Diese Woche betrachtet CTI einen chinesischen staatlich unterstützten Schauspieler namens Evasive Panda, der sein Toolset aktualisiert hat, um neue Versionen seiner Macma Mac Backdoor und der Nightdoor Windows-Malware einzuführen. Als nächstes fasst CTI Europols 10. Ausgabe ihrer Internet Organised Crime Threat Assessment (IOCTA) zusammen. Zum Schluss schließt CTI mit einem Blick auf die Play-Ransomware ab – eine Operation, die jetzt eine Linux-Variante ihrer Ransomware bereitstellt, um VMware ESXi-Umgebungen anzuvisieren.
1. Evasive Panda stellt neue Versionen von Macma Backdoor bereit
Ein chinesischer staatlich unterstützter Schauspieler hat sein Toolset aktualisiert, um mehrere neue Versionen seiner Macma Mac Backdoor und eine neue Nightdoor Windows-Malware einzuführen. Der Akteur hat dieses neue Tool bei mehreren kürzlichen Angriffen gegen Organisationen in Taiwan und gegen eine amerikanische Nichtregierungsorganisation in China eingesetzt .
Was ist Macma macOS Backdoor?
Macma ist eine macOS-spezifische Hintertür. Sie wurde erstmals von Google im Jahr 2021 dokumentiert, aber es gibt Hinweise darauf, dass sie seit mindestens 2019 verwendet wird.
Als Macma zum ersten Mal entdeckt wurde, wurde es hauptsächlich bei Bewässerungsangriffen in Hongkong verwendet. Diese Backdoor ist modular und verfügt über Funktionen wie Fingerabdruck, Befehlsausführung, Bildschirmerfassung, Keylogging, Audioerfassung und die Möglichkeit, Dateien hochzuladen und herunterzuladen.
Symantec hat neuere Varianten der Hintertür entdeckt. Eine Variante hatte ein völlig anderes Hauptmodul, während eine andere inkrementelle Updates hatte. Einige der Unterschiede in den neuen Varianten umfassen aktualisierte Module, aktualisierte Dateiverzeichnispfade und Dateinamen sowie zusätzliche Debug-Protokollierung. Das Hauptmodul der Malware wurde aktualisiert, um neue Logik, geänderten Code und eine neue Datei aufzunehmen.
Macma-Zuordnung
Forscher führen diese neueste Aktivität einem in China unterstützten Schauspieler zu, der als Evasive Panda, auch bekannt als Daggerfly, bekannt ist. Während Macma bisher nicht mit einer bestimmten Gruppe verknüpft war, ist Symantec der Ansicht, dass sie jetzt Teil von Daggerflys Arsenal ist.
Zwei der identifizierten Varianten sind mit einem C2 -Server verbunden, der von einem MgBot-Dropper verwendet wurde, der häufig von Daggerfly verwendet wird. Diese gemeinsame Infrastruktur ist ein Schlüsselindikator für die Zuordnung. Darüber hinaus wurde festgestellt, dass MgBot und Macma Code aus einer gemeinsamen Bibliothek oder einem gemeinsamen Framework enthalten.
Neue Windows-Hintertür
Symantec entdeckte den Schauspieler auch mit einer Windows-Hintertür, Trojan.Suzafk, die Anfang dieses Jahres von ESET gemeldet und Nightdoor genannt wurde.
Die Windows-Backdoor wurde neben MgBot beobachtet und erneut mit der gleichen gemeinsamen Bibliothek wie viele Daggerfly-Tools entwickelt.
Diese Backdoor ist mehrstageig und verwendet TCP oder OneDrive für seine C2 -Kommunikationen. Der Lader wird eine DLL und eine ausführbare Datei löschen. Die ausführbare Datei ist eine legitime App namens DAEMON Tools Lite Helper, während die DLL ein Loader ist, der geplante Aufgaben erstellen und die endgültige Nutzlast laden soll.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dieser Schauspieler gibt es seit über einem Jahrzehnt, hauptsächlich mit Spionagekampagnen. Die kontinuierliche Weiterentwicklung des Arsenals des Schauspielers ist einer der Hauptgründe, warum der Schauspieler weiterhin erfolgreich ist.
Da diese Gruppe „stark besorgt“ ist, kann sie schnell neue Varianten entwickeln und verwenden, nachdem frühere Varianten öffentlich gemeldet wurden. Symantec glaubt, dass die Gruppe ein benutzerdefiniertes Framework verwendet, um ihre Malware-Varianten aus zu entwickeln, da sie es nicht mit öffentlich verfügbaren Frameworks verknüpfen konnten. Dies unterstützt weiter die Fähigkeit des Schauspielers, schnell neue Varianten zu erstellen.
2. Cyberkriminelle arbeiten nach RaaS-Abnahmen unabhängig
Europol hat die 10. Ausgabe seiner Internet Organised Crime Threat Assessment (IOCTA) veröffentlicht, die die Bedrohungslandschaft insgesamt betrachtet und eine Reihe von sich entwickelnden Bedrohungen und Trends analysiert, die von Cyberangriffen bis hin zu Zahlungsbetrugssystemen reichen. Ein Teil der Bewertung konzentriert sich auf die Auswirkungen von Störungen der Strafverfolgung. Eines der wichtigsten Ergebnisse ist eine erhöhte Schwierigkeit bei der Verfolgung von Schauspielern und eine Zunahme von Schauspielern, die sich für eine unabhängige Arbeit entscheiden..
Das RaaS-Modell arbeitet auf eine Weise, die Ransomware-Operationen fast zwingt, um um verbundene Unternehmen zu konkurrieren und sich als das attraktivere RaaS zu positionieren. Dieses Modell macht die Zuordnung bereits ein wenig matschig, da Partner zu mehr als einem RaaS gehören könnten.
Jüngste Maßnahmen für Strafverfolgungsbehörden erschweren die Zuordnung noch, indem sie Operationen zwingen, sich neu zu kennzeichnen oder zurückzubauen, und Akteure dazu zwingen, sich entweder anderen Gruppen anzuschließen oder mit Mitgliedern anderer Gruppen zusammenzuarbeiten, um völlig neue Operationen zu schaffen. Die Vermischung von Akteuren zwischen Ransomware-Gruppen macht es immer schwieriger zu verstehen, was sich wirklich hinter einem Angriff befindet.
Europol bezeichnet die Ransomware-Landschaft aufgrund der erhöhten Strafverfolgungsbemühungen als „fragmentiert“.
Da Strafverfolgungsmaßnahmen einen Ransomware-Betrieb stören können, besteht das Potenzial für Partner, entweder einer anderen Gruppe beizutreten oder sich von selbst zu trennen. Letzteres wird zwar nicht jeden Tag gesehen, ist aber immer noch plausibel – insbesondere, da die Partner es satt haben, ständig den Betrieb wechseln zu müssen.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Die jüngsten Strafverfolgungsmaßnahmen und Unterbrechungen in den letzten Monaten hatten sicherlich Auswirkungen auf die Ransomware-Landschaft. Obwohl sie nicht ausreichen, um die Bedrohung vollständig aufzuschlüsseln, verursachen sie absolut eine Veränderung in der Art und Weise, wie Ransomware-Akteure arbeiten.
Diese Bemühungen zur Reduzierung und Unterbrechung testen im Wesentlichen die Loyalitäten der Akteure und erhöhen sogar die Anzahl der Akteure, die bereit sind, vom RaaS-Modell abzubrechen und potenziell unabhängig zu arbeiten.
Diese potenzielle Verschiebung hin zu unabhängigen Schauspielern bringt ihre eigenen Herausforderungen mit sich. Abgesehen von der Erschwerung der Zuordnung würde es die Landschaft wahrscheinlich auch mit einer Vielzahl von Malware- und Ransomware-Varianten überschwemmen, die jeweils ihre eigenen geringfügigen Änderungen aufweisen.
3. Linux Play-Variante zielt auf VMware ESXi-Systeme ab
Play Ransomware stellt jetzt eine Linux-Variante ihrer Ransomware bereit, um VMware ESXi-Umgebungen zu zielen.
Die neuesten Play-Angriffe richten sich hauptsächlich an Organisationen in den Vereinigten Staaten in verschiedenen Branchen, darunter Fertigung, professionelle Dienstleistungen und IT. Forscher identifizierten auch eine Verbindung zwischen Play Ransomware und Prolific Puma, einem Akteur, der einen Link-Shorting-Dienst betreibt.
Was ist Ransomware von Play?
Der Ransomware-Betrieb von Play wurde erstmals ins Leben gerufen Juni 2022 und schnell in der gesamten Branche für seine Verwendung von maßgeschneiderten Tools bekannt.
Die Hinzufügung einer Linux-Variante für VMware ESXi-Umgebungen ermöglicht es der Gruppe, zusätzliche Opfer anzusprechen. Laut Symantec hatte der Betrieb zwischen Januar und Juli 2024 187 Opfer in mehreren Sektoren – und 82,4 % waren in den USA.
Infektionskette von Play
Die Play Linux-Variante hatte zum Zeitpunkt des Berichts von Trend Micro keine Erkennungen in VirusTotal. Trend Micro hat noch keine Infektion in der Wildnis gesehen, die von dieser Variante stammt, hat aber bestätigt, dass der C2 -Server viele der Tools hostet, die der Akteur bei seinen Angriffen tendenziell verwendet.
Die Linux-Variante scheint der Windows-Variante ähnlich zu sein und akzeptiert viele der gleichen Argumente. Einige davon umfassen die Ausführung normaler Funktionen und die Verschlüsselung eines bestimmten Laufwerks, einer gemeinsamen Netzwerkressource oder einer bestimmten Datei/eines bestimmten Ordners. Diese Variante führt mehrere Befehle aus, um zu bestätigen, dass sie in einer ESXi-Umgebung ausgeführt wird, bevor sie vollständig ausgeführt wird, und löscht sich selbst, wenn nicht.
Shell-Skriptbefehle werden ausgeführt, wenn sie in einer ESXi-Umgebung ausgeführt werden, von denen einer für das Scannen und Herunterfahren identifizierter VMs verantwortlich ist. Die Ransomware wird fortfahren, um mehrere Befehle auszuführen, die VM-Dateien verschlüsseln, einschließlich VM-Disk-, Konfigurations- und Metadatendateien, und sie mit der .play-Erweiterung anhängen und die Ransomware-Notiz löschen.
Prolific Puma-Verbindung von Play
Trend Micro bemerkte, dass die URL, die die Ransomware-Payload und Tools hostet, mit einem anderen Akteur namens Prolific Puma zusammenhing. Dieser Akteur erstellt Domains mithilfe eines zufälligen Zielgeneratoralgorithmus und verwendet sie dann in seinem Linkverkürzungsdienst, den er verkauft.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Diese Entdeckung macht Play zum neuesten Ransomware-Betrieb in einer wachsenden Liste von Akteuren mit einem Interesse daran, Linux anzuvisieren, um die Anzahl potenzieller Opfer zu erhöhen.
Die Tatsache, dass Play die Link-Verkürzungsdienste nutzt, die von Prolific Puma bereitgestellt werden, signalisiert die Entwicklung der Gruppe weiter. Trend Micro stellt fest, dass Prolific Puma „in seinem Kundenauswahlprozess erkennt und lieber mit Einzelpersonen oder Gruppen interagiert, die seine Dienste als verdient erachten“, was darauf hindeutet, dass andere Schauspieler, wie Prolific Puma, den Ransomware-Betrieb von Play als anspruchsvoll oder „würdig“ betrachten.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium und beginnen Sie ein Gespräch.
Um weiter zu lesen, informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
