Der erste Schritt in dieser Woche ist ein Blick auf Infostealer und wie sie zum Credential Trading und Ransomware-Angriffen beitragen. Als Nächstes untersucht das Tanium CTI-Team die neuesten Zero-Day-Ausbeutungsdaten von Google. Abschließend schließt das Team mit einem Überblick über einen neuen Infostealer namens Gremlin Stealer ab.
Infostealer bedrohen die Unternehmenssicherheit
KELA hat einen Bericht veröffentlicht (öffnet sich in einer neuen Registerkarte), der seine Recherche zu Infostealer-Malware zusammenfasst, wie er den Handel mit Anmeldedaten fördert und wie er Ransomware-Angriffe ermöglicht.
Unter den wichtigsten Erkenntnissen stellt der Marktplatz für Unternehmensanmeldeinformationen jetzt einen beträchtlichen Teil der Bedrohungslandschaft und des Cyberkriminalitätsökosystems dar. Firmenanmeldeinformationen sind zu einer hochwertigen Ware für Bedrohungsakteure geworden, da sie weitere Angriffe ermöglichen können.
Während Zugangsdaten über verschiedene Methoden gestohlen werden können, bleibt Infostealer-Malware ein unglaublich beliebter Mechanismus. Dies liegt daran, dass sie Anmeldeinformationen in großem Maßstab stehlen können und oft leicht zum Kauf verfügbar sind, was sie für Schauspieler unterschiedlicher Fähigkeiten zugänglich macht.
Wie sich kompromittierte Angriffe auf Anmeldedaten entwickelt haben
KELA weist auf eine wachsende Raffinesse und Kommerzialisierung bei Berechtigungsdiebstahl hin.
Während Cyberkriminalitätsforen traditionell die primäre Methode für den Kauf von kompromittierten Zugangsdaten waren, entstehen neue Kanäle. Ein Beispiel sind automatisierte Märkte, mit denen Käufer Datenbanken mit gestohlenen Zugangsdaten abfragen können.
Abonnementmodelle werden auch zunehmend verwendet, um Infostealer und kompromittierte Anmeldedaten zu verteilen. Bedrohungsakteure bieten jetzt Abonnements für kompromittierte Berechtigungsdienste an, sodass Abonnenten Zugriff auf gestohlene Anmeldedaten erhalten.
Welche Art von Mitarbeitern zielen Bedrohungsakteure am meisten an?
KELA hat zusätzliche Untersuchungen zur Sammlung infizierter Maschinen und gefährdeter Zugangsdaten durchgeführt, um die gefährdetsten Personen zu identifizieren. Projektmanagement wurde als die am stärksten betroffene Abteilung entdeckt, gefolgt von Beratung und Softwareentwicklung. Die am stärksten anvisierten Länder dieser Mitarbeiter waren Brasilien, gefolgt von Indien, den Vereinigten Staaten und Spanien.
KELA untersuchte auch den am meisten anvisierten Sektor und stellte fest, dass Technologie die Liste übertraf und 14 % der Fälle ausmachte. Danach folgten IT-Services, IT-Beratung und Fertigung.
Wie verwenden Ransomware-Gruppen gültige Konten?
Ransomware-Gruppen verwenden häufig gültige Konten oder gestohlene Zugangsdaten als erste Zugriffsmethode für ihre Angriffe. KELA betrachtete die Opfer der Ransomware-Gruppen Play, Akira und Rhysida und verglich diese Opfer mit ihrem eigenen Datenpool kompromittierter Konten. Dadurch konnten sie sehen, welche Opfer ihre Konten über Infostealer-Malware kompromittiert hatten.
KELA suchte speziell nach Konten im Zusammenhang mit VPN, RMM und Active Directory, da diese die begehrtesten sind. Sie identifizierten mehrere Ransomware-Opfer, bei denen ihre kompromittierten Zugangsdaten zwischen fünf und 95 Tagen vor der Inanspruchnahme des Angriffs geteilt wurden.
[Auch lesen: Was ist Active Directory-Sicherheit? Risiken und Best Practices]
Obwohl nicht bestätigt wird, dass diese Zugangsdaten bei dem Angriff verwendet wurden, erwähnt KELA, dass sie „eine erhebliche Bedrohung für Organisationen darstellen, da sie von Bedrohungsakteuren missbraucht werden können, um Zugang zu einer Organisation zu erhalten, die sie dann verwenden, um ihre Angriffe wie Ransomware-Angriffe durchzuführen.“
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Die Studie von KELA zeigt die Gefahren von Infostealer-Malware und wie sie den Rest der Bedrohungslandschaft antreiben.
Beachten Sie, dass der Bericht hervorhebt, welche Mitarbeiter am häufigsten auf Berechtigungsdiebstahl abzielen. Während das Projektmanagement insgesamt die am meisten angestrebte Rolle war, war die Softwareentwicklung die am meisten angestrebte Rolle, insbesondere im Technologiesektor.
Dies impliziert nicht, dass andere Positionen vollständig vor dieser Bedrohung geschützt sind. Dies erhöht jedoch die Möglichkeit, dass die Akteure bei ihren Bemühungen um den Diebstahl von Berechtigungsnachweisen gezielter sind.
Google beobachtet 75 Zero-Day-Exploits in 2024
Die Threat Intelligence Group von Google (öffnet sich in einer neuen Registerkarte) verfolgte 75 Zero-Day-Schwachstellen, die in 2024 ausgenutzt wurden.
Dies ist niedriger als die 98 Schwachstellen, die Google im Jahr 2023 verfolgte, aber etwas höher als die von Google im Jahr 2022.
Google stellte außerdem fest, dass die Anzahl der Nulltage, die sich auf Unternehmenstechnologien auswirkten, im letzten Jahr mit 44 % leicht höher war, verglichen mit nur 37 % im Jahr 2023.
Anvisieren von Endbenutzerplattformen und Produkten
56 % der Nulltage seit letztem Jahr zielten auf Endbenutzerplattformen und -produkte ab. Die Schwachstellen in dieser Kategorie umfassen diejenigen, die verwendet werden, um Browser, mobile Geräte und Desktop-Betriebssysteme auszunutzen.
Zero-Day-Angriffe auf Browser und mobile Geräte gingen erheblich zurück. Die Anzahl der Zero-Day-Angriffe, die auf Betriebssysteme abzielen, stieg jedoch, wobei Windows die am meisten anvisierte ist.
Google stellt auch fest, dass Exploitketten, die mehrere Zero-Day-Schwachstellen kombinierten, am häufigsten verwendet wurden, um mobile Geräte anzusprechen.
Die Rolle vulnerabler Unternehmenstechnologien
Im Jahr 2024 wurden 33 Zero-Days in Unternehmensprodukten ausgenutzt, hauptsächlich in Unternehmen oder in Geschäftsumgebungen.
Von den unternehmensweiten Technologieschwachstellen haben 20 gezielte Sicherheits- und Netzwerkprodukte. Im Allgemeinen hat Google in den letzten Jahren einen Anstieg der Anzahl der Anbieter von Unternehmen verzeichnet, die anvisiert wurden, und identifizierte 18 einzigartige Anbieter von Unternehmen, die im letzten Jahr auf Nulltage abzielten.
Ausnutzung durch Anbieter
Microsoft und Google waren die zwei wichtigsten Anbieter, die im Jahr 2024 von Null-Tagen betroffen waren. Ivanti ist auf den dritten Platz gesprungen, während Apple auf den vierten Platz fiel.
Welche Bedrohungsakteure sind für Zero-Day-Exploits verantwortlich?
Google stellte fest, dass mehrere Bedrohungsgruppen im letzten Jahr zur Zero-Day-Ausnutzung beigetragen haben.
Die größte Gruppe waren staatlich gesponserte Spionageakteure, die 29,4 % der Angriffe ausmachten. Innerhalb dieser Gruppe leisteten die Akteure, die mit der Volksrepublik China (PRC) in Verbindung standen, die größten Beiträge.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Zero-Days bleiben ein zentraler Schwerpunkt für Bedrohungsakteure. Während die Gesamtzahl der Nulltage im Vergleich zum Vorjahr leicht gesunken ist, haben sich die Trends verschoben.
Die Analyse von Google bietet hilfreiche Einblicke in diese sich ändernden Muster. Eine der größten Erkenntnisse aus dem Bericht von Google ist, dass ein erhöhtes Interesse an der Nutzung von unternehmensorientierter Technologie besteht, wobei Zero-Day-Schwachstellen von 2023 auf 2024 um 7 % steigen. Wie Google feststellt, wird dies „hauptsächlich durch die erhöhte Nutzung von Sicherheits- und Netzwerksoftware und -geräten angetrieben“.
Gremlin Stealer erscheint im Untergrundforum
Palo Alto hat eine neue Infostealer-Malware namens Gremlin Stealer identifiziert (öffnet sich in einer neuen Registerkarte), die jetzt in einem Telegram-Kanal namens CoderSharp verteilt wird.
Gremlin Stealer kann eine Reihe von Daten stehlen, einschließlich Cookies, Passwörter, Kryptowährungen, Computerinformationen, Dateien, Screenshots und mehr.
Was passiert mit den gestohlenen Daten?
Der für Gremlin Stealer verantwortliche Akteur behauptete kürzlich, eine große Menge gestohlener Daten auf seinen Server hochgeladen zu haben.
Palo Alto glaubt, dass dieser Server ein konfigurierbares Portal ist, das mit Malware geliefert wird. Die Website von Gremlin Stealer zeigt 14 Dateien an, von denen jede angeblich ein Archiv von Daten darstellt, die von einem Opfer gestohlen wurden.
Wie funktioniert der Gremlin Stealer?
Palo Alto überwacht diese Malware seitdem genau März 2025 und hat eine Liste seiner primären Funktionen zusammengestellt:
- Bypassing-Cookie v20: Gremlin Stealer kann den Cookie v20 -Schutz von Chrome mithilfe einer gängigen Technik umgehen, die viele Infostealer verwenden. Laut Palo Alto hat Google einige Änderungen vorgenommen , um diese Fähigkeit zu verhindern.
- Browser scannen: Gremlin Stealer prüft auf Cookies und gespeicherte Passwörter von Chrome-basierten und Gecko-basierten Browsern und schreibt die Daten zur Exfiltration in eine Datei.
- Überprüfen von Krypto-Wallets: Wie viele Infostealer prüft Gremlin Stealer auf verschiedenen Kryptowährungs-Wallets auf Geräten und stiehlt relevante Dateien.
- Diebstahl von FTP/VPN-Zugangsdaten: Die Malware versucht, FTP-Benutzernamen und Passwörter mithilfe einer Berechtigungsdiebstahlfunktion zu stehlen. Sie zielt auch auf VPN-Zugangsdaten ab.
- Sammeln von Sitzungsdaten: Die Malware versucht, Daten und Sitzungsinformationen von Telegram und Discord zu sammeln. Dies ist bei Infostealern weniger häufig.
- Abrufen von Systeminformationen: Wie viele andere Malware-Familien sammelt sie Informationen über das infizierte System, einschließlich Benutzername, Zwischenablagedaten, Hardware-ID usw.
- Kreditkartendiebstahl: Gremlin Stealer kann auch Kreditkarteninformationen stehlen.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Gremlin Stealer gibt es seit sehr langer Zeit nicht mehr. Sie ist jedoch mit einer langen Liste von Funktionen ausgestattet.
Obwohl noch nicht bestimmt werden muss, ob Gremlin Stealer wie andere beliebte Infostealer abheben wird, ist die Infostealer-Malware im Moment heiß, sodass sich diese Bedrohung lohnt, im Auge zu behalten.
Für weitere technische Erkenntnisse teilt Palo Alto Snippets (öffnet sich in einer neuen Registerkarte) des Gremlin Stealer-Codes für jede seiner verschiedenen Funktionen.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium (öffnet sich in einer neuen Registerkarte), um eine Konversation zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
