In dieser Woche fasst CTI die jüngste Warnung von Microsoft zusammen, wonach vermehrt Kampagnen stattfinden, bei denen legitime Datei-Hosting-Dienste wie SharePoint, OneDrive und Dropbox missbraucht werden, um einer Erkennung zu entgehen. Als Nächstes befasst sich CTI mit einer derzeit laufenden Phishing-Kampagne unter dem Namen „ “ (wird in einem neuen Tab geöffnet) , bei der HTML-Anhänge zum Einsatz kommen, die die Anmeldeseiten von Microsoft 365 imitieren. Abschließend gibt CTI einen Überblick über die Ransomware-Gruppe „Dark Angels“.
Datei-Hosting-Dienste ermöglichen Angriffe durch die Manipulation von geschäftlichen E-Mails
Microsoft warnt (wird in einem neuen Tab geöffnet) vor einer Zunahme von Kampagnen, bei denen legitime Datei-Hosting-Dienste wie SharePoint, OneDrive und Dropbox missbraucht werden, um einer Erkennung zu entgehen.
Nach Angaben von Microsoft betreffen die Angriffe zunehmend Dateien mit eingeschränktem Zugriff und Lesezugriffsbeschränkungen. Auch wenn sich diese Kampagnen voneinander unterscheiden, verfolgen sie doch alle ein ähnliches Endziel: die Kompromittierung von Identitäten zur Durchführung von BEC-Angriffen vom Typ „ “ (wird in einem neuen Tab geöffnet).
Inwiefern werden Datei-Hosting-Dienste für BEC-Angriffe genutzt?
Microsoft hat zahlreiche Kampagnen festgestellt, bei denen legitime Datei-Hosting-Dienste missbraucht wurden. Bei diesen Kampagnen werden zunehmend Dateien genutzt, für die ein eingeschränkter Zugriff und/oder Lesezugriffsbeschränkungen gelten. Die Kampagnen sind opportunistischer Natur und zielen letztendlich darauf ab, Identitätsdaten zu erlangen, die für BEC-Angriffe genutzt werden können.
Die Dateien werden auf verschiedene Weise übermittelt, unter anderem per E-Mail und als E-Mail-Anhänge. Dateien mit eingeschränktem Zugriff werden über Phishing-E-Mails versendet und so eingestellt, dass nur der vorgesehene Empfänger darauf zugreifen kann. Daher muss der Empfänger beim Dateifreigabedienst (Dropbox, OneDrive, SharePoint) angemeldet sein oder sich erneut authentifizieren.
Dateien mit Lesezugriffsbeschränkungen werden verwendet, um E-Mail-Detonationssysteme zu umgehen. Diese Dateien deaktivieren die Möglichkeit, die Datei herunterzuladen, wodurch es für Tools schwieriger wird, in der Datei eingebettete URLs zu erkennen.
Erstzugang
Der Angriff beginnt in der Regel mit einem kompromittierten Benutzer eines vertrauenswürdigen Anbieters. Der Akteur wird anschließend eine Datei auf dem Datei-Hosting-Dienst dieses Anbieters hochladen und sie an eine Zielorganisation weiterleiten.
Microsoft hat festgestellt, dass diese E-Mails in der Regel Themen aufgreifen, die auf bestehenden Unterhaltungen und Inhalten basieren, und ein Gefühl der Dringlichkeit erzeugen, um die Opfer dazu zu verleiten, mit diesen Dateien zu interagieren.
Nach der Freigabe der Datei erhält das betroffene Opfer eine E-Mail von dem seriösen Dateifreigabedienst, in der mitgeteilt wird, dass eine Datei für es freigegeben wurde. Diese E-Mail ist nicht unbedingt ein Phishing-Versuch, führt jedoch zu einem Phishing-Szenario.
Identitätsmissbrauch
Nachdem ein Betroffener auf die freigegebene Datei zugegriffen hat, wird er aufgefordert, seine Identität mittels eines Einmal-Passworts zu bestätigen.
Nach der Autorisierung können sie das Dokument durch Anklicken eines Links einsehen. Der Link leitet zu einer Phishing-Seite weiter, auf der das Opfer erneut aufgefordert wird, seinen Benutzernamen und sein Passwort anzugeben und die Multi-Faktor-Authentifizierung (MFA) von abzuschließen: (wird in einem neuen Tab geöffnet). Der Akteur entwendet dabei dieses MFA-Token, das zur Durchführung der nächsten Phase eines BEC-Angriffs verwendet werden kann.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Angreifer nutzen bereits seit einiger Zeit legitime Dienste, wie sie von Microsoft genannt wurden, als Angriffsmittel. Aus dem Bericht von Microsoft geht hervor, dass sich dieser Trend fortsetzt, wobei neue Taktiken zur Umgehung von Sicherheitsmaßnahmen hinzukommen, wie beispielsweise die Verwendung von Dateien mit eingeschränktem Zugriff und Lesezugriffsbeschränkungen.
Die von Microsoft in seinem Bericht beschriebenen Methoden erfordern, dass das Opfer einige zusätzliche Schritte unternimmt, wie beispielsweise die Bestätigung seiner Identität zur Authentifizierung, das Anklicken weiterer Links und die Eingabe seiner Zugangsdaten auf einer Phishing-Seite. Dies bietet potenziellen Opfern einige zusätzliche Gelegenheiten, zu erkennen, dass es sich zwar um eine Bedrohung handeln könnte, diese jedoch im Grunde darauf abzielt, das Vertrauen auszunutzen, das zu bekannten Anbietern aufgebaut wurde.
Microsoft bietet unter (wird in einem neuen Tab geöffnet),und einige empfohlene Maßnahmen sowie hilfreiche Suchanfragen an, die Ihnen dabei helfen sollen, diese Bedrohung zu erkennen und darauf zu reagieren.
Mamba 2FA stellt eine Bedrohung für globale Organisationen dar
Der neueste Bericht von Sekoia mit dem Titel „ “ (wird in einem neuen Tab geöffnet) beschreibt eine derzeit laufende Phishing-Kampagne, bei der HTML-Anhänge verwendet werden, die die Anmeldeseiten von Microsoft 365 imitieren.
Die Phishing-Seiten selbst vermittelten Informationen zu MFA-Verfahren und nutzten die JavaScript-Bibliothek „Socket.IO“, um über WebSockets mit einem Backend-Server zu kommunizieren. Der Angriff stand zunächst offenbar im Zusammenhang mit der „ “-Plattform „Tycoon 2FA Phishing as a Service“ (PhaaS) unter (wird in einem neuen Tab geöffnet). Eine eingehendere Untersuchung ergab jedoch, dass es sich um ein bisher unbekanntes „Adversary-in-the-Middle“ (AiTM)-Phishing-Kit namens „Mamba 2FA“ handelt.
Merkmale
Seit Oktober folgen die mit dem Phishing-Kit „Mamba 2FA “ verbundenen URLs der Struktur {domain}/{m,n,o}/?{Base64 string}. Die Phishing-Seite wird nur angezeigt, wenn gültige Base64 -Parameter vorhanden sind; andernfalls bleibt sie leer.
Sollte das Kit eine Sandbox erkennen, leitet es auf eine „Google 404 “-Seite weiter. Die E-Mail-Adressen, an die die Nachricht gesendet werden soll, können am Ende der URL hinzugefügt werden. In diesem Fall wird die E-Mail-Adresse im angezeigten Anmeldeformular automatisch ausgefüllt. Sekoia hat festgestellt, dass die Phishing-Seite je nach einem in der URL enthaltenen Parameter in vier verschiedenen Varianten erscheinen kann.
Seit der Version „ Oktober 2024“ besteht die Mamba 2FA’s -Infrastruktur aus zwei Ebenen: Link-Domänen und Relay-Servern.
Funktionen von Mamba 2FA
Mamba 2FA verfügt über ähnliche Funktionen wie andere gängige Phishing-Kits, darunter:
- Es unterstützt die zweistufige Authentifizierung für MFA-Verfahren wie Einmalcodes und Benachrichtigungen über die App
- Es unterstützt Entra ID, Active Directory Federation Services (AD FS), SSO-Anbieter von Drittanbietern sowie Microsoft-Privatkundenkonten
- Es kann das individuelle Branding der Anmeldeseite einer Organisation dynamisch auf deren Phishing-Seiten widerspiegeln
- Es übermittelt Anmeldedaten und/oder Cookies über einen Telegram-Bot an den Angreifer
Kommerzialisierung
„Mamba 2FA “ ist „“, das auf Telegram unter (wird in einem neuen Tab geöffnet),und im Abonnementmodell angeboten wird. Kunden des Kits erhalten Zugriff auf den zugehörigen Telegram-Bot, der bei der Erstellung von Phishing-Links und HTML-Anhängen hilft.
Der Serverbetreiber unterhält die Infrastruktur, auf der die Seiten gehostet werden, und die Domains sind nicht für einen bestimmten Kunden bestimmt. Stattdessen werden sie als gemeinsamer Pool genutzt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Phishing-Kits wie „Mamba 2FA “ tragen maßgeblich dazu bei, dass Phishing nach wie vor eine der größten Bedrohungen darstellt. Diese Tools ermöglichen es Akteuren aller Erfahrungsstufen, Phishing-E-Mails zu versenden, ohne sich um die Erstellung und Pflege der eigentlichen Webseiten und der Infrastruktur kümmern zu müssen.
Sekoia gibt zudem bekannt, dass die von Mamba 2FA genutzten Domains in der Regel „nach wenigen Tagen der Nutzung von Sicherheitslösungen gemeldet und blockiert werden“, was das Blockieren der damit verbundenen Domains zu einem ständigen Katz-und-Maus-Spiel macht.
Die Ransomware-Gruppe „Dark Angels“ führt gezielte Angriffe durch
Laut Zscaler (wird in einem neuen Tab geöffnet) begann die Ransomware-Gruppe „Dark Angels“ im Jahr April 2022 mit der Durchführung von Angriffen und führt seitdem gezielte Angriffe durch.
Zscaler stellt fest, dass diese Gruppe mit „verdeckteren und ausgefeilteren Strategien“ vorgeht als andere Ransomware-Gruppen. Die Gruppe führt äußerst gezielte „ “-Ransomware-Angriffe (wird in einem neuen Tab geöffnet) gegen eine begrenzte Anzahl von Zielen durch, um möglichst wenig Aufmerksamkeit zu erregen.
Über die Ransomware-Gruppe „Dark Angels“
Es wird davon ausgegangen, dass diese Gruppe von russischsprachigen Regionen aus operiert und Opfer in den USA, Europa, Südamerika und Asien ins Visier nimmt.
Bei den früheren „Dark Angels“-Ransomware-Angriffen wurde Ransomware eingesetzt, die auf Windows-Systeme abzielte, und diese basierten auf dem durchgesickerten Babuk-Quellcode. Die Gruppe begann erst Anfang 2023 damit, gestohlene Daten öffentlich zu veröffentlichen.
Die Gruppe ging dazu über, eine Variante von RTM Locker für Ransomware-Angriffe auf Windows-Systeme und eine Variante von Ragnar Locker zur Verschlüsselung von Dateien auf Linux-/ESXi-Systemen einzusetzen.
So funktioniert „Dark Angels“
Die Ransomware-Gruppe nutzt Strategien wie Phishing und die Ausnutzung von Sicherheitslücken, um sich zunächst Zugang zu verschaffen.
Im Gegensatz zu vielen anderen Ransomware-Akteuren lagert „Dark Angels“ seine Angriffe nicht an Partner aus und nutzt auch keine „Initial Access Broker“, wodurch die Gruppe nur wenige gezielte Angriffe durchführen kann.
Ihre Angriffe führen in der Regel zu hohen Lösegeldzahlungen und zum Diebstahl von 1 bis 100TB Daten – wie beispielsweise beim Cyberangriff der „ “ auf Johnson Controls im vergangenen Jahr (wird in einem neuen Tab geöffnet) , bei dem die Gruppe 27TB Daten gestohlen hat.
Dateiverschlüsselung
Wie bereits erwähnt, griff die Gruppe zunächst Windows-Systeme mit einer Version von „Babuk“ an, bevor sie eine Variante von „RTM Locker“ einsetzte. Die Ransomware nutzt die Kryptografie auf Basis elliptischer Kurven (ECC). Anstatt den verschlüsselten Dateien eine kurze Dateiendung anzuhängen, wird der im Curve25519 -Format kodierte öffentliche Schlüssel angehängt.
Die Gruppe nutzt eine Variante von Ragnar Locker für Linux-/ESXi-Systeme. Diese Ransomware nutzt zur Verschlüsselung eine Kombination aus asymmetrischem ECC und symmetrischem 256-Bit-AES. Die Verschlüsselungsparameter werden zusammen mit einer für jede Datei erstellten Lösegeldforderung als Fußzeile in jede verschlüsselte Datei eingefügt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Ransomware-Gruppe „Dark Angels“ unterscheidet sich in mehrfacher Hinsicht von den meisten anderen Gruppen; am interessantesten ist jedoch, dass sie kein „ “-Modell im Rahmen des Ransomware-as-a-Service (RaaS)-Konzepts verfolgt: (öffnet in einem neuen Tab)/affiliate.
Die Gruppe hält an traditionellen Methoden zur Durchführung ihrer Angriffe fest, ohne diese auszulagern, was es ihr ermöglicht, ihre gezielten Angriffe fortzusetzen. Die „Dark Angels“ erhielten Anfang dieses Jahres eine rekordhohe Lösegeldzahlung in Höhe von 75 Millionen US-Dollar im Rahmen der „ “ (wird in einem neuen Tab geöffnet) .
In Anlehnung an die Überlegungen von Zscsaler ist die Tatsache, dass sie eine rekordhohe Lösegeldzahlung erhalten haben, obwohl sie nur selten Schlagzeilen machen, äußerst besorgniserregend und zeugt von ihrem Bestreben, äußerst unauffällig zu bleiben.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
