In der Zusammenfassung dieser Woche weist CTI auf die neuesten Phishing-Taktiken hin, die QR-Codes beinhalten. Als Nächstes betrachtet CTI die neue Ransomware Babuk Locker 2,0 . Schließlich schließt CTI mit einem Überblick über einen kürzlichen Lieferkettenangriff ab, der auf die nachgelagerten Kunden eines MSP abzielt.
1. QR-Code-Phishing beschleunigt sich mit der Entwicklung von Taktiken
Palo Alto verfolgt neue Taktiken, die in Phishing-Dokumenten verwendet werden, die QR-Codes enthalten.
Einige der neuen Taktiken umfassen die Ausnutzung offener Umleitungen, um das endgültige Phishing-Ziel zu verbergen, und die Einbeziehung menschlicher Überprüfungen in Umleitungen, um die Erkennung zu umgehen und Opfer davon zu überzeugen, Anmeldeinformationen einzugeben.
Palo Alto hat auch Fälle beobachtet, in denen Phishing-Websites bestimmte Opfer anvisieren, was auf ein gewisses Maß an Aufklärung vor dem Angriff hinweist.
Was ist QR-Code-Phishing?
QR-Code-Phishing oder Quishing umfasst das Erstellen bösartiger QR-Codes und das Anlocken von Opfern, sie mit ihren mobilen Geräten zu scannen.
Mit QR-Code-Phishing versuchen Bedrohungsakteure, benutzergesteuerte Geräte mit schwachen Sicherheitskontrollen auszunutzen. QR-Code-Phishing hat sich als hochwirksam erwiesen, weshalb es immer häufiger wird.
Phishing-URL-Umleitung
Palo Alto analysierte QR-Code-URLs aus jüngsten Kampagnen und stellte fest, dass sie häufig URL-Umleitung verwenden, was die Nutzung offener Umleitungen legitimer Websites beinhaltet. Dies unterscheidet sich von der Einbettung von Links, die direkt auf die Phishing-Website verweisen.
URL-Umleitung ist keine neue Taktik und ist Teil des Grundes, warum Benutzer oft darin geschult werden, die URL eines Links anzusehen, bevor sie darauf klicken. URL-Umleitung wird in Kombination mit QR-Codes schwierig, da Sie nicht einfach mit der Maus über den QR-Code fahren können, um die URL zu sehen.
Wie Palo Alto erklärt, ermöglichen Umleitungen legitime Websites, Benutzer einfach auf externe Seiten umzuleiten und gleichzeitig die ursprüngliche Quelle beizubehalten. Die Actors können auch zusätzlichen Text in die Google-Umleitungs-URL einfügen, sodass die echte Phishing-Website beim Scannen des QR-Codes mit einem Telefon ausgeblendet wird.
Phishing-Operationen
Palo Alto entdeckte, dass diese Phishing-Operationen drei Schritte umfassen, einschließlich Umleitung, menschliche Überprüfung und Berechtigungsernte.
- Umleitungen führen die Opfer zum wahren Standort. Einige Akteure verwenden mehrere Weiterleitungen, um die Identifizierung zu erschweren.
- Human Verification umfasst die Nutzung legitimer Verifizierungsschritte, mit denen viele Benutzer vertraut sind, wie z. B. CAPTCHA und Cloudflare Turnstile. Um Cloudflare Turnstile bei ihren Angriffen zu verwenden, muss sich ein Bedrohungsakteur lediglich für das kostenlose Abonnement des Dienstes anmelden.
- Die Berechtigungsernte erfolgt über Phishing-Seiten, die Anmeldeseiten wie Microsoft 365 nachahmen. Einige der Seiten zeigen das Firmenlogo an und füllen sogar die E-Mail-Adresse des Opfers aus, sodass sie nur das Passwort eingeben können.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Phishing-Angriffe und Social Engineering entwickeln sich ständig weiter, wobei der Bericht von Palo Alto einige der neuesten Trends hervorhebt.
Während die drei Hauptaktivitäten, die im Bericht hervorgehoben wurden, in den letzten Monaten einzeln beobachtet wurden, sieht Palo Alto sie jetzt in Kombination, was nur die potenzielle Erfolgsquote erhöht.
Wie immer sind auch bei neuen Phishing-Taktiken Bewusstseins- und Sicherheitslösungen erforderlich.
2. LockBit 3,0 wird in Babuk Locker 2,0 Ransomware umbenannt
Rapid7 hat kürzlich einen Ransomware-Gruppenkanal gefunden, der behauptet, Babuk Loader zu sein, eine Gruppe, die 2021 heruntergefahren ist.
Rapid7 entdeckten unterirdische Foren und Kanäle, die „Babuk Locker 2,0“ erwähnten, zusammen mit einigen Schauspielern, die sich für kürzliche Ransomware-Angriffe anrechnungslos machten. Letztendlich stellten sie fest, dass es sich nicht um ein Wiederaufleben der Gruppe handelte, sondern um LockBit 3,0 unter einem neuen Namen.
Bediener
Während ihrer Untersuchung sah Rapid7 mehrere Diskussionen über eine potenzielle Rückkehr von Babuk, von denen die meisten mit zwei verschiedenen Gruppen namens „Skywave“ und „Bjorka“ verknüpft waren.
Diese Gruppen behaupteten die Verantwortung für einige Ransomware-Angriffe und förderten sogar Babuk-Lecks. Rapid7 glaubt, dass es sich dabei entweder um verbundene Unternehmen oder wichtige Betreiber von Babuk 2,0 handelt.
Babuk Locker 2,0
Rapid7 identifizierten Dutzende von Telegram-Kanälen, die Namen im Zusammenhang mit Babuk Locker 2,0 hatten. Eine der zuvor erwähnten Gruppen, Skywave, behauptete das Eigentum an mehreren Kanälen, während die andere, Bjorka, ihren Babuk-bezogenen Inhalt verstärkt hatte.
Forscher stellten eine Überschneidung der Opfer von Babuk und Bjorka fest und identifizierten eine mögliche Zusammenarbeit zwischen den Schauspielern, nachdem sie die Skywave- und Bjorka-Logos nebeneinander auf einer Kontaktseite für Babuk 2,0 beobachteten.
Technische Details
Rapid7 kam auf eine vermeintliche Babuk 2,0 -Probe auf einem Telegram-Kanal. Nach der Analyse der Stichprobe stellten sie fest, dass dies nicht mit Babuk zusammenhängt und stattdessen LockBit 3,0 oder LockBit Black ist. Dies zeigt an, dass Babuk 2,0 nur ein neuer Name oder eine Rebrand für LockBit 3,0 ist.
Babuk oder LockBit 3,0?
Rapid7 analysierte eine Datei „babuk.exe“, die als Babuk 2,0 beworben wird. Sie bestätigten, dass diese Probe vollständig auf LockBit 3,0 basiert und nicht mit dem zuvor ausgetretenen Babuk-Code zusammenhängt.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Die Rapid7’s -Analyse zeigt, dass Babuk Locker 2,0 nicht tatsächlich aus der Babuk-Gruppe stammt, sondern nur LockBit 3,0 mit einem neuen Namen ist.
Wie Rapid7 bemerkt, „verschwinden Ransomware-Gruppen nicht – sie ändern einfach Namen, recyceln Code und machen weiter Geld.“ Dies kann die Zuordnung schwieriger machen, was dazu führt, dass Verteidiger Zyklen auf „neue“ Ransomware drehen, die nur eine Rebranding-Bemühung oder eine Möglichkeit für einen Schauspieler sind, etwas Aufmerksamkeit zu gewinnen.
3. Qilin-Tochtergesellschaften zielen auf die nachgelagerten Kunden eines MSP ab
Laut einem Sophos-Bericht erhielt ein MSP-Administrator im Januar eine Phishing-E-Mail , die vorgibt, eine Authentifizierungswarnung für das ScreenConnect RMM-Tool zu sein. Die E-Mail gab der Qilin Ransomware-Bedrohungsgruppe letztendlich Zugriff auf die Anmeldedaten des Administrators und ermöglichte der Gruppe, Ransomware-Angriffe gegen die Kunden des MSP durchzuführen. Die Qilin RaaS-Gruppe gibt es seit 2022 und hat zuvor den Namen „Agenda“. Diese Gruppe ist dafür bekannt, ihre verbundenen Unternehmen in russischen Foren zu rekrutieren und verwendet eine Datenleckseite für die doppelte Erpressung.
Etwa STAC4365
Sophos weist diesen neuesten Vorfall einem Ransomware-Partner zu, der aufgrund überlappender Infrastruktur, Benennungsmustern und verschiedenen TTPs, die von der Gruppe bei anderen Angriffen verwendet werden, als STAC4365 verfolgt wird.
STAC4365 ist eine Bedrohungsgruppe, die Sophos mit „einem Muster von Aktivitäten und Indikatoren in Verbindung gebracht hat, die von einer Gruppe von Phishing-Websites aus dem Jahr gemeinsam gehalten werden November 2022.“ Die Websites, die von diesem Akteur verwendet werden, fälschen normalerweise legitime ScreenConnect-URLs. Dieser Akteur verwendet ein Open-Source-AitM-Framework namens „Evilginx“, um Phishing-Anmeldeinformationen und Sitzungscookies zu sammeln.
STAC4365’s Qilin-Angriffskette
Die Phishing-E-Mail, die beim Angriff verwendet wurde, wurde auf das Admin-Konto des MSP zugeschnitten, um eine ScreenConnect-Anmeldewarnung zu fälschen. Als der Administrator auf den Link in der E-Mail klickte, um sich anzumelden und die Warnung zu überprüfen, wurde er über Umleitungen zu einer Phishing-Seite weitergeleitet.
Sophos bemerkt, dass der Akteur die URL verwendet hat, um nur das beabsichtigte Opfer an die Phishing-Website zu senden, und alle anderen Besucher an die legitime ScreenConnect-Website sendet. An diesem Punkt könnte der Akteur die Anmeldedaten abfangen und sich bei seinem Konto anmelden.
Nachdem der Akteur Zugriff auf das ScreenConnect-Konto des Administrators erhalten hatte, hat er eine von Angreifern verwaltete Instanz von ScreenConnect an mehrere der Kunden des MSP weitergeleitet. Laut Sophos wurde diese Instanz für Aufzählung, Benutzererkennung, das Zurücksetzen von Kontoanmeldeinformationen und den Zugriff auf andere Tools verwendet. Nachdem der Akteur ausreichend Zugriff hatte, sammelte und exfiltrierte er Dateien aus den Kundenumgebungen und lud die Dateien auf eine „easyupload[.]io“-Site in einer Inkognito-Registerkarte hoch.
Sophos zeigt auch mehrere Techniken des Akteurs auf, einschließlich der Identifizierung und des Targetings von Backups zur Verhinderung der Wiederherstellung, der Bereitstellung von Qilin-Ransomware für mehrere der Kunden des MSP, der Deaktivierung des Volume Shadow Copy Service (VSS), des Löschens von Schattenkopien und Windows-Ereignisprotokollen, des Löschens von sich selbst nach der Ausführung und anderer.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dieser spezielle Angriff richtete sich an die Kunden eines MSP und machte ihn zu einem Angriff im Lieferkettenstil – etwas, das immer häufiger wird.
Interessant ist, wie der Schauspieler Daten über eine Incognito-Registerkarte in Chrome exfiltrieren konnte. Dies ist ungewöhnlich und bietet Verteidigern noch eine weitere Möglichkeit der Exfiltration zur Überwachung.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium , um ein Gespräch zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
