In der Zusammenfassung dieser Woche weist CTI auf die neuesten Phishing-Taktiken hin, bei denen QR-Codes zum Einsatz kommen. Als Nächstes befasst sich CTI mit der neuen Ransomware „Babuk Locker 2,0 “. Abschließend gibt CTI einen Überblick über einen kürzlich erfolgten Angriff auf die Lieferkette, der sich gegen die nachgelagerten Kunden eines MSP richtete.
1. Phishing über QR-Codes nimmt zu, während sich die Vorgehensweisen weiterentwickeln
Palo Alto verfolgt neue Taktiken, die in Phishing-Dokumenten mit dem Titel „ “ () und enthaltenen QR-Codes zum Einsatz kommen:.
Zu den neuen Taktiken gehören unter anderem die Ausnutzung offener Weiterleitungen, um das endgültige Phishing-Ziel zu verschleiern, sowie die Einbindung einer manuellen Verifizierung in die Weiterleitungen, um einer Entdeckung zu entgehen und die Opfer davon zu überzeugen, ihre Zugangsdaten einzugeben.
In Palo Alto wurden zudem Fälle beobachtet, in denen Phishing-Websites auf bestimmte Opfer abzielen, was darauf hindeutet, dass vor dem Angriff in gewissem Umfang Erkundungsmaßnahmen durchgeführt wurden.
Was ist QR-Code-Phishing?
Beim QR-Code-Phishing – auch „Quishing“ genannt – werden bösartige QR-Codes erstellt und die Opfer dazu verleitet, diese mit ihren Mobilgeräten zu scannen.
Beim QR-Code-Phishing versuchen Angreifer, von Nutzern kontrollierte Geräte mit schwachen Sicherheitsvorkehrungen auszunutzen. Phishing mittels QR-Codes hat sich als äußerst wirksam erwiesen, weshalb es immer häufiger vorkommt.
Weiterleitung auf Phishing-URLs
Palo Alto hat die QR-Code-URLs aus jüngsten Kampagnen analysiert und festgestellt, dass dabei häufig URL-Weiterleitungen zum Einsatz kommen, bei denen offene Weiterleitungen legitimer Websites ausgenutzt werden. Dies unterscheidet sich vom Einbetten von Links, die direkt auf die Phishing-Seite verweisen.
Die URL-Umleitung ist keine neue Taktik und einer der Gründe, warum Nutzer oft dazu angehalten werden, sich die URL eines Links anzusehen, bevor sie darauf klicken. Die URL-Weiterleitung wird in Verbindung mit QR-Codes zu einer kniffligen Angelegenheit, da Sie nicht einfach mit der Maus über den QR-Code fahren können, um die URL anzuzeigen.
Wie Palo Alto erläutert, ermöglichen Weiterleitungen legitimen Websites, Nutzer auf einfache Weise auf externe Seiten umzuleiten, wobei die ursprüngliche Quelle erhalten bleibt. Die Täter können zudem zusätzlichen Text in die Google-Weiterleitungs-URL einfügen, sodass die eigentliche Phishing-Seite verborgen bleibt, wenn der QR-Code mit einem Smartphone gescannt wird.
Phishing-Angriffe
Palo Alto stellte fest, dass diese Phishing-Angriffe drei Schritte umfassen: Weiterleitung, manuelle Überprüfung und das Ausspähen von Zugangsdaten.
- Weiterleitungen führen die Opfer zur echten Website. Manche Akteure nutzen mehrere Weiterleitungen, um ihre Identifizierung zu erschweren.
- Bei der manuellen Überprüfung werden legitime Verifizierungsschritte genutzt, mit denen viele Nutzer vertraut sind, wie beispielsweise CAPTCHA und Cloudflare Turnstile. Um Cloudflare Turnstile für ihre Angriffe zu nutzen, muss ein Angreifer lediglich das kostenlose Abonnement des Dienstes abschließen.
- Das Ausspähen von Zugangsdaten erfolgt über Phishing-Seiten, die Anmeldeseiten wie „Microsoft 365“ imitieren. Auf einigen Seiten wird das Firmenlogo angezeigt, und die E-Mail-Adresse des Opfers ist dort sogar bereits vorausgefüllt, sodass dieses lediglich noch das Passwort eingeben muss.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Phishing-Angriffe und Social Engineering entwickeln sich ständig weiter; der Bericht von Palo Alto beleuchtet einige der aktuellsten Trends.
Zwar wurden die drei im Bericht hervorgehobenen Hauptaktivitäten in den vergangenen Monaten jeweils einzeln beobachtet, doch in Palo Alto werden sie nun in Kombination eingesetzt, was die potenzielle Erfolgsquote nur noch weiter erhöht.
Wie immer bei neuen Phishing-Taktiken sind sowohl Sensibilisierungsmaßnahmen als auch Sicherheitslösungen erforderlich.
2. LockBit 3,0 firmiert nun unter dem Namen „Babuk Locker 2,0 “ als Ransomware
Rapid7 hat kürzlich einen Kanal einer Ransomware-Gruppe entdeckt, die behauptet, „ “ zu sein – Babuk Loader, eine Gruppe, die bereits im Jahr 2021 ihre Aktivitäten eingestellt hatte.
Es wurden Rapid7 unterirdische Foren und Kanäle entdeckt, in denen „Babuk Locker 2,0“ erwähnt wurde; zudem haben einige Akteure die Verantwortung für die jüngsten Ransomware-Angriffe übernommen. Sie kamen schließlich zu dem Schluss, dass es sich hierbei nicht um ein Wiederaufleben der Gruppe handelte, sondern vielmehr um „LockBit 3,0 “ unter einem neuen Namen.
Betreiber
Im Zuge ihrer Recherchen stieß Rapid7 auf mehrere Diskussionen über eine mögliche Rückkehr von Babuk, von denen die meisten mit zwei verschiedenen Gruppen namens „Skywave“ und „Bjorka“ in Verbindung standen.
Diese Gruppen haben sich zu einigen Ransomware-Angriffen bekannt und sogar die Veröffentlichung von Babuk-Daten gefördert. Rapid7 geht davon aus, dass es sich hierbei entweder um Partner oder um wichtige Akteure von Babuk 2,0 handelt.
Babuk-Spind 2,0
Rapid7 identifizierte Dutzende von Telegram-Kanälen, deren Namen einen Bezug zu Babuk Locker 2,0 aufwiesen. Eine der zuvor erwähnten Gruppen, Skywave, beanspruchte das Eigentumsrecht an mehreren Kanälen für sich, während bei der anderen, Bjorka, die Inhalte im Zusammenhang mit Babuk verstärkt verbreitet wurden.
Die Forscher stellten eine Überschneidung bei den Opfern von Babuk und Bjorka fest und identifizierten eine mögliche Zusammenarbeit zwischen den Akteuren, nachdem sie die Logos von Skywave und Bjorka nebeneinander auf einer Kontaktseite für Babuk 2,0 entdeckt hatten.
Technische Details
Rapid7 stieß in einem Telegram-Kanal auf ein angebliches „Babuk“- 2,0 -Beispiel. Nach der Analyse der Probe stellten sie fest, dass diese nicht mit Babuk in Zusammenhang steht, sondern es sich vielmehr um LockBit 3,0 oder LockBit Black handelt. Dies deutet darauf hin, dass „Babuk 2,0 “ lediglich ein neuer Name oder eine Umbenennung von „LockBit 3,0“ ist.
Babuk oder LockBit 3,0?
Rapid7 hat eine Datei namens „babuk.exe“ analysiert, die als Babuk 2,0 beworben wird. Sie bestätigten, dass diese Probe vollständig auf LockBit 3,0 basiert und in keinem Zusammenhang mit dem zuvor durchgesickerten Babuk-Code steht.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Analyse von Rapid7’s deutet darauf hin, dass „Babuk Locker 2,0 “ nicht tatsächlich aus der Babuk-Gruppe stammt, sondern lediglich „LockBit 3,0 “ unter einem neuen Namen ist.
Wie Rapid7 feststellt: „Ransomware-Gruppen verschwinden nicht – sie ändern lediglich ihre Namen, verwenden Code wieder und verdienen weiterhin Geld damit.“ Dies kann die Zuordnung erschweren und dazu führen, dass Sicherheitsfachleute sich mit „neuer“ Ransomware beschäftigen, bei der es sich lediglich um eine Umbenennung handelt oder um einen Versuch eines Akteurs, Aufmerksamkeit zu erregen.
3. Die Tochtergesellschaften von Qilin richten sich an die Endkunden eines MSP
Laut einem Bericht von Sophos erhielt ein MSP-Administrator von „ “ im Januar eine Phishing-E-Mail mit dem Betreff „ “, die vorgab, eine Authentifizierungswarnung für das RMM-Tool „ScreenConnect“ zu sein. Die E-Mail verschaffte der Ransomware-Gruppe „Qilin“ schließlich Zugriff auf die Anmeldedaten des Administrators und ermöglichte es der Gruppe, Ransomware-Angriffe auf die Kunden des MSP durchzuführen. Die Qilin RaaS-Gruppe besteht seit dem Jahr 2022 und firmierte zuvor unter dem Namen „Agenda“. Es ist bekannt, dass diese Gruppe ihre Mitglieder in russischen Foren rekrutiert und eine Website für Datenlecks zur doppelten Erpressung nutzt.
Über STAC4365
Sophos führt diesen jüngsten Vorfall auf eine Ransomware-Partnergruppe zurück, die aufgrund sich überschneidender Infrastruktur, Namenskonventionen und verschiedener TTPs, die die Gruppe bei anderen Angriffen verwendet hat, unter der Kennung STAC4365 erfasst wurde.
STAC4365 ist eine Bedrohungsgruppe, die Sophos mit „einem Muster von Aktivitäten und Indikatoren in Verbindung gebracht hat, die einer Gruppe von Phishing-Websites gemeinsam sind und bis ins Jahr November 2022 zurückreichen“. Die von diesem Akteur genutzten Websites täuschen in der Regel legitime ScreenConnect-URLs vor. Dieser Akteur nutzt ein Open-Source-AitM-Framework namens „evilginx“, um Phishing-Anmeldedaten und Sitzungs-Cookies zu sammeln.
STAC4365’s Qilin-Angriffskette
Die bei dem Angriff verwendete Phishing-E-Mail war speziell auf das Administratorkonto des MSP zugeschnitten, um eine ScreenConnect-Anmeldebenachrichtigung vorzutäuschen. Als der Administrator auf den Link in der E-Mail klickte, um sich anzumelden und die betreffende Warnmeldung einzusehen, wurde er über Weiterleitungen auf eine Phishing-Seite umgeleitet.
Sophos stellt fest, dass der Angreifer die URL ausschließlich dazu nutzte, das beabsichtigte Opfer auf die Phishing-Seite weiterzuleiten, während alle anderen Besucher auf die legitime ScreenConnect-Seite weitergeleitet wurden. An dieser Stelle könnte der Angreifer die Anmeldedaten abfangen und sich in das Konto einloggen.
Nachdem sich der Angreifer Zugang zum ScreenConnect-Konto des Administrators verschafft hatte, installierte er bei mehreren Kunden des MSP eine vom Angreifer verwaltete Instanz von ScreenConnect. Laut Sophos wurde diese Instanz zur Enumeration, zur Ermittlung von Benutzern, zum Zurücksetzen von Anmeldedaten sowie zum Zugriff auf andere Tools genutzt. Nachdem sich der Angreifer ausreichende Zugriffsrechte verschafft hatte, sammelte er Dateien aus den Kundenumgebungen ein und exfiltrierte diese, wobei er die Dateien in einem Inkognito-Tab auf die Website „easyupload[.]io“ hochlud.
Sophos deckt zudem mehrere Techniken des Angreifers auf, darunter das Aufspüren und gezielte Angreifen von Sicherungskopien, um eine Wiederherstellung zu verhindern, den Einsatz der Ransomware „Qilin“ bei mehreren Kunden des MSP, die Deaktivierung des Volume Shadow Copy Service (VSS), das Löschen von Schattenkopien und Windows-Ereignisprotokollen sowie das Löschen des Programms selbst nach der Ausführung und weitere Vorgehensweisen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser spezielle Angriff richtete sich gegen die Kunden eines MSP und war somit ein Angriff über die Lieferkette – eine Vorgehensweise, die immer häufiger anzutreffen ist.
Interessant ist, wie es dem Schauspieler gelang, Daten über einen Inkognito-Tab in Chrome zu exfiltrieren. Dies ist ungewöhnlich und bietet den Sicherheitsverantwortlichen eine weitere Möglichkeit der Datenexfiltration, die es zu überwachen gilt.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
