In dieser Woche befasst sich CTI mit dem gemeinsamen Cybersicherheitshinweis „ 2. März 2023“ der Cybersecurity and Infrastructure Security Agency (CISA) und des Federal Bureau of Investigation (FBI), der sich mit der wachsenden Bedrohung für verschiedene Branchen durch die neueste Variante der „Royal“-Ransomware befasst. Als Nächstes befassen wir uns mit den neuesten Forschungsergebnissen von Check Point, die sich auf die Cyberspionagegruppe „Sharp Panda“ konzentrieren und darauf, wie diese in ihrer jüngsten Kampagne eine neue Version ihres „Soul“-Backdoor-/Malware-Frameworks einsetzt. Abschließend befassen wir uns mit der neu entdeckten Variante von IceFire, einer Ransomware-Variante, die auf große Ziele abzielt und von der bisher bekannt war, dass sie ausschließlich in Windows-Umgebungen eingesetzt wurde; nun ist jedoch eine Linux-spezifische Variante aufgetaucht.
1. FBI und CISA veröffentlichen die gemeinsame Cybersicherheitsempfehlung #StopRansomware: Royal Ransomware
In einer gemeinsamen Cybersicherheitswarnung „ “ (wird in einem neuen Tab geöffnet), die von der CISA und dem FBI herausgegeben wurde, wird davor gewarnt, dass Cyberkriminelle US-amerikanische und internationale Organisationen mit einer Variante der Ransomware „Royal“ angreifen, die ein eigens entwickeltes Programm zur Dateiverschlüsselung verwendet; dabei handelt es sich um eine Weiterentwicklung früherer Versionen, die „Zeon“ als Loader nutzten. Dies ist bereits seit etwa September 2022 der Fall.
Hier sind die wichtigsten Erkenntnisse:
- Nachdem sich die Royal-Akteure Zugang zu den Netzwerken der Opfer verschafft haben, deaktivieren sie die Antivirensoftware und entwenden große Datenmengen, bevor sie schließlich die Ransomware einsetzen und die betroffenen Systeme verschlüsseln.
- Die „Royal“-Akteure haben Lösegeldforderungen in Höhe von etwa 1 Million bis 11 Millionen US-Dollar in Bitcoin gestellt.
- Bei „Royal“-Angreifern sind die Lösegeldbeträge und Zahlungsanweisungen nicht Bestandteil der ersten Lösegeldforderung. Stattdessen fordert die Nachricht, die nach der Verschlüsselung erscheint, die Opfer dazu auf, direkt mit dem Angreifer über eine „.onion“-URL zu interagieren, die ausschließlich über den Tor-Browser erreichbar ist.
- Die Hintermänner der „Royal“-Ransomware haben zahlreiche Sektoren der kritischen Infrastruktur ins Visier genommen, darunter das verarbeitende Gewerbe, die Kommunikationsbranche, das Gesundheitswesen und das öffentliche Gesundheitswesen (HPH) sowie das Bildungswesen.
Wie Schauspieler bei „Royal“ Zugang zu Netzwerken erhalten
Den Ermittlungsbehörden zufolge verschaffen sich die „Royal“-Akteure auf verschiedene Weise einen ersten Zugang zu den Netzwerken der Opfer, darunter:
Phishing-en: In 66,7 % der Vorfälle gelingt es den Royal-Akteuren, sich über erfolgreiche Phishing-E-Mails einen ersten Zugriff auf die Netzwerke der Opfer zu verschaffen. Die Opfer haben unwissentlich Malware installiert, die die Ransomware „Royal“ verbreitet, nachdem sie Phishing-E-Mails mit schädlichen PDF-Dokumenten und Werbeinhalten erhalten hatten.
en zum Remote Desktop Protocol (RDP): Bei über 13 % der Vorfälle ist eine Kompromittierung des RDP beteiligt, wodurch es zum zweithäufigsten Angriffsvektor für Royal-Akteure wird.
Öffentlich zugängliche Anwendungen: Das FBI hat zudem beobachtet, dass Akteure der „Royal“-Gruppe sich durch die Ausnutzung öffentlich zugänglicher Anwendungen einen ersten Zugriff verschafft haben.
von Brokern: Royal-Akteure können Broker nutzen, um sich einen ersten Zugang zu verschaffen und Datenverkehr zu generieren, indem sie Anmeldedaten für virtuelle private Netzwerke (VPN) aus den Protokollen von Stealer-Programmen extrahieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Viele Ransomware-Banden und andere finanziell motivierte Cyberkriminalitätsgruppen haben begonnen, sich von einem auf Verschlüsselung basierenden Erpressungsmodell abzuwenden und stattdessen auf reine Erpressungsangriffe umzusteigen.“
„Es gibt verschiedene Faktoren, die zu diesem methodischen Wandel beigetragen haben. So ist Ransomware beispielsweise auffällig, leicht zu erkennen und komplex, während Verhandlungen langwierige Angelegenheiten sein können, die in vielen Fällen dazu führen, dass keine Zahlung erfolgt oder der zu zahlende Betrag erheblich reduziert wird. „Dies wurde durch bundesstaatliche Vorschriften und sich ändernde Richtlinien der Cyber-Versicherer noch verschärft.“
„Dennoch dient diese gemeinsame Warnung vor Aktivitäten der „Royal“-Ransomware als Erinnerung daran, dass es nach wie vor zahlreiche traditionelle Ransomware-Bedrohungen gibt, auch wenn immer mehr Angreifer neue Methoden und TTPs anwenden, wie beispielsweise „Living-off-the-Land“-Taktiken (LotL), bei denen legitime Tools genutzt werden, um einer Entdeckung zu entgehen, sowie die Einführung neuer „ C2 “-Frameworks.“ Zudem nutzen sie Partnerschaften mit äußerst erfolgreichen Malware-Familien wie beispielsweise QBot für verschiedene Zwecke, die von der Unterstützung beim Erstzugang bis hin zur Nutzung vorgefertigter Kommunikationsinfrastruktur (C2) reichen. „Royal nutzt nahezu alle diese Techniken und ist daher als erhebliche Bedrohung einzustufen.“
2. Sharp Panda APT setzt eine neue Malware-Variante mit „Radio Silence“-Funktion ein
Laut Check Point setzt die Cyberspionagegruppe „ “ („Sharp Panda“) (wird in einem neuen Tab geöffnet) in ihrer jüngsten Kampagne eine neue Version ihres „Soul“-Malware-Frameworks ein.
Die „Soul“-Backdoor verfügt über eine Funktion zur Unterbrechung der Funkverbindung, die es dem Angreifer ermöglicht, die Stunden pro Woche festzulegen, zu denen die Backdoor nicht mit dem „ “-Befehls- und Kontrollserver kommunizieren darf.
Wer ist Sharp Panda?
Anfang 2021 deckte Check Point eine Überwachungsaktion unter dem Namen „ “ auf: (wird in einem neuen Tab geöffnet) , die von einer Gruppe durchgeführt wurde, die sie als „Sharp Panda“ bezeichnen. Diese Kampagne richtete sich gegen staatliche Stellen in Südostasien und nutzte Spear-Phishing-E-Mails, um sich einen ersten Zugang zu den Zielobjekten zu verschaffen. Diese gezielten Phishing-E-Mails enthielten ein angehängtes Word-Dokument mit Ködern, die sich auf behördliche Themen bezogen. Im Rahmen der Kampagne wurde eine Remote-Vorlage genutzt, um ein schädliches RTF-Dokument herunterzuladen und auszuführen, das das berüchtigte „RoyalRoad“-Kit enthielt.
Nachdem sich die Malware Zugang zum Netzwerk verschafft hatte, startete sie eine Kette von In-Memory-Loadern, darunter einen maßgeschneiderten DLL-Downloader und einen Loader der zweiten Stufe, um die endgültige Backdoor zu installieren. Die letzte Nutzlast dieser Kampagne war „VictoryDLL“ – eine maßgeschneiderte Malware, die den Fernzugriff und die Datenerfassung ermöglicht.
Die neueste Kampagne von Sharp Panda
Weitere Untersuchungen zu „Sharp Panda“ brachten mehrere Kampagnen ans Licht, die dieselbe Infektionskette wie oben beschrieben nutzten. Die jüngste Kampagne von „Sharp Panda“ nutzt jedoch eine neue Version des „ “-SoulSearcher-Loaders (wird in einem neuen Tab geöffnet), der in der Lage ist, andere Module der modularen Backdoor „ “ Soul (wird in einem neuen Tab geöffnet) herunterzuladen, zu entschlüsseln und in den Arbeitsspeicher zu laden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es ist bislang nicht bestätigt, ob das Soul-Framework von einem einzelnen Angreifer genutzt wird; erste Versuche einer Zuordnung scheinen das Framework jedoch mit einem Angreifer in Verbindung zu bringen, der in irgendeiner Weise Verbindungen zu China unterhält.“ Der Austausch von maßgeschneiderten Tools und TTPs unter chinesischen APTs ist äußerst verbreitet, was die Zuordnung – und die eigentliche Arbeit, solche Kampagnen einem einzelnen Bedrohungsakteur zuzuordnen – besonders erschwert. Es ist zudem erwähnenswert, dass das Soul-Framework bereits seit mehreren Jahren im Einsatz ist und ständig aktualisiert und weiterentwickelt wird, was es für Forscher umso schwieriger macht, den Überblick zu behalten.“
3. Die Ransomware „IceFire“ nutzt IBM Aspera Faspex aus, um Linux-basierte Unternehmensnetzwerke anzugreifen
Einem neuen Bericht von SentinelLabs zufolge haben die Forscher des Unternehmens neue Linux-Varianten einer bekannten Ransomware-namens IceFire beobachtet (öffnet in einem neuen Tab) , die gegen Medien- und Unterhaltungsunternehmen in Ländern eingesetzt werden, die traditionell nicht als beliebte Ziele für Ransomware-Gruppen gelten, darunter die Türkei, der Iran, Pakistan und die Vereinigten Arabischen Emirate.
Vor der Veröffentlichung des Berichts von SentinelLabs war IceFire lediglich mit Windows-bezogenen Angriffen in Verbindung gebracht worden: (wird in einem neuen Tab geöffnet). IceFire wurde Berichten zufolge erstmals im März 2022 vom MalwareHunterTeam entdeckt. Erst unter den Links , August 2022, (wird in einem neuen Tab geöffnet),und wurden die Opfer jedoch über die Dark-Web-Leak-Seite veröffentlicht.
SentinelLabs beschreibt die Vorgehensweise von IceFire als typisch für Ransomware-Gruppen, die die „Big-Game-Hunting“-Methode (BGH) anwenden. Mit anderen Worten: Die Vorgehensweise umfasst doppelte Erpressung, zielt auf große Unternehmen ab, nutzt mehrere Mechanismen zur Aufrechterhaltung der Präsenz und legt den Schwerpunkt auf die Umgehung von Abwehr- und Analysemaßnahmen durch das Löschen von Protokolldateien.
Während frühere Berichte IceFire Angriffe auf den Technologiesektor zuschreiben, beschränkten sich die jüngsten, auf Linux ausgerichteten Aktivitäten der Ransomware bislang weitgehend auf die Branchen Unterhaltung und Medien.
IceFire-Windows-Variante
Die Windows-Variante von IceFire wird über Phishing-Nachrichten unter verbreitet: (wird in einem neuen Tab geöffnet),und . Angreifer nutzen zudem Pivoting mithilfe von Post-Exploitation-Frameworks.
IceFire wird von Forschern als vielschichtige Erpressungsbedrohung beschrieben; die Betreiber von IceFire entwenden alle relevanten Daten aus der Zielumgebung, bevor sie die Geräte verschlüsseln. Sobald dies geschehen ist, werden die Opfer erpresst und unter Druck gesetzt, Lösegeld zu zahlen, um einen Datenverlust zu verhindern und hoffentlich Entschlüsselungscodes zu erhalten.
Über die IceFire-Linux-Variante
Laut SentinelLabs beobachteten Forscher erstmals Mitte des JahresFebruar 2023 den Einsatz der neuen Linux-Variante von IceFire. Die Angriffe nutzen eine kürzlich bekannt gewordene (und bereits behobene) Deserialisierungsschwachstelle in der Dateifreigabesoftware IBM Aspera Faspex aus (CVE-2022-47986 (wird in einem neuen Tab geöffnet), CVSS-Wert: 9,8).
Aus TheHackerNews:
„Die Ransomware-Binärdatei „“ (wird in einem neuen Tab geöffnet), die auf Linux abzielt, ist eine 2,18 MB große 64-Bit-ELF-Datei, die auf CentOS-Hosts installiert wird, auf denen eine anfällige Version der IBM Aspera Faspex-Dateiserver-Software ausgeführt wird.“
Die Linux-Variante ist zudem in der Lage, die Verschlüsselung jener Pfade zu vermeiden, die auf den Rechnern der Opfer intakt bleiben müssen, damit diese weiterhin funktionsfähig sind.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„IceFire ist die jüngste einer wachsenden Zahl von Ransomware-Familien, die ihr Arsenal diversifizieren und Varianten entwickeln, die auf verschiedene Betriebssysteme zugeschnitten sind.“ „Ransomware-Angriffe auf Linux haben in den letzten Jahren insgesamt stark zugenommen und werden sich dieser Tendenz auch im Jahr 2023 und darüber hinaus fortsetzen.“
Von SentinelLabs:
Während die Grundlagen (öffnet in einem neuen Tab) bereits im Jahr 2021 gelegt wurden , gewann der Trend zur Linux-Ransomware im Jahr 2022 an Fahrt, als namhafte Gruppen ihr Arsenal um Linux-Verschlüsselungsprogramme erweiterten, darunter unter anderem BlackBasta,, Hive (öffnet in einem neuen Tab),, Qilin (öffnet in einem neuen Tab), , Vice Society alias HelloKitty (öffnet in einem neuen Tab) und andere.
„Da es sich bei vielen Linux-Systemen um Server handelt, verlieren typische Infektionswege wie Phishing oder Drive-by-Downloads an Wirksamkeit.“ Um diese Schwierigkeit zu überwinden, greifen Angreifer daher auf die Ausnutzung von Sicherheitslücken in Anwendungen zurück, um ihre Schadcode-Payloads zu verbreiten – in diesem Fall die Sicherheitslücke in IBM Aspera.“
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
