anwendungen
- Desktop-Anwendungen
- Maschineninformationen
Die Malware kann darüber hinaus so konfiguriert werden, dass sie Ordner, Dateien nach Dateiendung oder Dateien nach Name und Speicherort erfasst. Die Akteure haben zudem die Möglichkeit, zusätzliche Payloads herunterzuladen und auszuführen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Flashpoint feststellt, ist die Landschaft der Cyberbedrohungen von zahlreichen Infostealern überschwemmt. Angreifer nutzen Infostealer als schnelle und einfache Möglichkeit, an sensible Informationen zu gelangen, die sie verkaufen oder für weitere kriminelle Aktivitäten nutzen können.
Da es eine so große Auswahl an Infostealern gibt, ist die Eintrittsbarriere bemerkenswert niedrig. Schauspieler können nun aus einer Vielzahl von Möglichkeiten und Funktionen wählen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforumsowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
