In dieser Woche untersucht CTI eine groß angelegte, böswillige RDP-Kampagne (Remote Desktop Protocol), die mit dem russischen Cyber-Akteur „Earth Koshchei“ in Verbindung steht. Als Nächstes befasst sich CTI mit einem neuen Bericht von Zscaler, der technische Details zur RiseLoader-Malware enthält. Abschließend liefert CTI wichtige Erkenntnisse aus einem neuen Ransomware-Hinweis, der von Corvus Insurance veröffentlicht wurde.
1. Die russische Gruppe „Earth Koshchei“ führt böswillige RDP-Angriffe durch
Ein russischer Angreifer, der unter den Bezeichnungen „ “, „Earth Koshchei“ und „ “ (auch bekannt als „Midnight Blizzard“ und „APT29“) erfasst wurde, führte kürzlich eine groß angelegte RDP-Kampagne durch, bei der Spear-Phishing-E-Mails und Anonymisierungstechniken zum Einsatz kamen.
Die Phishing-E-Mails waren darauf ausgelegt, die Empfänger dazu zu verleiten, eine angehängte, betrügerische RDP-Konfigurationsdatei zu verwenden, um dem Angreifer teilweise Kontrolle über das Gerät zu verschaffen.
Wer ist Earth Koshchei?
Die Gruppe „Earth Koshchei“ wird angeblich vom russischen Auslandsgeheimdienst (SVR) unterstützt und ist offenbar an Spionageaktionen beteiligt.
Im Bericht „ Oktober 2024 “ stellte Trend Micro fest, dass dieser Akteur einen betrügerischen RDP-Angriff gegen mehrere verschiedene Ziele einsetzte. Diese Art von Angriff ermöglicht es einem Angreifer, teilweise die Kontrolle über den Computer des Opfers zu erlangen.
Sowohl Microsoft als auch Amazon haben diese Aktivitäten bereits zuvor demselben Akteur zugeschrieben. Trend Micro veröffentlicht nun weitere Einzelheiten, um die bereits öffentlich bekannt gegebenen Indikatoren zu ergänzen.
Über die betrügerische RDP-Kampagne
Ein böswilliger RDP-Angriff umfasst mehrere Komponenten, darunter ein RDP-Relay, einen böswilligen RDP-Server und eine bösartige RDP-Konfigurationsdatei.
Trend Micro stellte fest, dass der Akteur bösartige Spear-Phishing-E-Mails an Regierungen, Streitkräfte, Thinktanks und andere Einrichtungen versandte. Sollte ein Opfer die Datei öffnen, würde der Rechner versuchen, über einen von 193 RDP-Relays, die der Angreifer zuvor eingerichtet hatte, eine Verbindung zu einem RDP-Server herzustellen.
Trend Micro weist darauf hin, dass in vielen Unternehmen ausgehende RDP-Verbindungen wahrscheinlich blockiert sind. Es gibt jedoch nach wie vor Fälle, in denen dies erfolgreich hätte sein können.
Die fehlerhafte RDP-Konfigurationsdatei
Trend Micro hat eine RDP-Konfigurationsdatei, die einer E-Mail dieser Kampagne als Anhang beigefügt war, genauer unter die Lupe genommen und dabei die folgenden Details festgestellt.
- Der in der Datei angegebene Hostname lässt auf einen legitimen AWS-Server schließen, wird jedoch vom Angreifer kontrolliert.
- Die Datei leitet lokale Laufwerke, Drucker, Zwischenablagen usw. um und ermöglicht den Fernzugriff auf den Computer des Opfers.
- Der Angriff beginnt erst, wenn das Opfer versucht, die ihm zugesandte RDP-Datei zu verwenden, wodurch die ausgehende Verbindung zum System des Angreifers ausgelöst wird. In diesem Fall nutzte der Angreifer PyRDP, um als Proxy zu fungieren und die Verbindung abzufangen.
- Anschließend können sie das Opfer mit einem von ihnen kontrollierten betrügerischen Server verbinden. Sobald die Verbindung hergestellt ist, fungiert dieser betrügerische Server als RDP-Sitzung und nutzt diese für weitere böswillige Aktivitäten aus.
Anonymisierungsebenen
Laut Trend Micro ist ein wesentliches Merkmal dieses Akteurs der „umfassende Einsatz von Anonymisierungsschichten wie kommerziellen VPN-Diensten, TOR und Anbietern von Residential-Proxy-Diensten“. Angreifer gehen häufig so vor, um bösartigen Datenverkehr mit normalem, zu erwartendem Datenverkehr zu vermischen.
Trend Micro gibt an, dass der Angreifer mehrere Wochen lang TOR-Exit-Knoten genutzt habe, um mehr als 200 IP-Adressen von VPS-Servern und 34 manipulierte RDP-Server zu kontrollieren.
Domain-Registrierung
Schätzungen zufolge hat der Schauspieler zwischen August und dem Oktober 2024 mehr als 200 Domains eingerichtet. Von diesen Domains wurde bestätigt, dass 193 für den Einsatz in der RDP-Kampagne eingerichtet worden waren. Die Bereiche erstreckten sich über verschiedene Branchen, darunter Behörden, Thinktanks/Nichtregierungsorganisationen, das Militär, die IT-Branche und weitere.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Akteur nutzt bei seinen Angriffen zahlreiche gängige Anonymisierungsschichten, um noch unauffälliger vorzugehen. Es wird vermutet, dass sich der Einsatz dieser betrügerischen RDP-Server an einem „ 2022 “-Blogbeitrag orientiert, der von einem Unternehmen für Informationssicherheit verfasst wurde.
Wie Trend Micro feststellt, ist dies ein hervorragendes Beispiel dafür, wie Angreifer bestehende Tools und Techniken nutzen, um ihre Angriffe ausgefeilter zu gestalten und gleichzeitig den Arbeitsaufwand zu verringern.
2. Zscaler veröffentlicht technische Details zur „RiseLoader“-Malware
Neue technische Details zur „ “-RiseLoader-Malware sind im Blog von Zscaler verfügbar.
Das Beispiel ähnelt der RisePro-Malware, weist jedoch zusätzliche Funktionen hinsichtlich des Herunterladens und der Ausführung von Payloads der zweiten Stufe auf.
RiseLoader wurde erstmals in der Website Oktober 2024 entdeckt und wurde dabei beobachtet, wie es verschiedene Arten von Malware verbreitete, darunter Vidar, Lumma Stealer und andere.
Techniken zur Verhinderung von Analysen
Die von Zscaler entdeckten RiseLoader-Malware-Beispiele wurden mit VMProtect gepackt. Dies, in Verbindung mit der Tatsache, dass die Malware viele der wichtigen Zeichenfolgen in ihrem Code verschleiert, erschwert deren Analyse.
Zscaler hat mehrere Zeichenfolgen identifiziert, die in einem globalen Array definiert, bei der Ausführung jedoch nicht verwendet werden und die mit der Analyse und Fehlerbehebung in Zusammenhang stehen. Da diese bei der Ausführung noch nicht zum Einsatz kommen, gehen sie davon aus, dass sich diese Funktion zur Verhinderung von Analysen möglicherweise noch in der Entwicklung befindet.
Verhaltensanalyse
Die Malware erstellt zunächst eine gegenseitige Ausschließung, auch Mutex genannt, und benennt diese anhand fest programmierter Zeichenfolgen. Sollte der Mutex bereits auf dem System vorhanden sein, wird die Malware nicht fortfahren. Andernfalls wählt das Programm zufällig einen der C2 Server aus einer fest programmierten Liste aus und baut eine Verbindung zu diesem Server auf.
Netzwerkkommunikation
Nachdem die Malware eine Verbindung zum Server C2 hergestellt hat, wartet sie darauf, dass der Server mit den Schlüsseln antwortet, die für die zukünftige Kommunikation benötigt werden. Anschließend sendet es eine Kampagnen-ID und weitere Informationen an den Server und wartet auf einen Payload-Befehl, wobei es in regelmäßigen Abständen Keepalive-Nachrichten versendet, um sicherzustellen, dass die Verbindung aufrechterhalten bleibt.
RiseLoader vs. RisePro
Wie bereits erwähnt, stellte Zscaler fest, dass RiseLoader Ähnlichkeiten mit der Malware RisePro aufwies. Die beiden größten Gemeinsamkeiten liegen im benutzerdefinierten binären TCP-basierten Protokoll und in der Nachrichtenstruktur selbst. Zscaler stellte zudem fest, dass der Initialisierungsprozess beider Malware-Programme ähnlich verläuft, wobei der von RiseLoader etwas einfacher ist.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Ein interessanter Aspekt dieser Malware ist, dass sie darauf angewiesen ist, notwendige Informationen fest zu programmieren. Es legt die Liste der C2 Server sowie eine Handvoll Zeichenfolgen, aus denen die Namen der Mutexe gebildet werden, fest, wodurch sich Erkennungsregeln leichter erstellen lassen.
Zscaler geht davon aus, dass sich einige Funktionen zur Verhinderung von Analysen möglicherweise noch in der Entwicklung befinden; daher besteht die Möglichkeit, dass die Malware die fest programmierten Funktionen durch dynamischere ersetzt.
3. Ransomware-Aktivitäten erreichen einen neuen Höchststand
Laut einem neuen Bericht von Corvus Insurance erreichten die Ransomware-Aktivitäten im Jahr „ November 2024“ einen neuen Höchststand, wobei 632 gemeldete Ransomware-Opfer auf Websites für Datenlecks aufgeführt wurden. Dies ist mehr als doppelt so viel wie der historische Monatsdurchschnitt (307 Opfer) und macht den November 2024 . damit zum bislang aktivsten Monat hinsichtlich Ransomware-Angriffen.
Bemerkenswerte Ransomware-Gruppen
Laut Corvus sind mehrere Gruppen für den jüngsten Anstieg der Ransomware-Angriffe verantwortlich. Es gibt jedoch einige bestimmte Gruppen, bei denen im November offenbar ein sprunghafter Anstieg zu verzeichnen war.
- RansomHub-: Die Gruppe mit den meisten Opfern, die im vergangenen Monat auf einer Website für Datenlecks aufgeführt wurden, war RansomHub mit 98 aufgeführten Opfern. Diese Unternehmensgruppe hat ihre Geschäftstätigkeit auf mehrere Branchen ausgeweitet und damit ihre schnelle Skalierbarkeit unter Beweis gestellt.
- Akira: Der nächstgrößte Urheber, Akira, forderte auf Websites mit Datenlecks 73 Opfer. Wie Corvus hervorhebt, ist diese Gruppe für ihre technische Anpassungsfähigkeit bekannt, die es ihr ermöglicht, weiterhin erfolgreich zu bleiben. Die 73 Opfer pro Monat bei Akira entsprechen mehr als dem Dreifachen des monatlichen Durchschnitts dieser Gruppe.
Corvus nennt zudem Kill Security, SAFEPAY und Qilin als Mitverursacher der rekordverdächtigen Anzahl von Angriffen im November. Auf diese fünf Gruppen entfielen zusammen fast 50 % aller Angriffe in diesem Monat.
Wie die Ransomware-Angriffe beginnen
Corvus untersuchte die Ransomware-Angriffe genauer, um zu versuchen, Muster zu erkennen. Sie stellten fest, dass 13 % der Opfer, deren Daten auf Websites für Datenlecks veröffentlicht wurden, VPN-Produkte nutzten, bei denen ein erhöhtes Risiko für Sicherheitsverletzungen festgestellt wurde. Diese Einstufung als hohes Risiko basiert auf den historischen Schadensdaten von Corvus.
Corvus ging noch einen Schritt weiter und schlüsselte diese Daten nach Ransomware-Gruppen auf. Sie stellten fest, dass 40 % der Opfer, die auf der von der RA Group betriebenen Ransomware-Leak-Website aufgeführt waren, risikoreiche VPNs nutzten. Es gab 9 Ransomware-Gruppen, bei denen 25 % oder mehr der aufgeführten Opfer VPNs mit erhöhtem Risiko nutzten.
Darüber hinaus nutzten rund 6 % der Opfer von „ November 2024 “ veraltete Microsoft Exchange-Server. Einige Betroffene nutzten die Versionen 2021 und 2022 , für die noch keine Patches für die ProxyShell-Sicherheitslücken verfügbar sind.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die beiden Ransomware-Gruppen, die im November die meisten Opfer verzeichneten, sind beide erst Anfang dieses Jahres aufgetaucht, was verdeutlicht, wie schnell sich eine neue Gruppe ausbreiten und weiterentwickeln kann.
Es ist wichtig zu berücksichtigen, dass diese Daten auf Informationen von Websites zu Datenlecks basieren und möglicherweise kein genaues Bild der Angriffe in diesem Monat vermitteln. Er hebt jedoch einige der wichtigsten Angriffspunkte hervor. Der Corvus-Bericht weist darauf hin, dass VPNs potenziell nach wie vor ein Hauptziel für Angreifer sind, weshalb es für Unternehmen von entscheidender Bedeutung ist, diese zu sichern.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
