In dieser Woche präsentiert CTI die wichtigsten Erkenntnisse aus dem aktuellen IR-Trendbericht von Cisco Talos, der sich auf das zweite Quartal des Jahres 2024 bezieht. Anschließend befasst sich CTI mit einer aktuellen Warnung von Microsoft, in der detailliert beschrieben wird, wie Ransomware-Gruppen eine Sicherheitslücke bei VMware ESXi ausnutzen, die eine Umgehung der Authentifizierung ermöglicht. Abschließend befasst sich CTI mit dem jüngsten Bericht von Palo Alto, der sich eingehend damit auseinandersetzt, wie sich die Domain-Registrierung und Netzwerkangriffe im Zusammenhang mit Begriffen rund um GenAI mittlerweile weiterentwickelt haben.
1. Cisco Talos veröffentlicht seinen Bericht „ Q2 IR-Trends“
Cisco Talos hat seinen neuesten IR-Trendbericht „ “ mit dem Titel „“ veröffentlicht, der verschiedene Themen und Erkenntnisse aus den Aktivitäten des Unternehmens im zweiten Quartal 2024 behandelt. Aus dem Bericht geht hervor, dass „Business Email Compromise“ (BEC) und Ransomware weiterhin die größten Bedrohungen darstellen und zusammen 60 % der von ihnen bearbeiteten Fälle ausmachen.
Verstärkte Ausrichtung auf den Technologiesektor
Der Technologiesektor war im zweiten Quartal bei 24 % der Angriffe das Ziel, womit er für die Angreifer den höchsten Prioritätsgrad darstellte – noch vor dem Einzelhandel, dem Gesundheitswesen, der Pharmabranche und anderen Branchen.
Cisco Talos stellte im Vergleich zum ersten Quartal einen Anstieg der Angriffe auf den Technologiesektor um 30 % fest. Sie weisen zudem darauf hin, dass Angreifer Unternehmen aus dem Technologiesektor möglicherweise als „Einstiegsmöglichkeiten in andere Branchen und Organisationen“ betrachten, „da diese eine bedeutende Rolle bei der Belieferung und Betreuung einer Vielzahl von Sektoren spielen“.
Der Aufschwung bei BEC hält an
Es überrascht nicht, dass BEC nach wie vor eine recht große Rolle spielt. Dies steht im Einklang mit der Tatsache, dass in 60 % der Einsätze des Quartals die Verwendung gültiger Zugangsdaten festgestellt wurde, was einem Anstieg von 25 % gegenüber dem letzten Quartal entspricht.
Trends bei Ransomware
Cisco Talos stellte im zweiten Quartal bei 30 % seiner Einsätze Ransomware fest, was einem Anstieg von 22 % gegenüber dem Vorquartal entspricht.
Darüber hinaus hat Cisco Talos erstmals die Ransomware-Gruppen „Mallox“ und „Underground Team“ beobachtet. Dies kam zu den bereits bekannten Ransomware-Familien wie Black Basta und BlackSuit hinzu.
Cisco Talos stellt fest, dass bei 80 % der Ransomware-Angriffe „auf kritischen Systemen, wie beispielsweise virtuellen privaten Netzwerken (VPNs), keine ordnungsgemäße MFA-Implementierung ( ) vorhanden war, was dazu beitrug, dass Angreifer einen ersten Zugriff erlangen konnten.“
Im Aufwind: Angriffe auf Netzwerkgeräte
Neben einer Zunahme von Ransomware-Angriffen verzeichnete Cisco Talos einen Anstieg bei Angriffen auf Netzwerkgeräte, auf die 24 % der von ihnen bearbeiteten Fälle entfielen. Zu diesen Aktivitäten zählen Taktiken wie „Password Spraying“, das Scannen nach Sicherheitslücken, das Ausnutzen von Schwachstellen und vieles mehr.
Ausgangsvektoren
Die Nutzung gültiger, jedoch kompromittierter Konten war im zweiten Quartal die häufigste Methode, mit der Angreifer sich einen ersten Zugriff verschafften.
Dies entsprach einem Anstieg von 25 % gegenüber dem Vorquartal. Die nächsthäufigste Methode für den ersten Zugriff war die Ausnutzung öffentlich zugänglicher Anwendungen.
Sicherheitslücken
Zu den beiden größten Sicherheitslücken zählen anfällige oder falsch konfigurierte Systeme sowie das Fehlen einer MFA. Diese beiden Schwachstellen sind in den letzten Quartalen in zahlreichen Trendberichten aufgefallen. Anfällige Systeme stehen in direktem Zusammenhang mit der hohen Zahl erfolgreicher Angriffe.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Viele der in diesem Bericht genannten Punkte sind anhaltende Trends aus den vorangegangenen Quartalen, wie beispielsweise anfällige Systeme und das Fehlen einer Multi-Faktor-Authentifizierung (MFA) als größte Sicherheitslücken.
Besonders interessant ist, dass der Technologiesektor bei ihren Aktivitäten am stärksten im Fokus stand. Wie in dem Bericht erwähnt wird, nehmen Angreifer zunehmend Technologieunternehmen ins Visier, um sich Zugang zu anderen Organisationen zu verschaffen. Dieser Trend steht im Einklang mit der Zunahme von Angriffen auf die Lieferkette, die in letzter Zeit zu verzeichnen sind.
2. Ransomware-Gruppen nutzen eine Sicherheitslücke in ESXi aus
Microsoft hat eine Warnung herausgegeben, wonach Ransomware-Gruppen derzeit aktiv eine Sicherheitslücke im Zusammenhang mit „ “ bei der Authentifizierungsumgehung von VMware ESXi ausnutzen.
Die kürzlich behobene Sicherheitslücke wird ausgenutzt, um erweiterte Berechtigungen zu erlangen und Infektionsketten auszulösen, die zur Verbreitung von Malware sowie der Ransomware „Black Basta“ ( ) führen.
Über CVE-2024-37085
Die Schwachstelle CVE-2024-37085 wurde von Microsoft-Forschern entdeckt und in ESXi 9,0 U3 unter 25. Juni behoben.
Wird diese Sicherheitslücke ausgenutzt, kann ein Angreifer eine Gruppe namens „ESX Admins“ erstellen und einen neuen Benutzer hinzufügen, wodurch er über vollständige Administratorrechte für den Hypervisor erhält.
Microsoft hat die Sicherheitslücke genauer untersucht und festgestellt, dass „VMware ESXi-Hypervisoren, die einer Active Directory-Domäne angehören, jedem Mitglied einer Domänengruppe namens ‚ESX Admins‘ standardmäßig uneingeschränkte Administratorrechte gewähren.“
Verstärkte Angriffe auf ESXi-Hypervisoren
Microsoft hat – ebenso wie viele andere – in den letzten Monaten einen Anstieg der Zahl von Ransomware-Angreifern festgestellt, die es auf ESXi-Hypervisoren abgesehen haben.
Darüber hinaus gibt es mehrere Ransomware-Akteure, die mittlerweile ESXi-Verschlüsselungsprogramme verkaufen. Microsoft stellt fest, dass sich die Zahl der von ihnen durchgeführten IR-Einsätze, bei denen ESXi-Hypervisoren eine Rolle spielten, in den letzten drei Jahren mehr als verdoppelt hat.
Storm-0506 verbreitet die Ransomware „Black Basta“
Microsoft stellte ein Beispiel für einen Vorfall aus dem laufenden Jahr vor, bei dem eine Organisation mit der Ransomware „ “ („Black Basta“) infiziert wurde, die von einem Akteur namens „Storm-0506“ eingesetzt wurde. Der Angreifer nutzte die Sicherheitslücke aus, um sich erweiterte Rechte auf den ESXi-Hypervisoren zu verschaffen.
- Dieser Angriff begann mit einer QBot-Infektion.
- Anschließend nutzte der Angreifer eine im vergangenen Jahr bekannt gewordene CLFS-Sicherheitslücke in Windows aus, um auf diesem Gerät Berechtigungen zu erweitern.
- Es wurden weitere Tools eingesetzt, um die Anmeldedaten des Domänenadministrators zu stehlen und sich so lateral auf vier weitere Domänencontroller auszubreiten.
- Nachdem der Angreifer verschiedene Mechanismen zur Persistenz installiert, Brute-Force-Angriffe auf RDP-Verbindungen unternommen und an Microsoft Defender herumprobiert hatte, richtete er anschließend die Gruppe „ESX Admins“ in der Domäne ein.
- Anschließend wurde ein neuer Benutzer zu dieser neuen Gruppe hinzugefügt, woraufhin umgehend die Verschlüsselung des ESXi-Dateisystems erfolgte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Microsoft weist darauf hin, dass Angriffe auf ESXi-Hypervisoren zunehmen. Dies ist ein Phänomen, das Forscher seit mehreren Monaten, wenn nicht sogar schon länger, in der gesamten Bedrohungslandschaft beobachten, und es ist davon auszugehen, dass sich dieser Trend in naher Zukunft fortsetzen wird.
Microsoft hat drei verschiedene Vorgehensweisen identifiziert, mit denen Angreifer diese VMware ESXi-Sicherheitslücke ausnutzen, und verschiedene Abhilfemaßnahmen und Schutzstrategien vorgestellt, die es wert sind, näher betrachtet zu werden.
3. Betrüger nutzen GenAI bei der Domainregistrierung und für Netzwerkangriffe aus
aus Palo Alto hat sich kürzlich eingehend mit der Entwicklung der Domain-Registrierung und den Netzwerkangriffen befasst, die mit Begriffen im Zusammenhang mit GenAI in Verbindung stehen.
Die Organisation analysierte registrierte Domains, die Begriffe im Zusammenhang mit „GenAI“ enthielten, um Muster aufzudecken, und führte einige Fallstudien durch, in denen verschiedene Angriffsarten beschrieben werden, bei denen diese Domains ausgenutzt werden.
Domainregistrierung im Zusammenhang mit GenAI
Palo Alto hat festgestellt, dass seit dem November 2022 täglich etwa 225 GenAI-related Domains registriert wurden. Nicht alle neu registrierten Domains (NRD) sind bösartig oder verdächtig; daher hat Palo Alto sein Bestes getan, um zwischen beiden zu unterscheiden. Zu den Domains der Kategorie „verdächtig“ zählen solche, die für C2, Ransomware, Malware, , Phishing sowie Grayware genutzt werden.
Bei näherer Betrachtung der registrierten Domains stellte Palo Alto einige textliche Muster fest. Sie haben diese Muster anhand der Schlüsselwörter aufgeschlüsselt und dabei festgestellt, dass mehr als 72 % der Domains Schlüsselwörter verwenden, die mit beliebten KI-Anwendungen in Verbindung stehen. Das am häufigsten missbrauchte Schlüsselwort war mit großem Abstand „gpt“.
DNS-Datenverkehr im Zusammenhang mit GenAI
Palo Alto hat zudem den Datenverkehr zu diesen Domains untersucht, um die Auswirkungen zu erfassen. Sie stellten einen allgemeinen Aufwärtstrend beim gesamten Datenverkehr im Zusammenhang mit GenAI fest, von dem offenbar 35 % auf verdächtige Domains gerichtet sind.
Fallstudie zum Missbrauch von Netzwerken
Palo Alto skizzierte verschiedene Möglichkeiten, wie ein Angreifer das allgemeine Interesse an GenAI über diese neu registrierten Domains ausnutzen könnte.
Eine Möglichkeit besteht in der Verbreitung potenziell unerwünschter Programme (PUPs). Im Rahmen einer Kampagne erfasste Palo Alto 13 registrierte Domains, die das Wort „chatgpt“ enthielten und alle einem ähnlichen Namensmuster folgten. Besucher der Domain wurden zu einem Proxy-Dienst weitergeleitet, der den Nutzer aufforderte, sich zu registrieren und Guthaben zu erwerben, um fortfahren zu können.
Diese Domains werden zudem für den Versand von allgemeinem Spam sowie für das gewinnorientierte Parken von Domains genutzt. Im Rahmen des monetarisierten Domain-Parkings registriert ein Angreifer Domains, von denen er annimmt, dass sie beliebt sein und Besucherzahlen generieren werden. Anschließend verknüpfen sie die Domains mit Plattformen zur monetarisierten Domain-Parkung. Dadurch wird jeder Besuch in Umsatz umgewandelt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Cyberkriminelle sind dafür bekannt, Angriffe rund um aktuelle Themen zu starten – und die generative KI ist das jüngste Beispiel dafür. Dieser Trend dürfte sich fortsetzen, da sich das Thema KI/LLM weiterentwickelt.
Palo Alto weist darauf hin, dass der „hohe Anteil verdächtiger Domains unter diesen neuen Domains die Notwendigkeit einer proaktiven Erkennung von Netzwerkangriffen unterstreicht, bei denen Schlüsselwörter im Zusammenhang mit GenAI ausgenutzt werden.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
