In dieser Woche befasst sich CTI mit einem von der chinesischen Regierung unterstützten Akteur namens „Evasive Panda“, der sein Toolset aktualisiert hat, um neue Versionen seiner „Macma“-Mac-Backdoor und der „Nightdoor“-Windows-Malware einzuführen. Anschließend fasst CTI die 10. Ausgabe der „Internet Organised Crime Threat Assessment“ (IOCTA) von Europol zusammen. Abschließend wirft CTI einen Blick auf die Ransomware „Play“ – eine Operation, die mittlerweile eine Linux-Variante ihrer Ransomware einsetzt, um VMware-ESXi-Umgebungen anzugreifen.
1. Evasive Panda setzt neue Versionen der Macma-Backdoor ein
Ein von der chinesischen Regierung unterstützter Akteur hat sein Toolset aktualisiert und dabei mehrere neue Versionen seiner „ “-Backdoor „Macma mac“ sowie eine neue Windows-Malware namens „Nightdoor“ eingeführt. Der Akteur hat diese neuen Tools bei mehreren kürzlich erfolgten Angriffen auf Organisationen mit Sitz in Taiwan sowie auf eine amerikanische Nichtregierungsorganisation in China eingesetzt.
Was ist die Macma-macOS-Backdoor?
Macma ist eine macOS-spezifische Hintertür. Es wurde erstmals im Jahr 2021 von Google dokumentiert, doch es gibt Hinweise darauf, dass es bereits seit mindestens 2019 in Gebrauch ist.
Als Macma erstmals entdeckt wurde, wurde es vor allem für „Watering-Hole“-Angriffe in Hongkong genutzt. Diese Hintertür ist modular aufgebaut und verfügt unter anderem über Funktionen wie Fingerabdruckerkennung, Befehlsausführung, Bildschirmaufzeichnung, Tastenprotokollierung, Audioaufzeichnung sowie die Möglichkeit, Dateien hoch- und herunterzuladen.
Symantec hat neuere Varianten der Hintertür entdeckt. Eine Variante verfügte über ein völlig anderes Hauptmodul, während eine andere inkrementelle Aktualisierungen aufwies. Zu den Unterschieden in den neuen Varianten zählen unter anderem aktualisierte Module, angepasste Dateiverzeichnispfade und Dateinamen sowie zusätzliche Debug-Protokollierung. Das Hauptmodul der Malware wurde aktualisiert und enthält nun neue Logik, geänderten Code sowie eine neue Datei.
Macma-Quellenangabe
Forscher führen diese jüngsten Aktivitäten auf einen von China unterstützten Akteur zurück, der unter dem Namen „Evasive Panda“, auch bekannt als „Daggerfly“, bekannt ist. Während Macma zuvor mit keiner bestimmten Gruppe in Verbindung gebracht wurde, geht Symantec davon aus, dass es nun zum Arsenal von Daggerfly gehört.
Zwei der von ihnen identifizierten Varianten stellten eine Verbindung zu einem C2 -Server her, der von einem MgBot-Dropper genutzt wurde, der häufig von Daggerfly eingesetzt wird. Diese gemeinsam genutzte Infrastruktur ist ein wichtiger Indikator für die Zuordnung. Zudem wurde festgestellt, dass MgBot und Macma Code aus einer gemeinsam genutzten Bibliothek oder einem Framework enthielten.
Neue Windows-Hintertür
Symantec stellte zudem fest, dass der Akteur eine Windows-Backdoor namens „Trojan.Suzafk“ einsetzte, über die ESET bereits Anfang dieses Jahres erstmals berichtet hatte und die den Namen „Nightdoor“ erhielt.
Die Windows-Backdoor wurde in Verbindung mit MgBot beobachtet und wurde ebenfalls mit derselben gemeinsam genutzten Bibliothek entwickelt wie viele Daggerfly-Tools.
Diese Hintertür ist mehrstufig aufgebaut und nutzt für ihre Kommunikation TCP oder OneDrive C2 . Der Loader legt eine DLL-Datei und eine ausführbare Datei ab. Bei der ausführbaren Datei handelt es sich um eine legitime Anwendung namens „DAEMON Tools Lite Helper“, während die DLL ein Loader ist, der dazu dient, geplante Aufgaben zu erstellen und die eigentliche Schadcode-Nutzlast zu laden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Akteur ist bereits seit über einem Jahrzehnt aktiv und führt in erster Linie Spionagekampagnen durch. Die ständige Weiterentwicklung des Repertoires eines Schauspielers ist einer der Hauptgründe dafür, dass dieser weiterhin erfolgreich ist.
Da diese Gruppe über „umfangreiche Ressourcen“ verfügt, ist sie in der Lage, neue Varianten rasch zu entwickeln und einzusetzen, sobald über frühere Varianten öffentlich berichtet wurde. Symantec geht davon aus, dass die Gruppe ein eigens entwickeltes Framework zur Erstellung ihrer Malware-Varianten nutzt, da es nicht möglich war, diese mit einem öffentlich zugänglichen Framework in Verbindung zu bringen. Dies untermauert einmal mehr die Fähigkeit des Akteurs, rasch neue Varianten zu entwickeln.
2. Cyberkriminelle agieren nach der Zerschlagung von RaaS-Netzwerken eigenständig
Europol hat die 10. Ausgabe seines „ “ Internet Organised Crime Threat Assessment (IOCTA) veröffentlicht, das einen Überblick über die gesamte Bedrohungslage bietet und eine Reihe sich weiterentwickelnder Bedrohungen und Trends analysiert, die von Cyberangriffen bis hin zu Zahlungsbetrugsmaschen reichen. Ein Teil der Untersuchung konzentriert sich auf die Auswirkungen von Störungen im Bereich der Strafverfolgung. Zu den wichtigsten Erkenntnissen zählen eine zunehmende Schwierigkeit bei der Nachverfolgung von Schauspielern sowie eine steigende Zahl von Schauspielern, die sich für eine selbstständige Tätigkeit entscheiden.
Das RaaS-Modell funktioniert so, dass es Ransomware-Betreiber quasi dazu zwingt, um Partner zu konkurrieren und sich als das attraktivere RaaS-Angebot zu positionieren. Dieses Modell führt bereits zu einer gewissen Unklarheit bei der Zuordnung, da Affiliates möglicherweise mehr als einem RaaS angehören.
Die jüngsten Zerschlagungsmaßnahmen der Strafverfolgungsbehörden erschweren die Zuordnung noch weiter, da sie die Gruppen dazu zwingen, ihren Namen zu ändern oder sich aufzulösen, und die Akteure dazu veranlassen, sich entweder anderen Gruppen anzuschließen oder mit Mitgliedern anderer Gruppen zusammenzuarbeiten, um völlig neue Operationen ins Leben zu rufen. Der ständige Wechsel von Akteuren zwischen verschiedenen Ransomware-Gruppen macht es zunehmend schwieriger zu erkennen, welcher Betreiber tatsächlich hinter einem Angriff steckt.
Europol bezeichnet die Ransomware-Landschaft aufgrund der verstärkten Bemühungen der Strafverfolgungsbehörden als „fragmentiert“.
Da Maßnahmen der Strafverfolgungsbehörden den Betrieb einer Ransomware-Gruppe stören können, besteht die Möglichkeit, dass sich die Partner entweder einer anderen Gruppe anschließen oder sich selbstständig machen. Auch wenn Letzteres nicht alltäglich ist, ist es dennoch denkbar – zumal die Partner es leid sind, ständig ihre Geschäftsabläufe umstellen zu müssen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die jüngsten Maßnahmen der Strafverfolgungsbehörden und die Störungen in den letzten Monaten haben zweifellos Auswirkungen auf die Ransomware-Landschaft gehabt. Auch wenn sie nicht ausreichen, um die Bedrohung vollständig zu beseitigen, bewirken sie doch zweifellos eine Veränderung in der Vorgehensweise der Ransomware-Täter.
Diese Maßnahmen zur Zerschlagung und Störung stellen im Wesentlichen die Loyalität der Akteure auf die Probe und führen sogar dazu, dass immer mehr Akteure bereit sind, sich vom RaaS-Modell zu lösen und möglicherweise eigenständig zu agieren.
Diese mögliche Verlagerung hin zu unabhängigen Akteuren bringt ihre eigenen Herausforderungen mit sich. Abgesehen davon, dass dies die Zuordnung erschweren würde, würde dies wahrscheinlich auch dazu führen, dass die Landschaft mit unzähligen Varianten von Malware und Ransomware überschwemmt würde, von denen jede ihre eigenen geringfügigen Abwandlungen aufweisen würde.
3. Die Linux-Play-Variante ist für VMware-ESXi-Systeme vorgesehen
Die Ransomware-Gruppe „Play“ setzt nun eine Linux-Variante ihrer Ransomware ein, um VMware-ESXi-Umgebungen anzugreifen.
Die jüngsten „Play“-Angriffe richten sich in erster Linie gegen Unternehmen in den Vereinigten Staaten aus verschiedenen Branchen, darunter das verarbeitende Gewerbe, professionelle Dienstleistungen und die IT-Branche. Die Forscher stellten zudem einen Zusammenhang zwischen der Ransomware „Play“ und „Prolific Puma“ fest, einem Akteur, der einen Link-Verkürzungsdienst betreibt.
Was ist die Ransomware „Play“?
Die Ransomware-Kampagne „Play“ tauchte erstmals im Juni 2022 auf und wurde in der gesamten Branche schnell für den Einsatz maßgeschneiderter Tools bekannt.
Durch die Einführung einer Linux-Variante, die auf VMware-ESXi-Umgebungen abzielt, kann die Gruppe weitere Opfer ins Visier nehmen. Laut Symantec gab es zwischen Januar und Juli des Jahres 2024 insgesamt 187 Opfer dieser Aktion aus verschiedenen Branchen – 82,4 % davon befanden sich in den USA.
Die Infektionskette bei „Play“
Die „Play Linux“-Variante wurde zum Zeitpunkt des Berichts von Trend Micro bei VirusTotal nicht erkannt. Trend Micro hat bislang noch keine Infektion in freier Wildbahn festgestellt, die auf diese Variante zurückzuführen ist, hat jedoch bestätigt, dass der Server „ C2 “ zahlreiche der Tools hostet, die der Angreifer üblicherweise bei seinen Angriffen einsetzt.
Die Linux-Variante scheint der Windows-Variante zu ähneln und akzeptiert viele der gleichen Argumente. Dazu gehören unter anderem die Ausführung der normalen Funktionen sowie die Verschlüsselung eines bestimmten Laufwerks, einer gemeinsam genutzten Netzwerkressource oder einer bestimmten Datei bzw. eines bestimmten Ordners. Diese Variante führt mehrere Befehle aus, um zu überprüfen, ob sie in einer ESXi-Umgebung ausgeführt wird, bevor sie vollständig ausgeführt wird, und löscht sich selbst, falls dies nicht der Fall ist.
Shell-Skriptbefehle werden ausgeführt, wenn festgestellt wird, dass sie in einer ESXi-Umgebung laufen; einer dieser Befehle ist dafür zuständig, alle identifizierten virtuellen Maschinen zu scannen und herunterzufahren. Anschließend führt die Ransomware mehrere Befehle aus, die die Dateien der virtuellen Maschine – darunter die Festplatten-, Konfigurations- und Metadatendateien – verschlüsseln, ihnen die Dateiendung „.play“ hinzufügen und die Lösegeldforderung ablegen.
Die enge Verbindung von Play zu Puma
Trend Micro stellte fest, dass die URL, auf der die Ransomware-Nutzlast und die Tools gehostet werden, mit einem anderen Akteur aus dem Bereich „ “ in Verbindung steht, der unter dem Namen „Prolific Puma“ bekannt ist:. Dieser Anbieter erstellt Domains mithilfe eines Algorithmus zur zufälligen Generierung von Zieladressen und nutzt diese anschließend in seinem Link-Kürzungsdienst, den er vertreibt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Mit dieser Entdeckung reiht sich „Play“ als neueste Ransomware-Operation in eine immer länger werdende Liste von Akteuren ein, die ein Interesse daran haben, Linux ins Visier zu nehmen, um die Zahl potenzieller Opfer zu erhöhen.
Die Tatsache, dass Play die von Prolific Puma angebotenen Dienste zur URL-Verkürzung nutzt, ist ein weiteres Zeichen für die Weiterentwicklung der Gruppe. Trend Micro stellt fest, dass Prolific Puma „bei der Auswahl seiner Kunden sehr wählerisch ist und es vorzieht, mit Personen oder Gruppen zusammenzuarbeiten, die seiner Ansicht nach ihrer Dienste würdig sind“, was darauf hindeutet, dass andere Akteure, wie beispielsweise Prolific Puma, die „Play“-Ransomware-Operation als ausgeklügelt oder „wertvoll“ betrachten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.