CTI Roundup: Ransomware gibt sich als Cybersicherheitsunternehmen aus, Spionagetaktiken in China entwickeln sich weiter

Als Erstes in unserem Wochenrückblick befasst sich CTI eingehend mit einem Bericht von Sophos über eine neue „Ransomware-as-a-Service“-Operation (RaaS), die den Namen des Unternehmens zu ihrem eigenen Vorteil ausnutzt. Als Nächstes folgt eine detaillierte Analyse, wie der finanziell motivierte Angreifer „ FIN8 “ derzeit eine modifizierte Sardonic-Backdoor einsetzt, um die Ransomware „BlackCat“ zu verbreiten und seine Gewinne zu maximieren. Abschließend untersucht CTI, wie sich chinesische Cyberspionagegruppen weiterentwickeln, um das Risiko, entdeckt zu werden, zu minimieren und die Zuordnung der Verantwortlichen zu erschweren.

1. Die Ransomware „SophosEncrypt“ gibt sich als das Cybersicherheitsunternehmen Sophos aus

Ein aktueller Bericht „ “ () des Cybersicherheitsunternehmens Sophos, der als Reaktion auf eine Entdeckung verfasst wurde, die durch einen Tweet des MalwareHunterTeams ( 17. Juli)   veröffentlicht wurde, deckt eine neue Ransomware-as-a-Service-Operation (RaaS) namens „SophosEncrypt“ auf, die den Namen des Unternehmens zu ihrem eigenen Vorteil ausnutzt.

Zunächst wurde die Ransomware Berichten zufolge als Teil einer von Sophos durchgeführten Red-Team-Übung angesehen. Das Sophos X-Ops-Team reagierte jedoch umgehend auf den oben genannten Tweet, bedankte sich beim MalwareHunterTeam für den Hinweis und teilte mit, dass seine Forscher bereits früher am selben Tag ein Beispiel der Ransomware auf VirusTotal entdeckt hatten.

von BleepingComputer berichtet, dass der ID-Ransomware-Dienst von MalwareHunterTeam eine Meldung eines Opfers anzeigt, das mit der neuen Malware infiziert wurde – ein eindeutiger Hinweis darauf, dass der RaaS-Betrieb aktiv ist. Zwar wissen Forscher bislang noch wenig über die Funktionsweise und die Verbreitungsmethode dieser Malware, doch wurde vom MalwareHunterTeam eine Probe des Verschlüsselungsprogramms gefunden – wodurch sie sich „einen ersten Eindruck von dessen Funktionsweise“ verschaffen konnten.

Was ist SophosEncrypt?

Die betreffende neue Probe wurde von einem Sophos X-Ops-Analysten bei einer routinemäßigen Suche auf VirusTotal entdeckt. Dem Analysten fiel auf, dass die Variante den Begriff „Sophos“ in der Benutzeroberfläche eines Fensters verwendet, das von der Ransomware genutzt wird, um die Opfer darauf hinzuweisen, dass ihre Dateien verschlüsselt wurden. Außerdem schien es verschlüsselte Dateien mit der Dateiendung „.sophos“ zu versehen.

Was die eigentliche ausführbare Ransomware-Datei betrifft, so konnten Forscher von Sophos feststellen, dass diese mit MinGW kompiliert wurde und verknüpfte Rust-Bibliotheken enthält. Sophos beschreibt es hinsichtlich seiner Funktionalität zudem als „ungewöhnlich retro“.

Von Sophos:

„Bei den meisten aktuellen Ransomware-Vorfällen entwickeln die Angreifer, die die Ransomware erstellen, ein Tool, das ausdrücklich und ausschließlich zum Verschlüsseln von Dateien bestimmt ist, ohne dass es viele weitere Funktionen enthält.“ Die meisten Ransomware-Programme, mit denen wir heute zu tun haben, sind auf einen einzigen Zweck ausgerichtete ausführbare Dateien, die kaum oder gar keine zusätzlichen Funktionen bieten.

„Nach allem, was darauf hindeutet, scheinen die VirusTotal-Einträge zu diesen Dateien darauf hinzudeuten – und unsere Analyse bestätigt dies –, dass eine der Proben über Funktionen verfügt, die weit über die Verschlüsselung von Dateien hinausgehen, was ungewöhnlich ist.“

Die Forscher gehen sogar so weit zu behaupten, dass die Funktionen der Malware-Dateien  eher auf einen universell einsetzbaren Fernzugriffstrojaner (RAT) hindeuten, der über die Fähigkeit verfügt, Dateien zu verschlüsseln und Lösegeldforderungen zu generieren, als auf eine typische, aktuelle Ransomware-Variante.

Zu diesen Aktivitäten gehören das Abfangen des Tastaturtreibers zur Aufzeichnung von Tastenanschlägen sowie die Erstellung von Systemprofilen mithilfe von WMI-Befehlen. Wie so viele andere Ransomware-Familien verfügt jedoch auch SophosEncrypt über eine Liste von Verzeichnissen, die von der Verschlüsselung ausgenommen werden sollen (da sie entweder den Systemstart behindern würden oder unwichtige Dateien enthalten, deren Verschlüsselung als unnötig erachtet wird). Und wie so viele Ransomware-Familien führt auch SophosEncrypt die übliche Überprüfung der Spracheinstellungen des Systems durch und weigert sich, den Vorgang auszuführen, wenn festgestellt wird, dass die Einstellungen auf die russische Sprache konfiguriert sind.

Um die Lösegeldverhandlungen zu erleichtern, bevorzugen die Entwickler der Ransomware, dass ihre Opfer Kommunikationswege nutzen, auf die die meisten heutigen Ransomware-Gruppen mittlerweile kaum noch zurückgreifen. Zu den Beispielen zählen E-Mail und die Jabber-Instant-Messaging-Plattform.

Untersuchung von Unterschieden zwischen Stichproben

Der Sophos-Bericht verweist auf ein weiteres bekanntes Beispiel, das weniger der oben beschriebenen, nicht für Ransomware typischen Merkmale aufweist. Allerdings stellen beide Varianten über das Internet eine Verbindung zu einem Command-and-Control-Server (C2) her, wobei die Verbindung auf eine Tor-Adresse im Dark Web verweist (auch wenn Sophos einräumt, dass keines der analysierten Exemplare eine Tor-Verbindung hergestellt hat).

Darüber hinaus enthalten beide Samples eine fest programmierte IP-Adresse, mit der die Samples eine Verbindung herstellen. Laut Sophos wird die betreffende Adresse seit über einem Jahr sowohl mit Aktivitäten im Zusammenhang mit „Cobalt Strike C2 “ als auch mit automatisierten Angriffen in Verbindung gebracht, bei denen versucht wird, öffentlich zugängliche Geräte mit Krypto-Mining-Software zu infizieren.

Beide Beispiele sind so konzipiert, dass sie über die Windows-Befehlszeile ausgeführt werden können. Wird die Ransomware in der Eingabeaufforderung ausgeführt, fordert sie den Betreiber der Ransomware auf, eine Reihe von Informationen einzugeben, die zur Konfiguration des Verhaltens der Malware sowie der Lösegeldforderung führen, die schließlich auf dem Gerät des Opfers abgelegt wird.

Laut Sophos fordert das Programm den Benutzer zudem auf, ein 32 Zeichen langes verschlüsseltes Passwort einzugeben, gefolgt von einem scheinbar als Token dienenden Wert sowie einer E-Mail-Adresse und der Adresse eines Jabber-Instant-Messaging-Kontos. Sobald der Angreifer die Informationen erfolgreich eingegeben hat, fordert das Programm den Verantwortlichen auf, eine der folgenden Optionen auszuwählen:

1. Verschlüsseln Sie alle Dateien auf der Festplatte.
2. Verschlüsseln Sie einen einzelnen Laufwerksbuchstaben.
3. Beenden Sie das Programm.

Entscheidet sich der Angreifer für die erste oder die zweite Option, benennt die Ransomware die verschlüsselten Dateien nach Abschluss des Verschlüsselungsvorgangs unter Verwendung des Token-Werts im neuen Dateinamen um.

Sowohl die angegebene E-Mail-Adresse als auch die Jabber-Adresse werden in die Lösegeldforderung aufgenommen, die dem Opfer in Form einer HTML-Anwendungsdatei (.hta) übermittelt wird, die in einem beliebigen Verzeichnis abgelegt wird, in dem die Verschlüsselung erfolgreich durchgeführt wurde.

Diese Datei zeigt lediglich die Lösegeldforderung an, einschließlich der Kontaktdaten, die der Angreifer in der Anfangsphase des Angriffs angegeben hat.

Wie bei der oben beschriebenen ersten Variante fügt die Ransomware am Ende des Vorgangs an den Namen jeder von ihr verschlüsselten Datei eine eindeutige Gerätekennung, die vom Angreifer bei der Einrichtung eingegebene E-Mail-Adresse sowie die Endung „.sophos“ an.

Sophos weist zudem darauf hin, dass die Ransomware im Falle einer Unterbrechung des Verschlüsselungsvorgangs weder eine Lösegeldforderung hinterlässt noch das Hintergrundbild durch das Bild ersetzt, das sie gemäß ihrer Konfiguration vom öffentlichen Bildserver abrufen soll. Andernfalls – vorausgesetzt, der Verschlüsselungsvorgang verläuft reibungslos – ruft die Ransomware ein Bild von einer öffentlichen Bilddatenbank-Website ab und verwendet es, um den Windows-Desktop-Hintergrund des Opfers zu ändern, sodass nun ein Bildschirm mit der Aufschrift „Sophos“ angezeigt wird. Zudem gibt das Sophos-Banner, das nun den Desktop des Opfers ziert, weder das Logo noch die Farben noch das Markenbild des seriösen Cybersicherheitsunternehmens korrekt wieder. Stattdessen wird dem Opfer ein Logo mit dem Bild eines grünen Vorhängeschlosses angezeigt, zusammen mit einer Anleitung, wie das Opfer die Lösegeldforderung finden und nutzen kann, um Kontakt zu den Angreifern aufzunehmen und Verhandlungen aufzunehmen.

Erfassung der eigenen Leistung

Wenn SophosEncrypt in der Konsole ausgeführt wird, erstellt es eine umfassende Liste mit den Ergebnissen der Debug-Protokollierung und gibt die Zeit an, die für die Verschlüsselung jeder einzelnen Datei benötigt wird, und zwar in Millisekunden. Seltsamerweise meldet die Ransomware „SUCCESS“, selbst wenn die Sicherheitslösung Sophos Intercept X die Verschlüsselung der Dateien verhindert.

Ein Blick auf die Eigenschaften der ausführbaren Ransomware-Datei zeigt, dass es sich um die „Versionen 0,0,8 bzw. 0,0,9 des Programms“ handelt. Keine der beiden ausführbaren Dateien ist signiert, und bei der Ausführung wird bei beiden eine Aufforderung zur Erteilung von Administratorrechten über die Benutzerkontensteuerung (UAC) angezeigt.“

Über das Token der Ransomware

Wie Sophos erläutert, kommt das Token zum Einsatz, wenn die Ransomware eine kleine Systemanalyse auf dem Computer durchführt. Es ermittelt die öffentliche IP-Adresse des Zielnetzwerks und sendet eine HTTP-POST-Anfrage an die IP-Adresse 179,43,154[.]137 auf Port 21119/TCP, wobei das Token sowie Profilinformationen über den Computer übermittelt werden. Die Sitzung ist nicht verschlüsselt.

Sollte der Server den Token-Wert nicht akzeptieren, gibt die Anwendung in der Konsole eine Fehlermeldung aus, in der darauf hingewiesen wird, dass der Token ungültig ist. An dieser Stelle wird die Anwendung beendet. Wird die Ransomware auf einem Offline-Computer ausgeführt, zeigt sie die Meldung „Lokale Nutzung des Programms“ an und setzt ihre Ausführung fort – dabei wird der Benutzer aufgefordert, vor der Verschlüsselung ein 32-Byte-Passwort sowie Kontaktdaten einzugeben.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Es ist nicht das erste Mal, dass der Name eines Sicherheitsunternehmens in der Malware eines Angreifers auftaucht.“ Diese Entwicklung ist nicht überraschend, da wir bereits beobachtet haben, dass Angreifer sich als Sicherheitsforscher ausgeben und gefälschte Cybersicherheitsunternehmen gründen, um Hacker-Talente anzuziehen und Informationen zu sammeln.

Vor diesem Hintergrund erscheint es als nächster logischer Schritt, sich als Software eines Cybersicherheitsunternehmens auszugeben. Laut BleepingComputer analysieren Forscher SophosEncrypt derzeit noch, um festzustellen, ob etwaige Schwachstellen die kostenlose Wiederherstellung verschlüsselter Dateien ermöglichen könnten.“

2. FIN8 nutzt eine modifizierte „Sardonic“-Backdoor für die BlackCat-Ransomware

Ein neuer Bericht von Symantec deckt auf, wie der finanziell motivierte Angreifer „ FIN8“ ( ) eine überarbeitete Version einer Backdoor namens „Sardonic“ nutzt, um die Ransomware „BlackCat“ zu verbreiten. Symantec’s researchers believe this development is FIN8’s attempt to diversify its focus and maximize profits.

Über FIN8

• FIN8 ist eine finanziell motivierte Hackergruppe, die mindestens seit dem Jahr Januar 2016 aktiv ist. Die Gruppe richtet sich an Unternehmen aus den Bereichen Gastgewerbe, Einzelhandel, Unterhaltungsindustrie, Versicherungswesen, Technologie, Chemie und Finanzwesen.
• Die Gruppe hat in der Vergangenheit auf „Living-off-the-Land“-Taktiken zurückgegriffen und dabei integrierte Tools wie PowerShell und WMI genutzt. Die bevorzugten Methoden für den ersten Zugriff sind (Social Engineering), sowie (Spear-Phishing) und.
• FIN8 hatte sich ursprünglich auf Angriffe auf Kassensysteme (POS) spezialisiert, wurde jedoch inzwischen dabei beobachtet, wie es bei seinen Angriffen verschiedene Ransomware-Bedrohungen einsetzt. So wurde beispielsweise im Fall „ Juni 2021“ beobachtet, wie die Gruppe „ FIN8 “ die Ransomware „Ragnar Locker“ auf Geräte installierte, die sie bereits zu Beginn des Jahres bei einem Finanzdienstleistungsunternehmen kompromittiert hatte. Im Rahmen der Operation „ Januar 2022“ wurde beobachtet, dass die Gruppe bei ihren Angriffen die Ransomware „White Rabbit“ einsetzte. Im Dezember 2022 stellte Symantec dann fest, dass die Gruppe versuchte, bei ihren Angriffen die Ransomware „BlackCat“ einzusetzen.

Wie FIN8 Hintertüren nutzt

FIN8 hat in der Vergangenheit immer wieder längere Pausen zwischen seinen Angriffen eingelegt, vermutlich, um seine Taktiken, Techniken und Vorgehensweisen (TTPs) zu verbessern. Im Jahr 2021 veröffentlichte Bitdefender Einzelheiten zur neuen „ “-Backdoor „Sardonic“ und stellte einen Zusammenhang zu FIN8 her. Die „Sardonic“-Backdoor kann Systeminformationen erfassen und Befehle ausführen. Außerdem verfügt es über ein Plugin zum Laden und Ausführen zusätzlicher Malware-Payloads, die als DLLs bereitgestellt werden.

Bei dem von Symantec beobachteten Angriff „ Dezember 2022 “ wurde eine überarbeitete Backdoor genutzt, um die Ransomware „BlackCat“ zu verbreiten. Zwar weist die in dieser Kampagne verwendete „Sardonic“-Backdoor Gemeinsamkeiten mit der von Bitdefender analysierten Backdoor auf, doch wurde der Großteil des Codes der Backdoor neu geschrieben, wodurch sie nun ein neues Erscheinungsbild aufweist. Insbesondere wurde in dem Code nicht mehr auf die C++-Standardbibliothek zurückgegriffen, und die meisten objektorientierten Funktionen wurden durch eine reine C-Implementierung ersetzt.

Aktivitäten von Angreifern

Im Rahmen des Vorfalls bei der „ Dezember 2022 “ stellte der Angreifer über PsExec eine Verbindung her, um den Befehl „quser“ auszuführen und die Sitzungsdetails anzuzeigen. Anschließend führte es einen weiteren PowerShell-Befehl aus, um die Hintertür zu starten. Der Angreifer stellte eine Verbindung zur Hintertür her und überprüfte die Details des betroffenen Computers, bevor er einen Befehl ausführte, um eine dauerhafte Präsenz zu etablieren.

Am nächsten Tag stellte der Angreifer eine Verbindung zu der nun dauerhaft installierten Hintertür her, unterbrach jedoch seine Aktivitäten, nachdem er einige einfache Befehle ausgeführt hatte.  Dreißig Minuten später wurden die Aktivitäten wieder aufgenommen, und der Angreifer nutzte „wmiexec.py“ aus Impacket, um einen Prozess zu starten, der eine neue Hintertür installierte. Diese neue Hintertür wurde in den folgenden Stunden genutzt. Das neue PowerShell-Skript für die Hintertür verwendet einen neuen Dateinamen und vereinfacht die Befehlszeile, indem das Argument für den Entschlüsselungsschlüssel entfernt wird.

PowerShell-Skript

Ein wesentlicher Unterschied zwischen diesem Angriff und den bisherigen FIN8 Angriffen besteht in der Technik, die zum Einbau der Hintertür verwendet wird.

In diesem Fall wurde die Hintertür indirekt in ein PowerShell-Skript eingebettet und dazu genutzt, Zielrechner zu infizieren. Das PowerShell-Skript dieser Kampagne besteht aus einigen wesentlichen Komponenten. Die erste Zeile des Skripts dient dazu, die PowerShell-Skriptdatei selbst zu löschen. In der zweiten Zeile wird die Architektur des aktuellen Prozesses überprüft, bevor die 32-Bit- oder 64-Bit-Version des kodierten .NET-Loaders ausgewählt wird. In der dritten Zeile wird die Binärdatei des .NET-Loaders dekodiert und in den aktuellen Prozess geladen. Die letzte Codezeile startet die Hauptfunktionalität des Loaders, in der der Injektor und die Hintertür entschlüsselt werden.

• .NET-Loader: Der Loader ist eine verschleierte .NET-DLL und enthält zwei Blobs. Die Blobs werden vor der Dekomprimierung mit dem RC4 -Algorithmus unter Verwendung eines fest programmierten Entschlüsselungsschlüssels entschlüsselt. Die dekomprimierten Blobs werden anschließend in einen zusammenhängenden Speicherbereich kopiert. Der Loader übergibt anschließend die Kontrolle an den zweiten Blob, den Injektor, und übergibt dabei die Speicheradresse und die Größe des ersten Blobs, der Hintertür, als Parameter.
• Injektor: Der Injektor liegt in Form von Shellcode vor. Der Zweck dieses Injektors besteht darin, die Backdoor in einem neu erstellten WmiPrvSE.exe-Prozess zu aktivieren. Beim Erstellen dieses Prozesses versucht der Injektor, ihn in Session-0 zu starten, wobei er ein Token verwendet, das er aus dem Prozess „lsass.exe“ entwendet.

Die „Sardonic“-Backdoor

Die „Sardonic“-Backdoor liegt ebenfalls in Form von Shellcode vor.

• Interaktive Sitzungen: Ein interessantes Merkmal dieser Backdoor betrifft interaktive Sitzungen, bei denen der Angreifer „cmd.exe“ oder andere interaktive Prozesse auf dem betroffenen Gerät ausführt. Das Beispiel ermöglicht es, bis zu 10 Sitzungen gleichzeitig auszuführen. Beim Starten jedes einzelnen Prozesses kann der Angreifer ein Prozess-Token verwenden, das von einer bestimmten Prozess-ID gestohlen wurde, die für jede Sitzung unterschiedlich ist.
• Erweiterungen: Ein weiteres bemerkenswertes Merkmal der Backdoor ist die Unterstützung von drei verschiedenen Formaten zur Erweiterung ihrer Funktionalität. Das erste Format besteht aus PE-DLL-Plugins, die die Backdoor innerhalb ihres eigenen Prozesses lädt. Das zweite von der Backdoor unterstützte Format ist Shellcode, wobei jedes Plugin in einem eigenen, dedizierten Prozess ausgeführt wird. Das dritte Format liegt ebenfalls in Form von Shellcode vor, weist jedoch eine andere Konvention zur Übergabe von Argumenten auf.
• Netzwerkkommunikation: Zur Kommunikation mit ihrem Befehls- und Kontrollserver (C2) tauscht die Backdoor Nachrichten unterschiedlicher Größe unter Verwendung der nachstehend beschriebenen Struktur aus. Die Größe des Body-Feldes lässt sich anhand des Inhalts des Header-Feldes ermitteln.
• Erste Nachricht „“: Sobald die Backdoor eine Verbindung zu ihrem Server „ C2 “ herstellt, sendet sie die erste Nachricht mit einer Größe von 0x10C Byte, wobei der Wert des Header-Feldes „ 0xFFFFFCC0 “ (fest codiert) ist und das Footer-Feld nicht initialisiert bleibt.
• Körpergröße beträgt 0x80 für jede eingehende Nachricht mit einem Header-Feldwert von 0xFFFFFE78 (fest codiert) und
  
  • In allen anderen Fällen entspricht die „Body-Größe“ einfach dem Wert des Header-Feldes.

Der Inhalt der Felder „Body“ und „Footer“ wird mit RC4 verschlüsselt, wobei rc4_key als Verschlüsselungsschlüssel verwendet wird. Der Schlüsselstrom wird bei der Verschlüsselung jedes einzelnen Feldes wiederverwendet.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

“FIN8 baut seine Fähigkeiten offensichtlich weiter aus, indem es seine TTPs verfeinert und aktualisiert. Die Tatsache, dass die Gruppe einige Monate nach dem Auftauchen der „Sardonic“-Backdoor eine modifizierte Version davon einsetzte, belegt einmal mehr, dass diese regelmäßig weiterentwickelt und aktualisiert wird.

„Wie Symantec hervorhebt, unterstreicht die Verlagerung der Gruppe von POS-Angriffen hin zum Einsatz von Ransomware deren Entschlossenheit und ihr Bestreben, ihre Gewinne zu maximieren.“

3. Chinesische Akteure der Cyberspionage entwickeln ihre Taktiken weiter, um einer Entdeckung zu entgehen

Mandiant verfolgt verschiedene Strategien, mit denen sich chinesische Cyberspionagegruppen weiterentwickeln, um das Risiko einer Entdeckung zu minimieren und die Zuordnung der Verantwortlichen zu erschweren. Ihrer Analyse zufolge nutzen chinesische Gruppen Zero-Day-Schwachstellen aus, greifen Router an und wenden weitere Methoden an, um internen und externen Datenverkehr in die Netzwerke ihrer Opfer umzuleiten und zu verschleiern.

China konzentriert sich auf Netzwerk-, Sicherheits- und Virtualisierungssoftware

Mandiant geht davon aus, dass sich die Zero-Day-Angriffe im Rahmen der chinesischen Cyber-Spionage in den Jahren 2021 und 2022 auf Sicherheits-, Netzwerk- und Virtualisierungstechnologien konzentrierten.

Das Ausnutzen dieser Geräte verschafft einem Angreifer zahlreiche taktische Vorteile. Da Sicherheits- und Netzwerkgeräte Edge-Geräte sind – das heißt, sie sind über das Internet erreichbar –, kann sich ein Angreifer ohne jegliche menschliche Interaktion einen ersten Zugriff darauf verschaffen. Dadurch sinkt die Wahrscheinlichkeit, entdeckt zu werden.

Wie Mandiant hervorhebt, kann die Überwachung von Edge-Geräten und Virtualisierungssoftware eine größere Herausforderung darstellen. Manche unterstützen möglicherweise keine EDR-Lösungen, was die Wahrscheinlichkeit einer Erkennung weiter verringert. Zwei relativ aktuelle Kampagnen verdeutlichen die bemerkenswerten Strategien, die chinesische Angreifer anwenden, um ihre Tarnung zu optimieren.

Die Einheit UNC3886 setzt zwei Zero-Day-Exploits in komplexen Operationen gegen schwer zu bekämpfende Ziele ein

Mandiant untersuchte Vorfälle im Jahr 2022 , bei denen der Cyberspionageakteur UNC3886 mehrere Angriffswege und zwei Zero-Day-Schwachstellen nutzte, um eine dauerhafte Präsenz aufzubauen und sich Zugang zu virtualisierten Umgebungen zu verschaffen. Dieser Angreifer hatte es in erster Linie auf Unternehmen der Rüstungsindustrie sowie auf Technologie- und Telekommunikationsunternehmen in den USA und Asien abgesehen.

Dieser Angreifer beschränkte seine Präsenz in den Netzwerken auf Sicherheitsgeräte von Fortinet sowie auf Virtualisierungstechnologien, -geräte und -plattformen von VMware – also auf Geräte und Plattformen, für die es in der Regel keine EDR-Lösungen gibt. Die maßgeschneiderte Malware und die Exploits des Angreifers zielten in erster Linie darauf ab, Protokollaufzeichnungen und Sicherheitskontrollen zu umgehen; sie löschten und veränderten Protokollaufzeichnungen und deaktivierten die Dateisystemprüfung beim Systemstart.

UNC4841’s : Der Angriff auf Barracuda ESG beginnt unauffällig, wird dann aber aggressiv

Der mutmaßliche chinesische Cyberspionageakteur „ UNC4841 “ nutzte im Rahmen einer Kampagne, die sich gegen öffentliche und private Organisationen weltweit richtete, eine Zero-Day-Sicherheitslücke in Barracuda-ESG-Geräten aus. In mehreren Fällen fand Mandiant Hinweise darauf, dass der Angreifer nach relevanten E-Mail-Daten suchte, bevor er diese für die Exfiltration vorbereitete.

Der Angreifer versuchte, bestimmte Aspekte seiner Aktivitäten auf vielfältige Weise zu verschleiern.

• Der Angreifer versandte E-Mails mit speziell manipulierten TAR-Dateien, die die Barracuda-Sicherheitslücke ausnutzten, wodurch es dem Angreifer gelang, beliebige Systembefehle mit den erweiterten Berechtigungen des ESG-Produkts auszuführen.
• Die Gruppe entwickelte zudem maßgeschneiderte Malware unter Verwendung von Namenskonventionen, die denen legitimer ESG-Dateien ähneln, bevor sie maßgeschneiderten Backdoor-Code in legitime Barracuda-Module einfügte.
• In einigen Fällen nutzte der Angreifer legitime, selbstsignierte temporäre SSL-Zertifikate, die auf ESG-Geräten zu Konfigurationszwecken vorinstalliert sind, sowie aus den Umgebungen der Opfer gestohlene Zertifikate, um den C2 -Datenverkehr zu verschleiern.

Der Angreifer reagierte recht aggressiv auf die Abhilfemaßnahmen und die Veröffentlichung der Vorfälle. Nachdem die Barracuda-Sicherheitslücke bekannt geworden war und erste Abhilfemaßnahmen ergriffen worden waren, reagierte der Angreifer darauf, indem er seine maßgeschneiderte Malware zügig anpasste, zusätzliche Mechanismen zur Persistenz einsetzte und sich lateral ausbreitete, um sich den Zugriff zu sichern.

Weitere Beispiele

Die beiden oben beschriebenen Vorfälle sind nur ein kleiner Ausschnitt aus einer immer länger werdenden Liste chinesischer Cyberspionagekampagnen, bei denen Zero-Day-Schwachstellen in Sicherheits- und Netzwerkprodukten ausgenutzt werden.

• Mandiant berichtete über die Ausnutzung der Sicherheitslücke „ CVE-2022-42475“ ( ) – einer Schwachstelle in Fortinets FortiOS SSL-VPN –, wobei die frühesten Hinweise darauf auf den Oktober 2022 zurückgehen.
• In der Sicherheitsmitteilung „ Dezember 2022“ berichtete Citrix über eine in der Praxis beobachtete Ausnutzung der Schwachstelle CVE-2022-27518 in seinem Application Delivery Controller (ADC), die die US-amerikanische National Security Agency (NSA) der Gruppe „ “ APT5 zuschrieb.
• In dem Bericht „ März 2022“ berichtete Sophos über eine in der Praxis beobachtete Ausnutzung der Schwachstelle „ CVE-2022-1040“ ( ) in seinem Firewall-Produkt, die Volexity mit chinesischen Akteuren im Bereich der Cyberspionage in Verbindung brachte.
• Mandiant untersuchte mehrere Angriffe, die zwischen dem August 2020 und dem März 2021 stattfanden und bei denen die Sicherheitslücke CVE-2021-22893 in Pulse Secure-VPNs ausgenutzt wurde.
• Im Bericht „ März 2021“ identifizierte Mandiant drei Zero-Day-Sicherheitslücken, die in der SonicWall-E-Mail-Sicherheitslösung „ “ (ES) ( ) ausgenutzt wurden (CVE-2021-20021, CVE-2021-20022, CVE-2021-20023). “

Chinesische Akteure verschleiern externen und internen Datenverkehr mithilfe von Botnetzen und Tunneln

Mandiant deckt zunehmend Fälle chinesischer Cyberspionageoperationen auf, bei denen Botnetze aus kompromittierten IoT-Geräten, Smart-Geräten und Routern genutzt werden, um den externen Datenverkehr zwischen der Umgebung des Opfers und der C2 -Infrastruktur zu verschleiern.

Zudem beobachten sie zunehmend den Einsatz verschiedener Malware-Familien, die den Datenverkehr von Angreifern innerhalb eines kompromittierten Netzwerks unbemerkt weiterleiten können. Diese Taktiken werden wahrscheinlich eingesetzt, um einer Aufdeckung zu entgehen und die Rückverfolgung zu erschweren.

Botnetz als Ablenkungsmanöver

Forscher haben mehrere Beispiele chinesischer Cyberspionagegruppen identifiziert, die Botnetze nutzen, um den Datenverkehr zwischen dem Angreifer und dem Netzwerk des Opfers zu verschleiern. Diese Aktivität wurde unter anderem von APT41, APT31, APT15, TEMP.hex und Volt Typhoon beobachtet.

Hier einige Beispiele:

• In dem Bericht „ Mai 2023“ berichtete Microsoft über Aktivitäten der Gruppe „ “ unter dem Namen „Volt Typhoon“ ( ), die auf Organisationen mit kritischer Infrastruktur in den USA abzielten. Der Angreifer nutzte ein Botnetz aus kompromittierten SOHO-Geräten, um seinen Netzwerkverkehr umzuleiten.
• Im Jahr 2023 analysierte Check Point den Akteur „ Camaro Dragon“ und dessen Einsatz einer maßgeschneiderten Hintertür namens „Horse Shell“. Diese Aktion richtete sich gegen europäische Organisationen im Bereich der Außenpolitik und ermöglichte es dem Angreifer, einen SSH-verschlüsselten SOCKS-Proxy einzurichten und Dateien zu übertragen.
• Im Jahr 2022 berichtete PwC über die Malware „BPFDOOR“, die Befehle von VPS empfing, die wiederum von einem Netzwerk kompromittierter Router mit Standort in Taiwan gesteuert wurden. Mandiant geht davon aus, dass diese Aktivitäten mit denen von APT41 in Zusammenhang stehen.
• PwC berichtete zudem über die Beobachtung von „ “ („Red Vulture“ ) und dessen Nutzung eines gemeinsamen Proxy-Netzwerks, das in den Abschnitten 2021 und 2022 als „RedRelay“ bezeichnet wird. Diese Gruppe entspricht angeblich den Nummern APT15, APT25 und Ke3chang.
• Französische und US-amerikanische Behörden veröffentlichten Berichte, in denen sie darauf hinwiesen, dass von China staatlich geförderte Akteure Netzwerkgeräte missbrauchten, um Datenverkehr zwischen der „ C2 “-Infrastruktur und den Netzwerken der Opfer umzuleiten. In dem 2022 -Bericht der US-Behörden wurde auf die Ausnutzung der Sicherheitslücke „“ bei NAS-Geräten (Network Attached Storage ) hingewiesen. In dem Bericht der französischen Beratungsstelle 2021 wurde eine bestimmte Kampagne beschrieben, die der Einheit APT31 zugeschrieben wurde.
• ESET berichtete in dem Artikel „ Februar 2021“ über die Entdeckung einer Linux-Backdoor namens „SideWalk“, die dazu genutzt wurde, eine Universität in Hongkong zu kompromittieren. Mandiant führt den Großteil dieser Aktivitäten auf APT41 zurück.

Mandiant hat zudem Hinweise darauf festgestellt, dass mutmaßliche chinesische Cyberspionageakteure maßgeschneiderte Malware einsetzen, um den Datenverkehr innerhalb der Netzwerke der Opfer durch DNS-, HTTP- und TCP/IP-Hijacking zu verschleiern.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Die meisten der oben genannten Taktiken sind für chinesische Akteure im Bereich der Cyberspionage weder neu noch sind sie ausschließlich diesen Akteuren vorbehalten.“ Mandiant hat diese Informationen zusammengestellt, um aufzuzeigen, wie chinesische Akteure der Cyberspionage diese Taktiken im Rahmen einer „allgemeinen Entwicklung hin zu zielgerichteteren, verdeckteren und effektiveren Operationen“ einsetzen.

Bei den Vorfällen, die Mandiant oben beschreibt, handelt es sich ausnahmslos um erfolgreiche Angriffe. Dies deutet darauf hin, dass sich die Investitionen dieser Akteure in die Weiterentwicklung ihrer TTPs zur Vermeidung der Aufdeckung auszahlen.“

Haben Sie Einblicke in diese Geschichten, die Sie gerne teilen möchten? Besuchen Sie , , das Tanium-Diskussionsforumsowie  , um eine Unterhaltung zu beginnen.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .