Diese Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium SantaStealer, einen neuen Infostealer für Malware-as-a-Service, der kürzlich gestartet wurde und jetzt in freier Wildbahn ist. Als Nächstes betrachtet das Team BlackForce, ein fortschrittliches Phishing-Kit, das auf große Marken abzielt. Abschließend haben wir einen Überblick über Ink Dragon, eine mit China verbundene Cyber-Spionage-Gruppe.
SantaStealer verbreitet sich über Telegram und Untergrundforen
Rapid7 teilt Details über SantaStealer, einen neuen Infostealer für Malware-as-a-Service, der entwickelt wurde, um Anmeldeinformationen, Browserdaten, Geldbörsen und mehr durch modulare Plugins und speicherresidente Techniken zu stehlen. Laut Rapid7 ist SantaStealer jetzt produktionsbereit und verbreitet sich in der Wildnis.
Während sie als äußerst heimlich vermarktet werden, glaubt Rapid7 , dass aktuelle Stichproben eine schlechte Verschleierung und Betriebssicherheit aufweisen, was sie trotz ehrgeiziger Behauptungen einfacher zu erkennen macht.
Entdeckung
Rapid7 entdeckte anfänglich SantaStealer-Malware, die in Untergrundforen beworben wurde.
Die Forscher bei Rapid7 analysierten eine Windows-Ausführung, die eine generische Infostealer-Regel auslöste. Ihre Analyse ergab eine DLL, die mehr als 500 exportierte Symbole und viele unverschlüsselte Zeichenfolgen im Zusammenhang mit dem Diebstahl von Anmeldedaten hatte. Einige der Symbole in der DLL führten zu einer Zeichenfolge, die eine JSON-codierte Konfiguration enthält. Diese Konfiguration selbst enthielt ein Banner, das „SANTA STEALER“ sagte, zusammen mit einem Link zum entsprechenden Telegram-Kanal.
Noch einen Schritt weiter hat sich Rapid7 den Telegram-Kanal für SantaStealer angesehen. Die Forscher entdeckten das Affiliate-Webpanel und machten ein Konto, um mehr über die Malware zu erfahren. Das Webpanel umreißt eine Liste von Funktionen, die verbundenen Unternehmen zur Verfügung stehen, je nachdem, ob sie über den Basis- oder Premiumplan verfügen.
Die SantaStealer-Proben, die durch Rapid7 analysiert wurden, scheinen sich von vielen der von den Betreibern beworbenen Behauptungen zu unterscheiden. Dies führte zu der Annahme, dass sich die Malware wahrscheinlich noch in der Entwicklung befindet und frühe Proben versehentlich freigegeben worden sein könnten.
Technische Details
Rapid7 hat einen tieferen technischen Einblick in eines der ausführbaren Proben genommen. Die Forscher stellten fest, dass sie versuchen wird, die DLL-Builds auszuführen, aber letztendlich Probleme haben.
Sie geben an, dass „das Erkennen und Verfolgen dieser Nutzdaten einfach ist, da sowohl die Malware-Konfiguration als auch die IP-Adresse des Servers C2 in den ausführbaren Klartext eingebettet sind.“ Dies könnte sich ändern, wenn viele der beworbenen Funktionen für SantaStealer implementiert werden.
Zu Beginn prüft die Malware auf Werte, die für anti_cis und exec_delay_seconds eingegeben wurden, und reagiert entsprechend. Anschließend geht es zu seiner Anti-VM-Funktion über, die sich über verschiedene Proben hinweg verändert. Rapid7 fand heraus, dass einige Proben nach auf der schwarzen Liste stehenden Prozessen und Computernamen gesucht haben, während andere Proben einfach nach der Anzahl der laufenden Prozesse, der Systemverfügbarkeit und ob VirtualBox existierten.
Die Nutzdaten versuchen letztendlich, Anmeldedaten aus dem Browser zu stehlen. Rapid7 geht in seinem Bericht auf technische Details darüber ein.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
SantaStealer stellt eine hochmoderne MaaS-Bedrohung mit modularen Fähigkeiten und sich entwickelnder Raffinesse dar. Die vorzeitige Leckage und die technische Einfachheit bieten den Verteidigern jedoch wichtige Möglichkeiten zur Erkennung und Analyse.
Dieser Infostealer stimmt mit mehreren breiteren Trends überein, die derzeit die Bedrohungslandschaft prägen, einschließlich des Aufkommens von MaaS-Ökosystemen, die die Barriere von Eintritt und Anmeldedaten und Sitzungs-Hijacking als primären Angriffsvektor verringern.
Viele MaaS-Angebote, die mit schlechter betrieblicher Sicherheit beginnen, werden mit der Zeit mit steigendem Umsatz gehärtet. Wenn SantaStealer diesem Trend folgt, wird er sich wahrscheinlich weiterentwickeln und anspruchsvoller werden.
BlackForce Phishing Kit richtet sich an große Marken
Ein kürzlich veröffentlichter Zscaler-Beitrag gibt Aufschluss über BlackForce, ein fortschrittliches Phishing-Kit, das auf große Marken abzielt, die realistische Anmeldeseiten und Man-in-the-Browser-Techniken verwenden, um Anmeldeinformationen zu stehlen und die Multifaktor-Authentifizierung (MFA) zu umgehen.
Laut Zscaler verwendet BlackForce starke Umgehungstaktiken, Echtzeitdatenexfiltration über Telegram und entwickelt sich mit Verschleierung und Hybrid-Client-Server-Logik weiter.
BlackForce-Erkennung und Codeanalyse
Zscaler ist bei der Suche nach Phishing-Kampagnen auf ein bestimmtes Muster gestoßen. Das Muster war „Domains verwendeten regelmäßig JavaScript-Dateien mit Cache-Brusting-Hashes in ihren Namen.“
Dieses Muster führte dazu, den Einstiegspunkt des BlackForce Phishing-Kits zu identifizieren, das eine einzelne Zeile im HTML der Seite war, die die Plattform laden würde. Zscaler stellte fest, dass mehr als 99 % des Inhalts der bösartigen JavaScript-Datei Produktions-Builds von React und React Router enthält, was dazu beigetragen hat, dass das Kit legitim erscheint.
BlackForce Angriffskette
Ein BlackForce-Angriff beginnt, wenn ein Opfer auf den Phishing-Link klickt und zur Phishing-Seite des Angreifers geht. Eine serverseitige ISP/Anbieter-Blockliste wird verwendet, um sicherzustellen, dass kein Datenverkehr zur Seite von einem Forscher oder Scanner kommt. Sobald diese Validierung abgeschlossen ist, wird die Phishing-Seite dem Opfer zugestellt und sie werden gebeten, ihre Zugangsdaten einzugeben.
Zu diesem Zeitpunkt erhält der Angreifer eine Warnung, dass die Anmeldeinformationen an seinen C2 - und Telegram-Kanal gesendet wurden. Der Angreifer versucht dann, sich mit den gestohlenen Zugangsdaten anzumelden.
In vielen Fällen löst dies MFA aus und der Angreifer muss eine gefälschte MFA-Authentifizierungsseite über BlackForce an das Opfer senden. Wenn das Opfer auf diese gefälschte Seite fällt und den MFA-Code eingibt, erhält der Angreifer erfolgreich Zugriff auf das Konto. Am Ende des Angriffs wird das Opfer zur legitimen Website weitergeleitet.
Exfiltration
Zscaler hat festgestellt, dass BlackForce Axios verwendet, um seine Kommunikation zu verwalten. Es gibt zwei clientseitige Axios-Instanzen, die erste ist für die C2 -Kommunikation und die andere für das Exfiltratieren von Daten in den Telegram-Kanal des Angreifers.
Anti-Analyse
Wie viele Phishing-Kits verwendet BlackForce verschiedene Anti-Analyse-Techniken. Zscaler beobachtete es mithilfe eines proaktiven clientseitigen Filters, der es so macht, dass Sandboxen und Bots nicht auf der Phishing-Seite landen können.
Version 4 geht einen Schritt weiter und verwendet eine Nur-Mobile-Richtlinie, die alle Desktop-Benutzeragenten ablehnt. Das Kit enthält auch eine Liste zulässiger Länder, um sicherzustellen, dass nur gezielte Opfer zur Phishing-Seite geführt werden.
Aussagekraft
Spätere Versionen von BlackForce fielen aufgrund des Wechsels von zustandslosen zu zustandsorientierten Angriffsmodellen von früheren Versionen auf. In den Versionen 4 und 5 verwendet das Kit den sessionStorage des Browsers, um eine zustandsorientierte Sitzung zu erstellen, und ermöglicht es dem Kit, sich während des Angriffs Zugangsdaten zu merken.
C2 Kommunikation
Das Panel C2 wird verwendet, um Aktionen zu kontrollieren, nachdem das Opfer bis zu dem Zeitpunkt auf der Phishing-Seite gelandet ist, an dem die Daten gestohlen werden. Es gibt einige Funktionen auf dem Panel, einschließlich Funktionen, um den Besucher zu identifizieren, Opferdaten zu stehlen, den Ablauf der Phishing-Sitzung zu verwalten und den Angriff zu verwalten.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Das BlackForce-Kit zeigt, wie sich Phishing zu einem hochprofessionellen Servicemodell entwickelt hat, einschließlich Versionierung, Funktionsupgrades und Kundenbetreuung.
Dieses Beispiel zeigt auch, wie Angreifer jetzt aktiv der automatisierten Erkennung und Analyse von Forschern entgegenwirken und die Messlatte für Threat Intelligence und automatisierte Verteidigung erhöhen.
Ink Dragon startet neue Angriffe
Check Point Research teilt Einblicke in eine neue Welle von Angriffen, die von Ink Dragon durchgeführt werden, einer China-verknüpften Cyber-Spionagegruppe, die öffentliche Server mithilfe von IIS- und SharePoint-Schwachstellen kompromittiert und sich dann lateral bewegt, um Zugangsdaten zu sammeln und Berechtigungen zu eskalieren.
Es wurde beobachtet, dass Ink Dragon verdeckte Relaisnetzwerke auf der Opferinfrastruktur mithilfe benutzerdefinierter ShadowPad-Module erstellt, was einen verdeckten Befehls- und Steuerungszugriff und langfristigen Zugriff über mehrere Umgebungen ermöglicht.
Erster Zugriff
Laut Check Point nutzt der Bedrohungsakteur normalerweise die Deserialisierung von ASP.NET mithilfe öffentlich bekanntgegebener Maschinenschlüssel aus.
Der Schauspieler wurde auch beobachtet, wie er die SharePoint ToolShell-Schwachstelle für den ersten Zugriff missbrauchte.
Seitliche Bewegung
Ink Dragon nutzt zwei wichtige Vorteile, nachdem es einen Webserver kompromittiert hat, auf privilegierte IIS-Anmeldedaten zugreift und Einblick in aktive Admin-Sitzungen erhält.
Mit IIS-Zugangsdaten kann der Akteur von der IIS-Arbeitsprozessausführung zur vollständigen Systemsteuerung eskalieren, Persistenz über RDP-Tunnel oder geplante Aufgaben herstellen und lateral zu anderen Servern mit minimaler Erkennung schwenken. Sobald sie sich im Inneren befinden, setzen sie Implantate wie ShadowPad oder FinalDraft mithilfe nativer Protokolle (z. B. SMB) ein, wobei Dienste unter legitimen Namen verschleiert werden, um die Tarnung aufrechtzuerhalten.
Persistenz
Check Point hat zwei Muster beobachtet, wenn es um die Persistenz geht, einschließlich der Verwendung geplanter Aufgaben mit gutartigen Namen und der Installation von Diensten auf mehreren Maschinen zum Starten von Loadern.
Privileg-Eskalation
Ink Dragon verwendet eine Kombination aus Exploitation und Berechtigungsdiebstahl, um lateral zur vollständigen Domänenkontrolle zu gelangen. Der Akteur wird lokal Eskalierungsprivilegien beobachtet, LSASS und Registry-Quaddeln werden abgeladen und es werden untätige Admin-RMP-Sitzungen zur Wiederverwendung von Tokens entführt .
Aktivieren des Austritts
Wie Check Point feststellt, hat Ink Dragon „Host-Firewall-Regeln geändert, um einen breiten ausgehenden Datenverkehr zu ermöglichen und kompromittierte Hosts effektiv in unbeschränkte Exfiltrations-/Proxy-Knoten umzuwandeln.“
Aufbau des Relay-Netzwerks
Check Point entdeckte, dass dieser Bedrohungsakteur „kompromittierte Organisationen aktiv in funktionale Kommunikationsknoten innerhalb eines verteilten ShadowPad-Relaisnetzwerks umwandelt“.
Ink Dragon verwendet ein benutzerdefiniertes ShadowPad IIS Listener-Modul, um kompromittierte Server in verdeckte Kommunikations-Hubs innerhalb eines verteilten Relay-Netzwerks umzuwandeln. Durch die dynamische Registrierung versteckter HTTP(S)-Endpunkte, die sich mit normalem IIS-Datenverkehr verbinden, fängt das Implantat Anfragen ab, entschlüsselt Nutzdaten und leitet Befehle zwischen externen und internen Knoten weiter – wodurch effektiv ein Multi-Hop-Mesh der Opferinfrastruktur erstellt wird, das den wahren C2 -Ursprung ausblendet, laterales Pivotieren ermöglicht und die Erkennung extrem schwierig macht.
Tools und Nachbenutzung
Laut Check Point nutzt Ink Dragon eine Vielzahl zusätzlicher Tools, darunter:
- ShadowPad Loader
- CBDLoader für speicherresidente Nutzdatenausführung
- LalsDumper für LSASS-Entleerungsextraktion
- 032Loader als hostabhängiger Nutzlastlader
- FinalDraft, eine langfristige Spionage und Cloud C2
Viktimologie
Ink Dragon richtet sich hauptsächlich an Regierungsorganisationen , hat aber auch andere Sektoren angesprochen.
Ink Dragon ist weltweit tätig, richtet sich an Opfer in Südostasien und Afrika und expandiert kürzlich nach Europa.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Ink Dragon stellt einen hochdisziplinierten, zustandsorientierten Bedrohungsakteur dar, der nicht nur Daten stiehlt, sondern sich auch tief in Unternehmensumgebungen einbettet, indem er heimliche Techniken verwendet, die legitimes Verhalten nachahmen.
Durch die Umwandlung von Opferservern in verdeckte Relaisknoten und den Missbrauch vertrauenswürdiger Cloud-APIs machen sie die Erkennung und Eindämmung extrem schwierig, was bedeutet, dass sich ein einzelner Standpunkt zu einer langfristigen, netzwerkübergreifenden Kompromittierung entwickeln kann. Dieser Schauspieler veranschaulicht die Konvergenz traditioneller APT-Aktivitäten mit modernen Unternehmensrealitäten.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium , um ein Gespräch zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.