In dieser Woche informiert CTI über die neuesten Entwicklungen im Zusammenhang mit einer derzeit laufenden Social-Engineering-Kampagne. Als Nächstes befasst sich CTI mit einer relativ neuen Ransomware-Kampagne namens „Mad Liberator“. Abschließend gibt CTI einen Überblick darüber, wie sich die Cyberkriminellen-Szene im Laufe der Jahre entwickelt hat.
1. Im Rahmen einer andauernden Social-Engineering-Kampagne tauchen neue Werkzeuge auf
Rapid7 verfolgt seit einigen Monaten eine andauernde Social-Engineering-Kampagne unter dem Namen „ “ . Sie beobachten derzeit eine Veränderung bei den von dem Angreifer verwendeten Tools, darunter eine Umstellung von nativen Windows-Binärdateien auf eine .NET-Ausführungsdatei, die vorgibt, E-Mail-Spamfilter herunterzuladen.
Laut Rapid7 scheint sich der Köder des Angreifers im Verlauf dieser Kampagne nicht zu ändern. Der Betrüger versendet eine große Anzahl von E-Mails an ein Opfer und ruft den Nutzer – in der Regel über Teams – an, wobei er vorgibt, eine Lösung für ein „Problem“ anzubieten. Der Angreifer wird das Opfer dazu bringen, AnyDesk zu installieren, wodurch er Fernzugriff auf das Gerät erhält und böswillige Handlungen ausführen kann.
Der Angreifer führt anschließend die Datei „antispam.exe“ aus, die vorgibt, einen E-Mail-Spamfilter herunterzuladen. Bei diesem gefälschten Spamfilter muss der Benutzer seine Anmeldedaten eingeben. Anschließend führt der Akteur eine Reihe von Binärbefehlen und Skripten aus, um eine Verbindung zu seinem C2 -Server herzustellen. Neben Reverse-SSH-Tunneln und dem Level-Tool zur Fernüberwachung und -verwaltung (RMM) für die laterale Bewegung wurden mehrere Folge-Payloads beobachtet.
Technische Details
Bei der Untersuchung der bei dem Angriff eingesetzten sekundären Payloads stellte Rapid7 fest, dass viele dieser Payloads mit demselben Zertifikat signiert waren.
Antispam.exe
Wie oben bereits erwähnt, handelt es sich hierbei um einen Credential-Harvester, der sich als E-Mail-Spamfilter tarnt. Das Programm durchläuft eine Schleife, die dieselbe Meldung 1 023 Mal im Fenster ausgibt. Diese Scheinschleife endet damit, dass der Benutzer zur Eingabe seiner Anmeldedaten aufgefordert wird und ihm eine gefälschte Erfolgsmeldung angezeigt wird.
Updatex.exe
Der Akteur führt anschließend eine Reihe von ausführbaren Dateien aus, die jeweils mit dem Wort „update“ beginnen, gefolgt von einer Zahl. Die ausführbaren Dateien sind alle mit demselben Zertifikat signiert, erfüllen jedoch jeweils eine andere Funktion.
- Die Datei „Update1.exe“ ( ) gibt vor, ein Installationsprogramm für „Yandex Disk“ zu sein, einen Cloud-Speicher- und Dateifreigabedienst. Die Nutzlast entschlüsselt eine zweite ausführbare Datei und führt diese über eine lokale PE-Injektion aus. Diese ausführbare Datei der zweiten Stufe fungiert als Beacon und stellt über eine HTTP-Client-Anfrage in Golang eine Verbindung zum Server C2 her. Rapid7 geht aufgrund der eingebetteten Zeichenfolgen davon aus, dass der Server, mit dem eine Verbindung hergestellt wird, als SOCKS-Proxy fungiert.
- Die Datei „Update4.exe“ ( ) gibt vor, eine Kopie von „APEX Scan“ zu sein, einem Antiviren-Scanner von Trend Micro, der jedoch schädlichen Code enthält. Sobald dies ausgeführt wird, wird ein Shellcode gestartet, der dafür zuständig ist, eine Verbindung zum Server C2 herzustellen und als SOCKS-Proxy zu fungieren.
- Update6.exe versucht, die Schwachstelle CVE-2022-26923 auszunutzen, um ein Computerkonto hinzuzufügen, sofern der Domänencontroller anfällig ist. Es wird vermutet, dass der Quellcode aus einem öffentlich zugänglichen Cobalt-Strike-Modul kopiert wurde.
- Die Datei „Update7.exe“ () enthält ebenso wie die Datei „ Update8.exe“ die Malware „SystemBC“. Diese Malware fungiert als SOCKS-Proxy, dient aber auch als Dropper für weitere Payloads.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Angreifer ändert zwar die Tools bzw. Payloads des Angriffs, nicht jedoch den ursprünglichen Köder. Es liegt auf der Hand, dass der Angreifer einen gewissen Erfolg verzeichnen muss, da er die Opfer mit E-Mails bombardiert und sie anschließend anruft, um eine Lösung für das von ihm selbst verursachte Problem anzubieten.
Dennoch ist es überraschend, dass sich dieser Köder möglicherweise als erfolgreich erweisen könnte. Unternehmen müssen solche Anrufe im Voraus antizipieren und auf betrügerische Aktivitäten achten.
2. Die Ransomware „Mad Liberator“ zielt auf AnyDesk-Nutzer ab
Sophos hat kürzlich eine relativ neue Ransomware-Kampagne namens „ “ („Mad Liberator“) untersucht:. Dieser Akteur trat erstmals in „ Juli 2024 “ in Erscheinung und hat es auf Opfer abgesehen, auf deren Computern AnyDesk installiert ist. Er tätigt unaufgeforderte Anrufe in der Hoffnung, dass das Opfer die Verbindungsanfrage annimmt.
Wie viele andere Ransomware-Operationen konzentriert sich auch „Mad Liberator“ auf die Exfiltration von Daten. Sophos hat bislang noch keine Fälle festgestellt, in denen der Akteur Daten verschlüsselt hat, obwohl andere Untersuchungen darauf hindeuten, dass die Gruppe gelegentlich Verschlüsselung einsetzt. Der Täter unterhält eine Website für Datenlecks, auf der er die Namen seiner Opfer veröffentlicht, und nutzt in erster Linie Social-Engineering-Techniken, um sich einen ersten Zugriff zu verschaffen.
Der Angriffsablauf von „Mad Liberator“
Der Angreifer stützt sich in hohem Maße auf die Nutzung von AnyDesk und hat es auf Opfer abgesehen, bei denen diese Software bereits installiert ist. Sophos hat nicht ermittelt, wie der Angreifer eine bestimmte AnyDesk-ID ins Visier nimmt, und hat auch keine Verbindungen oder Kontakte zwischen dem Angreifer und dem Opfer festgestellt, bevor das Opfer eine unaufgeforderte AnyDesk-Verbindungsanfrage erhält.
Bei dem von Sophos beobachteten Vorfall wusste das Opfer, dass AnyDesk von der IT-Abteilung seines Unternehmens rechtmäßig genutzt wurde, und ging davon aus, dass die Verbindungsanfrage Teil des normalen Betriebs des IT-Teams war. Sobald das Opfer die Verbindungsanfrage akzeptiert hatte, konnte der Angreifer eine schädliche Binärdatei auf dessen Gerät übertragen und ausführen.
Die übermittelte Binärdatei trug den Namen „Microsoft Windows Update“, um keinen Verdacht zu erregen, und zeigte dem Opfer sogar einen Bildschirm an, der einem Windows-Update nachempfunden war. Der Schauspieler nutzte daraufhin eine Funktion von AnyDesk, um die Eingaben über Tastatur und Maus des Benutzers zu deaktivieren, sodass dieser nicht versuchen konnte, die Ausführung zu stören.
Während dem Nutzer das gefälschte Windows-Update angezeigt wurde, verschaffte sich der Angreifer Zugriff auf das OneDrive-Konto des Opfers. Sie nutzten die Option „AnyDeskFileTransfer“, um Dateien aus dem OneDrive-Konto zu entwenden. Anschließend nutzte der Schauspieler den „Advanced IP Scanner“, um zu prüfen, ob auf andere Geräte im Netzwerk seitlich zugegriffen werden konnte. Nach der Datenexfiltration erstellte der Angreifer mehrere Lösegeldforderungen und hinterlegte diese an verschiedenen Orten, nicht nur auf dem Gerät des Opfers.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Damit „Mad Liberator“ funktioniert, muss ein Endnutzer zunächst eine unaufgeforderte AnyDesk-Verbindungsanfrage annehmen. Diese Vorgehensweise dürfte Endnutzern verdächtig erscheinen.
Sollte dieser Akteur seine Methoden für den Erstzugang weiterentwickeln und dabei verstärkt auf Social Engineering zurückgreifen, wird es ihm wahrscheinlich wesentlich besser gelingen, Nutzer dazu zu bewegen, AnyDesk-Verbindungsanfragen anzunehmen.
3. Bitdefender untersucht die sich wandelnde Welt der Cyberkriminalität
Ein aktueller Bericht von Bitdefender untersucht, wie sich der Cyberkriminellen-Untergrund „ “ weiterentwickelt.
„Vorbei sind die Zeiten der (relativ) harmlosen Hackerangriffe, bei denen es nur darum ging, damit anzugeben“, so Bitdefender.
“„Heutzutage agieren Cyberkriminelle als Teil gut organisierter Gruppen und erwirtschaften jährlich Millionen, indem sie Unternehmen direkt angreifen oder ihre Dienste anderen, weniger versierten Angreifern zur Verfügung stellen.“
Laut Bitdefender wurde diese Entwicklung durch eine größere digitale Angriffsfläche, das Aufkommen weiterer Dark-Web-Marktplätze, große Mengen an durchgesickerten Daten, private Kommunikationsplattformen wie Signal und Telegram, Kryptowährungen sowie höhere Auszahlungen vorangetrieben.
Heutzutage gibt es viele verschiedene Arten von cyberkriminellen Organisationen, die das Dark Web nutzen. Diese reichen von unabhängigen Akteuren und kleinen bis mittelgroßen Gruppen bis hin zu großen Gruppen wie Conti. Unabhängig von der Art der Gruppe nutzen diese in der Regel die Cyberkriminellen-Szene, um Geld zu verdienen. Dies geschieht häufig durch den Verkauf von Exploits, gestohlenen Daten, Malware, Ransomware, Zugriff auf kompromittierte Organisationen, Dienste und vieles mehr.
Bitdefender nennt einige konkrete Faktoren, die die Aktivitäten in der Cyberkriminalitätsszene antreiben:
- Spam- und Phishing-Dienste machen einen erheblichen Teil der Cyberkriminalität im Untergrund aus. Diese Dienste werden in der Regel über das Dark Web oder andere Kommunikationsplattformen angeboten und können ein umfangreiches Leistungsspektrum umfassen. Kunden dieser Dienste haben die Möglichkeit, verschiedene Bestandteile des Dienstes zu erwerben, wie beispielsweise Massen-E-Mail-Listen, Zugriff auf kompromittierte Server und Phishing-Kits.
- Proxys, die unter vermietet werden, sind ein weiterer Bestandteil des Schwarzmarktes. Schädliche Proxys nutzen häufig infizierte Netzwerke, um die Herkunft böswilliger Aktivitäten zu verschleiern. Angreifer nutzen diese Proxys, um Angriffe zu starten, und erschweren es den Verteidigern dadurch, den tatsächlichen Ursprung der Aktivitäten zu ermitteln. Zudem gewährleisten sie ein gewisses Maß an Anonymität für den Akteur.
- APT-Gruppen versuchen häufig, ihre auf Spionage ausgerichteten Aktivitäten durch Ransomware zu verschleiern, und ahmen die TTPs anderer Akteure nach, um eine Zuordnung zu vermeiden.
Jüngste Fortschritte
Bitdefender hat einige Muster festgestellt, die verdeutlichen, wie sich die Lage weiterhin verändert. Ein Muster lässt sich beispielsweise beim Informationsaustausch beobachten. Genauso wie Organisationen Informationen offen weitergeben, um der breiten Öffentlichkeit dabei zu helfen, sich vor bestimmten Sicherheitsbedrohungen zu schützen, tauschen auch die Akteure Aufklärungsmaterial und Hinweise zu den Vorgehensweisen der Strafverfolgungsbehörden aus, um zu verhindern, dass andere Akteure gefasst werden.
Ein weiterer Trend zeigt sich beim Einsatz von KI, die von weniger versierten Akteuren als „Cheat-Code“ genutzt wird, um komplexere Angriffe durchzuführen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Cyberkriminelle passen sich ständig an die sich wandelnde Welt um sie herum an und reagieren auf geopolitische und technologische Entwicklungen, um weiterhin erfolgreich zu bleiben.
Laut Bitdefender gibt es keine einheitliche Antwort oder Lösung, mit der sich das von Angreifern ausgehende Risiko vollständig beseitigen lässt. „Wenn Sie jedoch verstehen, wie sie vorgehen, was sie antreibt und wie sie aktiv Angriffe auf Unternehmen verüben, können Sie fundiertere Entscheidungen treffen, wenn Sie eine umfassende Strategie zur Cyber-Resilienz entwickeln.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
