In dieser Woche untersucht CTI eine laufende Kampagne eines finanziell motivierten Angreifers, der in der Lage ist, eine Verbindung zum TOR-Netzwerk herzustellen und einer Entdeckung zu entgehen. Anschließend befasst sich CTI mit einer neuen „ “-Ransomware-as-a-Service (RaaS)-Gruppe namens Lynx ( (öffnet in einem neuen Tab) ), die nun ein ausgeklügeltes Partnerprogramm betreibt. Abschließend fasst CTI den aktuellen Bericht von Cisco Talos für das vierte Quartal des Jahres 2024 zusammen.
Im Rahmen einer laufenden Kampagne wird die TorNet-Hintertür genutzt
Cisco Talos hat (wird in einem neuen Tab geöffnet) entdeckt – eine weit verbreitete Kampagne, die bereits seit Juli 2024 aktiv ist. Der Akteur verbreitet eine Reihe bekannter Schadprogramme sowie eine bislang nicht dokumentierte Hintertür namens TorNet, um eine Verbindung zum TOR-Netzwerk herzustellen.
Der Angreifer nutzt Phishing als ersten Angriffsvektor und führt geplante Aufgaben aus, um die Persistenz zu gewährleisten. Zudem trennt der Angreifer das Gerät vom Netzwerk, bevor er die Malware ablegt und ausführt, und stellt die Verbindung erst danach wieder her.
Wie funktioniert die Phishing-Kampagne?
Die Angriffe beginnen mit einer Phishing-E-Mail vom Typ „ “ (wird in einem neuen Tab geöffnet) , die sich als Finanzinstitut oder als Produktions- und Logistikunternehmen ausgibt. Die E-Mail lockt den Empfänger mit gefälschten Überweisungsbestätigungen und gefälschten Bestellbelegen.
Bislang waren die meisten E-Mails auf Polnisch und Deutsch verfasst, was darauf hindeutet, dass die Angreifer möglicherweise Nutzer in diesen Ländern ins Visier nehmen. Es sind jedoch auch einige Phishing-E-Mails in englischer Sprache aufgetaucht.
Anhänge in den E-Mails weisen zudem die Dateiendung „ .tgz“ auf, was bedeutet, dass sie mit GZIP komprimiert sind. Der Empfänger muss den Anhang in der E-Mail öffnen, ihn entpacken und eine darin enthaltene ausführbare Loader-Datei ausführen. Dieser Loader ist für das Herunterladen der PureCrypter-Malware zuständig, die im Systemspeicher ausgeführt wird.
Inwiefern nutzt der Phishing-Angriff die Malware „PureCrypter“?
Cisco Talos hat die komprimierten Anhangsdateien analysiert und festgestellt, dass sie eine große ausführbare .NET-Datei enthalten. Diese ausführbare Datei ist so konfiguriert, dass sie zusätzliche ausführbare Dateien herunterlädt oder eine eingebettete Binärdatei lädt. Einige Proben luden die Binärdateien der PureCrypter-Malware herunter und speicherten sie unter beliebigen Dateinamen und mit unterschiedlichen Dateiendungen. In einigen Fällen war PureCrypter direkt in den Loader eingebettet.
Bei dieser „PureCrypter“-Malware handelt es sich um eine Windows-DLL, die mit Hilfe von „Eziriz .NET Reactor“ verschleiert wurde. Ziel ist es, auf dem infizierten Gerät einen Mutex zu erstellen und einen Befehl auszuführen, um die derzeit zugewiesene DHCP-IP-Adresse freizugeben. Es wird eine dauerhafte Präsenz aufbauen, Maßnahmen zur Verhinderung von Analysen und Erkennungen durchführen, die Nutzlast ablegen und ausführen sowie einen Befehl zur Erneuerung der IP-Adresse ausführen. Diese Technik ist zwar weniger verbreitet, wird aber vermutlich dazu genutzt, einer Entdeckung zu entgehen.
Was ist die TorNet-Backdoor?
In einigen Fällen stellte Cisco Talos fest, dass die Malware „PureCrypter“ eine bislang unbekannte Hintertür namens „TorNet“ installierte. Diese Hintertür stellt eine Verbindung zum Server C2 her und verbindet das infizierte Gerät mit dem TOR-Netzwerk. Außerdem kann es .NET-Assemblies abrufen und im Arbeitsspeicher des Computers ausführen.
Die Malware entschlüsselt eine Zeichenfolge, um die Portnummer, die Domain „ C2 “ und eine 16-stellige Zeichenfolge (5e7a81857a353068) zu ermitteln. Ähnlich wie PureCrypter führt auch dieses Programm mehrere Prüfungen zur Umgehung von Anti-Debugging-, Anti-Malware-, Anti-VM- und Sandbox-Maßnahmen durch.
Cisco Talos konnte während seiner Analyse keine Antwort vom C2 erhalten. Es wurde jedoch festgestellt, dass die Antwort aus einem beliebigen .NET-Assembly-Code bestehen würde, wodurch sich die Angriffsfläche weiter vergrößern würde. Die Hintertür verbindet das infizierte Gerät mit dem TOR-Netzwerk, indem sie das „TOR Expert“-Paket herunterlädt, es entpackt und als Hintergrundprozess ausführt.
Der Cisco Talos-Blog enthält weitere Informationen unter sowie technische Details zu TorNet unter (wird in einem neuen Tab geöffnet).
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Eine der interessantesten Techniken, die in dieser Kampagne zum Einsatz kommen, besteht darin, das Gerät des Opfers vom Netzwerk zu trennen, indem dessen IP-Adresse freigegeben wird, böswillige Aktivitäten durchgeführt werden und das Gerät anschließend wieder mit dem Netzwerk verbunden wird. Dies kann es dem Angreifer potenziell ermöglichen, einer Entdeckung zu entgehen – insbesondere wenn diese sich auf bestimmte Indikatoren beschränkt.
Diese Technik, in Verbindung mit der Fähigkeit von TorNet, die Kommunikation mit dem C2 -Server zu anonymisieren, verdeutlicht die zusätzlichen Maßnahmen, die der Angreifer ergreift, um einer Entdeckung zu entgehen.
Die Ransomware-Gruppe „Lynx“ betreibt ein ausgeklügeltes Partnerprogramm
Forscher von Group-IB haben kürzlich unter (wird in einem neuen Tab geöffnet) Einzelheiten über die neue „Lynx“-Ransomware-as-a-Service-Gruppe (RaaS) veröffentlicht, die über eine gut organisierte Plattform und ein ausgeklügeltes Partnerprogramm verfügt.
Der Bericht von Group-IB liefert wertvolle Einblicke in die Gruppe „Lynx“, darunter Einzelheiten zum Partnernetzwerk der Gruppe, zur internen Kommunikation sowie zu deren Taktiken, Techniken und Vorgehensweisen (TTPs).
Was Sie über das Lynx-Partnerprogramm wissen sollten
Group-IB ist es gelungen, in die Gruppe einzudringen und Zugang zu deren Partnerbereich zu erlangen. Diese Untersuchung ergab, dass die Tafel aus fünf Abschnitten besteht:
- Der Bereich „News“ unter ist die zentrale Anlaufstelle für verschiedene Neuigkeiten und Ankündigungen und versorgt Partner mit Informationen zu neuen Funktionen.
- Der Bereich „Unternehmen“ der Leak-Website dient als Plattform für Partner, um ihre Opfer zu verwalten. In diesem Bereich können Partner Opferprofile erstellen, einzigartige Ransomware-Beispiele generieren und für jedes Opfer einen eigenen Chat einrichten.
- Im Bereich „Chats“ unter können Partner auf die erstellten Chats zugreifen.
- Der Bereich „Stuffers“ unter bietet Partnern eine Möglichkeit, Unterpartner oder Teammitglieder im Rahmen von Kooperationsprojekten zu verwalten.
- Im Bereich „Leaks“ unter können Partner Unternehmen veröffentlichen, die sie erfolgreich angegriffen haben, von denen sie jedoch noch keine Lösegeldzahlung unter (wird in einem neuen Tab geöffnet) erhalten haben.
Technische Details zur Ransomware „Lynx“
Die Ransomware „Lynx“ ist sowohl in einer Windows- als auch in einer Linux-Variante verfügbar. Die Linux-Variante wurde bislang noch nicht in freier Wildbahn beobachtet.
Ein wesentlicher Unterschied der neuesten Windows-Variante im Vergleich zu den im letzten Jahr beobachteten Varianten ist eine neue „Modus“-Option, die es dem Angreifer ermöglicht, den Prozentsatz einer Datei auszuwählen, der verschlüsselt werden soll. Dadurch kann der Angreifer das Verhältnis zwischen Geschwindigkeit und der Menge der verschlüsselten Daten ermitteln. Diese Variante führt die Verschlüsselung durch, ändert das Desktop-Hintergrundbild in eine Lösegeldforderung und versucht sogar, diese auszudrucken.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Ransomware-Gruppe „Lynx“ nutzt fortschrittliche technische Fähigkeiten und eine hochentwickelte Software. Dies ist ein gutes Beispiel dafür, wie Ransomware-Gruppen – insbesondere RaaS-Betriebe – zunehmend wie Unternehmen und weniger wie traditionelle kriminelle Netzwerke agieren.
Es ist zudem erwähnenswert, dass diese Gruppe lokale Drucker auflistet und versucht, die Lösegeldforderung an angeschlossene Drucker zu senden, was ungewöhnlich ist.
Group-IB schließt seinen Bericht mit dem Hinweis, dass „nur eine proaktive und anpassungsfähige Verteidigungsstrategie kritische Daten schützen und die Widerstandsfähigkeit von Unternehmen gewährleisten kann“. Diese Aussage gilt für viele Bedrohungen.
Cisco Talos veröffentlicht den Bericht „ Q4 Trends im Bereich Incident Response“
Cisco Talos hat „ “ (wird in einem neuen Tab geöffnet) veröffentlicht, seinen vierteljährlichen Trendbericht für das Jahr Q4 2024, der wichtige Erkenntnisse aus den -Einsätzen zur Incident-Response (wird in einem neuen Tab geöffnet) in diesem Zeitraum zusammenfasst.
Insbesondere stellte Cisco Talos einen sprunghaften Anstieg sowohl bei der Nutzung von Web-Shells als auch bei der Ausnutzung öffentlich zugänglicher Anwendungen fest.
Anstieg bei Web-Shells
Cisco Talos hat festgestellt, dass Angreifer in 35 % ihrer Einsätze im Rahmen der Incident Response Web-Shells einsetzen, wobei sie insbesondere Open-Source- und öffentlich verfügbare Web-Shells gegen Webanwendungen nutzen, die anfällig für „ “ sind oder für die noch keine Patches verfügbar sind: (wird in einem neuen Tab geöffnet). Dies stellt einen deutlichen Anstieg gegenüber den 10 % im dritten Quartal des Jahres 2024 dar.
Trends bei Ransomware
Etwa 30 % der von Cisco Talos im vierten Quartal bearbeiteten Fälle betrafen Ransomware, Vorstufen von Ransomware und Erpressung durch Datendiebstahl; dies entspricht einem Rückgang gegenüber den 40 % des Vorquartals. Zudem stellten sie eine Mischung aus neuen Ransomware-Akteuren wie „Interlock“ und bereits bekannten Ransomware-Varianten wie „ “, „Black Basta“ (öffnet in einem neuen Tab), „“, „ “ und „RansomHub“ fest.
Bei den meisten von Cisco Talos untersuchten Ransomware-Vorfällen lag die Verweildauer des Angreifers zwischen 17 und 44 Tagen. Cisco Talos weist darauf hin, dass längere Verweildauern „darauf hindeuten können, dass ein Angreifer versucht, seinen Zugriff auszuweiten, Abwehrmaßnahmen zu umgehen und/oder Daten von Interesse für die Exfiltration zu identifizieren.“
Cisco Talos stellte zudem fest, dass Ransomware-Angreifer in diesem Quartal bei 100 % ihrer Ransomware-Angriffe Fernzugriffstools einsetzten. Diese Zahl stellt einen deutlichen Anstieg gegenüber dem Vorquartal dar, in dem Fernzugriffstools nur bei 13 % dieser Einsätze festgestellt wurden.
Zielbranchen
Zum zweiten Mal in Folge war der Bildungssektor (öffnet in einem neuen Tab) von „ “ das Hauptziel, gefolgt von den Bereichen Finanzdienstleistungen, Gesundheitswesen und öffentliche Verwaltung.
Erstzugang
Zum ersten Mal seit mehr als einem Jahr stellte Cisco Talos fest, dass die häufigste Methode für den Erstzugang darin bestand, öffentlich zugängliche Anwendungen auszunutzen. Dies konnten sie bei etwa 40 % der Interaktionen feststellen, bei denen sich die ersten Interaktionen ermitteln ließen.
In den letzten Quartalen waren gültige Konten der häufigste Weg für den ersten Zugriff. Im letzten Quartal fiel dieser Wert auf den zweiten Platz zurück. Seit Dezember verzeichnet Cisco Talos zudem einen sprunghaften Anstieg von „Password-Spraying“-Angriffen, durch die Nutzer aus ihren Konten ausgesperrt werden oder denen der VPN-Zugang verwehrt wird.
Mehrfaktorauthentifizierung: Eine der größten Sicherheitslücken
Laut Cisco Talos gehörte das Fehlen der Multi-Faktor-Authentifizierung (MFA) bei „ “ (wird in einem neuen Tab geöffnet) zu den größten Sicherheitslücken im vierten Quartal. Bei fast 40 % aller Einsätze wies die MFA-Konfiguration Fehler auf, war unzureichend oder fehlte gänzlich. Darüber hinaus verfügten 100 % der von Ransomware betroffenen Unternehmen entweder nicht über eine ordnungsgemäße MFA-Implementierung oder diese wurde durch Social Engineering umgangen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Überraschenderweise entfiel auf Ransomware-Vorfälle ein etwas geringerer Anteil der Einsätze als im vorangegangenen Quartal. Auch wenn dies sicherlich nicht bedeutet, dass Ransomware in absehbarer Zeit verschwinden wird, könnte es doch auf eine Verlagerung des Schwerpunkts bei den Angreifern hindeuten.
Darüber hinaus scheinen Cyberkriminelle wieder auf bewährte Taktiken zurückzugreifen, wie beispielsweise die Ausnutzung von Sicherheitslücken. Zum ersten Mal seit über einem Jahr hat Cisco Talos festgestellt, dass der Missbrauch öffentlich zugänglicher Anwendungen die häufigste Methode für den Erstzugang darstellt.
In dem Bericht „ “ gibt Cisco Talos zudem Empfehlungen (wird in einem neuen Tab geöffnet) zur Behebung der wichtigsten festgestellten Sicherheitslücken, darunter die Einführung der Multi-Faktor-Authentifizierung (MFA) und die regelmäßige Installation von Patches.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
