In dieser Woche befasst sich CTI mit einer neuen Partnerschaft zwischen der Hackergruppe „Scattered Spider“ und dem RansomHub- -Ransomware-as-a-Service-Anbieter (RaaS) (wird in einem neuen Tab geöffnet). Als Nächstes untersucht CTI, wie sich Infostealer weiterentwickeln, um die app-gebundene Verschlüsselung von Google in Chrome zu umgehen. Abschließend erläutert CTI, wie der Angreifer „Evasive Panda“ bei seinen Angriffen zum Diebstahl von Cookies ein bislang undokumentiertes Toolset namens „CloudScout“ einsetzt, das nach der Kompromittierung zum Einsatz kommt.
Scattered Spider geht eine Partnerschaft mit RansomHub ein
Ein kürzlich aufgetretener Vorfall im Bereich der Cybersicherheit zeigt, dass die Hackergruppe „Scattered Spider“ bei ihren Angriffen nun mit RansomHub zusammenarbeitet.
Laut ReliaQuest (wird in einem neuen Tab geöffnet) gelangte der Angreifer innerhalb von sechs Stunden nach dem Erlangen des ersten Zugriffs auf zwei Mitarbeiterkonten mittels Social Engineering (wird in einem neuen Tab geöffnet) gegen den Helpdesk der Zielorganisation in die Verschlüsselungsphase.
Was ist „Scattered Spider“?
Die Hackergruppe „Scattered Spider“ ist mindestens seit dem Mai 2022 aktiv. Forscher gehen davon aus, dass die Gruppe derzeit aus etwa 1 000 englischsprachigen Cyberkriminellen besteht.
Seit ihrer Gründung haben die Mitglieder der Gruppe ihre Social-Engineering-Fähigkeiten kontinuierlich weiterentwickelt und diese mit Ransomware-Varianten mit Verbindungen zu Russland kombiniert, um Angriffe durchzuführen.
Die Gruppe war zuvor ein Ableger der BlackCat-Ransomware-Gruppe, bevor sich diese auflöste. „Scattered Spider“ setzt bei seinen Angriffen nun die Ransomware „RansomHub“ ein.
Angriffsanalyse
ReliaQuest stellte während dieses Vorfalls mehrere interessante Verhaltensweisen fest, darunter:
- Der Schauspieler legte beharrliches Social Engineering an den Tag. Der erste Zugriff wurde durch Social-Engineering-Maßnahmen gegenüber Mitarbeitern des Helpdesks erlangt, wodurch das Konto des Finanzvorstands erfolgreich kompromittiert werden konnte. Nachdem der Angreifer festgestellt hatte, dass dieses Konto nicht über die erforderlichen Berechtigungen verfügte, um den Rest des Angriffs durchzuführen, wandte er sich erneut an den Helpdesk und nutzte dieselbe Social-Engineering-Taktik, um ein Domänenadministratorkonto zu kompromittieren.
- Zu den weiteren bemerkenswerten Verhaltensweisen zählten der Missbrauch der Telekommunikationsinfrastruktur, das Starten einer virtuellen Maschine innerhalb der ESXi-Umgebung zur lateralen Bewegung sowie das Erreichen einer schnellen Auswirkungszeit. Dem Schauspieler gelang es, innerhalb einer Stunde nach seinem Anruf beim Helpdesk das CFO-Konto und das Domain-Admin-Konto zu kompromittieren.
Ein genauerer Blick auf die Social-Engineering-Taktik von „Scattered Spider“
Der Angreifer rief den IT-Helpdesk des Unternehmens an und überzeugte die Mitarbeiter dort, das Passwort für ein Konto des Finanzvorstands des Unternehmens zurückzusetzen. Später riefen sie den Helpdesk an, erreichten einen anderen Mitarbeiter und überzeugten diesen, die Einstellungen für die Multi-Faktor-Authentifizierung (MFA) unter (öffnet in einem neuen Tab) im Konto des Finanzvorstands zurückzusetzen, wodurch es dem Angreifer möglich wurde, sein eigenes Gerät für die MFA zu registrieren.
Nachdem sie festgestellt hatten, dass das Konto nicht über die für einen erfolgreichen Angriff erforderlichen Berechtigungen verfügte, durchsuchten sie die SharePoint-Website der Organisation, um ein Domänenadministratorkonto zu finden, mit dem sie die benötigten Zugriffsrechte erhalten würden. Mit diesem Ziel vor Augen rief der Akteur erneut den Helpdesk an und bat darum, das Passwort für das betreffende Domänenadministrator-Konto, das über Okta-Superadministrator-Rechte verfügte, zurückzusetzen.
Erpressung von Lösegeld über Microsoft Teams
Der Täter führte einen doppelten Erpressungsangriff durch, bei dem er die ESXi-Umgebung verschlüsselte, Daten abzugreifen, Backup-Lösungen ins Visier nahm, lokale Backups verschlüsselte, Cloud-Backups löschte und schließlich unter ein Lösegeld forderte: (öffnet in einem neuen Tab). Dem Schauspieler gelang es, mehrere Gigabyte an Daten über Mega Cloud zu entwenden.
Die Lösegeldforderung unterschied sich zudem von den herkömmlichen „ “-Ransomware-Angriffen: (wird in einem neuen Tab geöffnet). In diesem Fall versandte der Angreifer eine Microsoft-Teams-Nachricht über ein zuvor kompromittiertes Domänenadministrator-Konto. Diese Nachricht enthielt einen Link zur Lösegeldforderung. Der Schauspieler versandte zudem eine E-Mail von demselben Konto mit dem Betreff „Dringende Informationen zum Cyberangriff“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese „Scattered Spider“-Kampagne enthält zahlreiche interessante Elemente. Zunächst einmal ist klar, dass dieser Akteur schnell handelt und dabei immer schneller wird. Auch ihre Social-Engineering-Taktiken wirken zwar trivial, sind jedoch unglaublich wirksam.
Zudem wurde die Lösegeldforderung in diesem Beispiel nicht als herkömmliche README-Datei übermittelt. Stattdessen übermittelte der Schauspieler die Nachricht über Teams und per E-Mail.
ReliaQuest weist zudem darauf hin, dass russisch- und englischsprachige Cyberkriminelle mittlerweile zusammenarbeiten, wie diese jüngste Partnerschaft belegt. In der Vergangenheit haben diese beiden Gruppen nicht oft zusammengearbeitet.
„Scattered Spider“ und „RansomHub“ sind keine Bedrohungen, die man auf die leichte Schulter nehmen sollte, insbesondere wenn sie zusammenarbeiten.
Datendiebstahlprogramme umgehen die gepatchten Sicherheitsmaßnahmen von Chrome
Anfang dieses Jahres führte Google für seinen Chrome-Browser eine app-gebundene Verschlüsselung ein, um den Schutz von Cookies vor Malware zu verbessern. Diese Maßnahme wurde in erster Linie als Reaktion auf die Zunahme von Infostealer-Malware eingeführt, die auf den Diebstahl von Cookies abzielt.
Elastic Security Labs (wird in einem neuen Tab geöffnet) hat inzwischen untersucht, wie sich dies auf die Bedrohungslage ausgewirkt hat, und dabei Infostealer mit neuem Code identifiziert, die diesen Schutz umgehen und so wettbewerbsfähig bleiben.
Hintergrund und Zeitlicher Ablauf
Forscher haben mehrere Techniken identifiziert, mit denen eine Handvoll Malware-Programme die app-gebundene Verschlüsselungsfunktion von Google umgehen, darunter Stealc/Vidar, MetaStealer, Phemedrone, XenoStealer und Lumma.
Zu diesen Methoden gehören unter anderem das Remote-Debugging über DevTools, das Auslesen des Prozessspeichers des Chrome-Netzwerkdienstprozesses sowie die Erweiterung der Berechtigungen auf „ “ (SYSTEM- ), gefolgt von der Entschlüsselung der Datei „“ („app_bound_encryption_key“) unter „“.
Werfen wir einen Blick auf die Entwicklung dieser Malware-Arten im Zeitverlauf und ihre Funktionsweise:
- Stealc/Vidar: Elastic hat Ende September neuen Code in der Stealc-Infostealer-Malware entdeckt, der sich speziell auf diese Cookie-Umgehungstechnik bezieht – nur wenige Monate nach der Ankündigung von Google unter (wird in einem neuen Tab geöffnet). Diese Samples unterschieden sich von früheren Stealc-Samples mit bedingten Prüfungen.
Eine eingebettete Binärdatei erstellt einen versteckten Desktop, scannt alle chrome.exe-Prozesse und beendet diese und erstellt anschließend einen neuen chrome.exe-Prozess auf dem neuen Desktop. Die Malware wählt das passende Signaturmuster für die Chromium-Funktion namens „CookieMonster“ aus. Die Malware ist letztendlich dafür verantwortlich, unverschlüsselte Cookie-Werte in einem der untergeordneten Prozesse von Chrome zu extrahieren. - Metastealer: Bei dieser Malware zum Diebstahl von Informationen wurde beobachtet, dass sie ihren Code so aktualisiert hat, dass sie auch nach den neuen Abwehrmaßnahmen von Google weiterhin Chrome-Daten stehlen kann. Am 30. September gab der Autor von Metastealer auf Telegram bekannt, dass er die Fähigkeit zum Diebstahl von Cookies selbst angesichts der jüngsten Änderungen bei Chrome verbessert habe.
- Phemedrone: Dieser Open-Source-Stealer erlangte vor nicht allzu langer Zeit große Bekanntheit, da er die Windows-SmartScreen-Sicherheitslücke ausnutzte: (wird in einem neuen Tab geöffnet).
Eine neue Version der im September eingereichten Malware scheint eine neue Funktion zum Abgreifen von Cookies zu enthalten, die speziell für Chrome entwickelt wurde. - Xenostealer: Ein weiterer Open-Source-Stealer; diese Malware befindet sich noch in aktiver Entwicklung. Elastic weist darauf hin, dass die Chrome-Bypass-Funktion auf 26. September eingeführt wurde.
- Lumma: Mitte Oktober wurden in einer neuen Version von Lumma weitere Methoden eingeführt, mit denen sich die neuen Cookie-Schutzfunktionen von Chrome umgehen lassen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dies ist ein Paradebeispiel für den endlosen Kreislauf zwischen Angreifern und Verteidigern: Angreifer finden Wege, Sicherheitsmaßnahmen und Funktionen zu umgehen, Verteidiger und Anbieter entwickeln neue Funktionen, um solche Aktivitäten zu verhindern, und Angreifer entwickeln als Reaktion darauf neue Umgehungsstrategien.
Elastic hat einige Malware-Familien identifiziert, die aktiv nach Möglichkeiten suchen, die an die App gebundene Verschlüsselung von Chrome zu umgehen. Es ist sehr wahrscheinlich, dass weitere Malware-Familien in Kürze ähnliche Fähigkeiten zeigen werden.
„Evasive Panda“ nutzt CloudScout bei den jüngsten Cookie-Angriffen
Laut ESET (wird in einem neuen Tab geöffnet) setzt der als „Evasive Panda“ bekannte APT-Akteur (Advanced Persistent Threat) bei seinen Angriffen nun ein bislang undokumentiertes Toolset namens „CloudScout“ ein, das nach der Kompromittierung zum Einsatz kommt.
Das CloudScout-Toolset ruft Daten (wird in einem neuen Tab geöffnet) aus einer Reihe von Cloud-Diensten mithilfe gestohlener Web-Sitzungs-Cookies ab und lässt sich in das charakteristische Malware-Framework des Angreifers, MgBot, integrieren.
Über Evasive Panda
„Evasive Panda“ ist seit mindestens 2012 aktiv und betreibt in erster Linie Cyberspionage-Kampagnen.
Zu Beginn von „ 2023 “ (wird in einem neuen Tab geöffnet) setzte der Schauspieler drei bislang unbekannte .NET-Module ein, die darauf ausgelegt waren, durch das Übernehmen authentifizierter Web-Sitzungen Zugriff auf öffentliche Cloud-Dienste zu erlangen. Die Technik beruht darauf, Cookies aus einer Browser-Datenbank zu entwenden und diese auf bestimmte Weise zu nutzen, um Zugriff auf die Cloud-Dienste zu erlangen.
Technische Analyse
CloudScout ist ein .NET-Malware-Framework, das aus mehreren Modulen besteht, die auf verschiedene Cloud-Dienste abzielen.
Bislang hat ESET sieben Module von CloudScout identifiziert, wobei diese sieben jedoch noch nicht auf kompromittierten Rechnern beobachtet wurden. CloudScout trägt das Copyright-Jahr 2020 , was darauf hindeutet, dass es etwa zu dieser Zeit entwickelt worden sein könnte.
ESET hat bei drei der von ihnen analysierten Module einen gemeinsamen Verschlüsselungsschlüssel „ RC4 “ festgestellt. Anhand dieser Informationen konnten sie feststellen, dass eines der Module, CGM, über ein MgBot-Plugin bereitgestellt wurde, das von Evasive Panda verwendet wird.
Paket „CommonUtilities“
Das Herzstück von CloudScout ist ein Paket namens „CommonUtilities“. Dieses Paket enthält die Low-Level-Bibliotheken, die für die Ausführung der einzelnen Module erforderlich sind. Das Paket wird im Bereich „resources“ der Module gespeichert und während der Funktion „ModuleStart“ geladen.
CommonUtilities enthält zahlreiche eigens entwickelte Bibliotheken, obwohl viele ähnliche Open-Source-Alternativen zur Verfügung stehen. Im Gegensatz zu anderen Open-Source-Alternativen bieten diese Bibliotheken Malware-Entwicklern mehr Flexibilität und Kontrolle über die internen Abläufe ihres Implantats.
Authentifizierung und Datenabruf
Webplattformen dokumentieren Cookies nicht immer ausreichend. CloudScout kann die Cookies von Google Drive, Gmail und Outlook abgreifen, sofern eine Sitzung noch gültig ist. Nach der Authentifizierung durchsucht das Tool die kompromittierten Dienste mithilfe seiner Module, die über verschiedene fest programmierte Webanfragen verfügen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Evasive Panda“ ist ein raffinierter Akteur, und das schon seit geraumer Zeit. Auch wenn das CloudScout-Toolset komplex erscheint und das Potenzial hat, erhebliche Auswirkungen zu haben, ist anzumerken, dass Google inzwischen Schutzfunktionen für Chrome veröffentlicht hat, die – genau wie CloudScout – zum Schutz vor Malware zum Diebstahl von Cookies beitragen sollen.
Wie ESET anmerkt, könnte dies das Tool möglicherweise überflüssig machen. Wie bei allem anderen gilt jedoch: Wenn Akteure in etwas einen Nutzen sehen, werden sie weiterhin nach Wegen suchen, diese Maßnahmen zu umgehen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
