Diese Woche betrachtet CTI eine neue Partnerschaft zwischen der Scattered Spider-Bedrohungsgruppe und RansomHub Ransomware as a Service (RaaS)-Operation (wird in einer neuen Registerkarte geöffnet). Als Nächstes untersucht CTI, wie Infostealer sich entwickeln, um die App-gebundene Verschlüsselung von Google in Chrome zu umgehen. Schließlich erklärt CTI, wie der Bedrohungsakteur Evasive Panda ein zuvor nicht dokumentiertes, nach dem Kompromise-Verfahren namens CloudScout bei seinen Cookie-Diebstahlangriffen verwendet.
Scattered Spider arbeitet mit RansomHub zusammen
Ein kürzlicher Cybersicherheitsvorfall zeigt, dass die Scattered Spider-Bedrohungsgruppe jetzt mit RansomHub für ihre Angriffe zusammenarbeitet.
Laut ReliaQuest (öffnet sich in einer neuen Registerkarte) erreichte der Akteur seine Verschlüsselungsphase innerhalb von sechs Stunden, nachdem er ersten Zugriff auf zwei Mitarbeiterkonten über Social Engineering (öffnet in einer neuen Registerkarte) gegen den Helpdesk der Zielorganisation erhalten hatte.
Was ist Scattered Spider?
Die Bedrohungsgruppe Scattered Spider ist seit mindestens aktiv Mai 2022. Forscher glauben, dass die Gruppe derzeit etwa 1 000 englischsprachige Bedrohungsakteure enthält.
Seit ihrer Gründung haben die Mitglieder der Gruppe ihre Social Engineering-Fähigkeiten weiter ausgebaut und sie mit russischen Ransomware-Stämmen kombiniert, um Angriffe durchzuführen.
Die Gruppe war zuvor eine Tochtergesellschaft des BlackCat-Ransomware-Betriebs, bevor diese Gruppe aufgelöst wurde. Scattered Spider nutzt jetzt RansomHub-Ransomware in seinen Angriffen.
Angriffsanalyse
ReliaQuest bemerkte während dieses Vorfalls mehrere interessante Verhaltensweisen, darunter:
- Der Schauspieler demonstrierte dauerhafte Social Engineering. Erster Zugriff wurde durch Social Engineering für Mitglieder des Helpdesks erhalten, um das Konto des CFO erfolgreich zu gefährden. Nachdem Sie erkannt hatten, dass dieses Konto nicht über die erforderlichen Berechtigungen verfügte, um den Rest des Angriffs durchzuführen, kehrte der Akteur zum Helpdesk zurück und verwendete dieselbe Social-Engineering-Taktik, um ein Domain-Admin-Konto zu kompromittieren.
- Weitere bemerkenswerte Verhaltensweisen waren der Missbrauch der Telekommunikationsinfrastruktur, das Hochfahren einer VM innerhalb der ESXi-Umgebung für seitliche Bewegungen und die Demonstration einer schnellen Zeit bis zum Aufprall. Der Akteur konnte das CFO-Konto und das Domain Admin-Konto innerhalb einer Stunde nach dem Anruf beim Helpdesk kompromittieren.
Ein genauerer Blick auf die Social-Engineering-Taktik von Scattered Spider
Der Bedrohungsakteur rief den IT-Helpdesk der Organisation an und überzeugte sie, das Passwort für ein Konto zurückzusetzen, das zum CFO des Unternehmens gehört. Später riefen sie den Helpdesk an, erreichten einen anderen Mitarbeiter und überzeugten sie, die Multi-Faktor-Authentifizierungs (MFA)- Kontrollen (öffnet sich in einer neuen Registerkarte) auf dem Konto des CFO zurückzusetzen, was es dem Akteur ermöglichte, sein eigenes Gerät für MFA anzumelden.
Nachdem sie erkannt hatten, dass dem Konto die erforderlichen Berechtigungen für einen erfolgreichen Angriff fehlten, suchten sie auf der SharePoint-Website der Organisation, um ein Domain-Admin-Konto zu identifizieren, das ihnen das benötigte holen würde. Mit diesem Ziel hat der Schauspieler den Helpdesk erneut angerufen und angefordert, dass das Passwort für dieses Domänenadministratorkonto zurückgesetzt wird, das Okta Super Administrator-Privilegien enthielt.
Anspruchsvolles Lösegeld über Microsoft Teams
Der Akteur führte einen doppelten Erpressungsangriff durch, indem er die ESXi-Umgebung verschlüsselte, Daten exfiltrierte, Backup-Lösungen anvisierte, On-Premise-Backups verschlüsselte, Cloud-Backups löschte und schließlich ein Lösegeld forderte (wird in einer neuen Registerkarte geöffnet). Der Akteur konnte mehrere Gigabyte an Daten über Mega Cloud exfiltrieren.
Die Ransomware-Note unterschied sich auch von herkömmlichen Ransomware-Angriffen (öffnet sich in einer neuen Registerkarte). In diesem Fall hat der Bedrohungsakteur eine Nachricht von Microsoft Teams von einem zuvor kompromittierten Domänenadministratorkonto gesendet. Diese Nachricht enthielt einen Link für die Lösegeldforderung. Der Schauspieler hat auch eine E-Mail vom gleichen Konto mit einem Betreff gesendet, der sagte: „Dringende Aktualisierung bei Cyberangriff“.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Es gibt viele interessante Komponenten in dieser Scattered Spider-Kampagne. In erster Linie ist klar, dass sich dieser Schauspieler schnell bewegt und schneller wird. Ihre Social-Engineering-Taktiken erscheinen ebenfalls trivial, aber sie sind unglaublich effektiv.
Darüber hinaus wurde die Lösegeldnotiz in diesem Beispiel nicht als traditionelle README-Datei geliefert. Stattdessen lieferte der Schauspieler die Notiz mithilfe von Teams und E-Mail-Nachrichten.
ReliaQuest erwähnt auch, wie russisch- und englischsprachige Bedrohungsakteure jetzt zusammenarbeiten, wie diese neueste Partnerschaft zeigt. In der Vergangenheit haben diese beiden Gruppen nicht oft zusammengearbeitet.
Scattered Spider und RansomHub sind keine Bedrohungen, die leicht zu nehmen sind, insbesondere wenn sie zusammenarbeiten.
Infostealer umgehen gepatchte Chrome-Verteidigungen
Anfang dieses Jahres führte Google eine App-gebundene Verschlüsselung für seinen Chrome-Browser ein, um den Cookie-Schutz vor Malware zu verbessern. Dies wurde hauptsächlich als Reaktion auf den Anstieg der auf Cookie-Diebstahl fokussierten Infostealer-Malware eingeführt.
Elastic Security Labs (öffnet sich in einer neuen Registerkarte) hat seitdem untersucht, wie sich dies auf die Bedrohungslandschaft ausgewirkt hat, und Infostealer mit neuem Code identifiziert, um diesen Schutz zu umgehen und wettbewerbsfähig zu bleiben.
Hintergrund und Zeitplan
Forscher identifizierten mehrere Techniken, die von einer Handvoll Malware verwendet wurden, um die App-gebundene Verschlüsselungsfunktion von Google zu umgehen, darunter Stealc/Vidar, MetaStealer, Phemedrone, XenoStealer und Lumma.
Einige dieser Verfahren beinhalten Remote-Debugging über DevTools, Lesen des Prozessspeichers des Chrome-Netzwerkdienstprozesses und Anheben an SYSTEM und Entschlüsseln des app_bound_encryption_key.
Sehen wir uns einen Zeitplan dieser Malware-Typen und deren Funktionsweise an:
- Stealc/Vidar: Elastic hat neuen Code in der Stealc Infostealer-Malware beobachtet, der sich speziell auf diese Cookie-Bypass-Technik Ende September bezieht, nur wenige Monate nach der Ankündigung von Google (wird in einer neuen Registerkarte geöffnet). Diese Proben unterschieden sich von früheren Stealc-Proben mit bedingten Prüfungen.
Eine eingebettete Binärdatei erstellt einen ausgeblendeten Desktop, scannt und löscht alle Prozesse von Chrome.exe und erstellt einen neuen Chrome.exe-Prozess mit dem neuen Desktop. Die Malware wählt das entsprechende Signaturmuster für die Chromium-Funktion namens CookieMonster aus. Die Malware ist letztendlich dafür verantwortlich, unverschlüsselte Cookie-Werte in einem der untergeordneten Prozesse von Chrome zu extrahieren. - Metastealer: Diese Infostealing-Malware wurde beobachtet, als sie ihren Code aktualisierte, um Chrome-Daten zu stehlen 30. September, selbst nachdem Google neue Minderungsbemühungen unternommen hatte.Am gab der Metastealer-Autor Telegram bekannt, dass er seine Fähigkeit, Cookies selbst mit den neuesten Änderungen von Chrome zu stehlen, verbessert hatte.
- Phemedrone: Dieser Open-Source-Stealer wurde für die Verwendung der Windows SmartScreen-Schwachstelle vor nicht allzu langer Zeit bekannt (wird in einer neuen Registerkarte geöffnet).
Eine neue Version der im September eingereichten Malware scheint eine neue Cookie-Grabber-Funktion speziell für Chrome zu enthalten. - Xenostealer: Diese Malware ist ein weiterer Open-Source-Stealer, der sich noch in aktiver Entwicklung befindet. Elastic weist darauf hin, dass die Chrome-Bypass-Funktion auf eingeführt wurde 26. September.
- Lumma: Mitte Oktober führte eine neue Version von Lumma zusätzliche Methoden ein, um die neuen Cookie-Schutzfunktionen von Chrome zu umgehen.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dies ist ein Paradebeispiel für den endlosen Zyklus zwischen Bedrohungsakteuren und Verteidigern: Bedrohungsakteure finden Wege, Kontrollen und Funktionen zu umgehen, Verteidiger und Anbieter erstellen neue Funktionen, um solche Aktivitäten zu verhindern, und Bedrohungsakteure entwickeln als Reaktion darauf neue Umgehungsstrategien.
Elastic hat einige Malware-Familien identifiziert, die aktiv Möglichkeiten entwickeln, die App-gebundene Verschlüsselung von Chrome zu umgehen. Es ist sehr wahrscheinlich, dass zusätzliche Malware-Familien bald ähnliche Fähigkeiten aufweisen werden.
Evasive Panda verwendet CloudScout bei neuesten Cookie-Angriffen
Laut ESET (öffnet sich in einer neuen Registerkarte) verwendet der Advanced Persistent Threat (APT)-Akteur, der als Evasive Panda bekannt ist, jetzt bei seinen Angriffen ein zuvor nicht dokumentiertes Post-Compromise-Toolset namens CloudScout.
Das CloudScout-Toolset ruft Daten (öffnet sich in einer neuen Registerkarte) aus einer Reihe von Clouddiensten mithilfe gestohlener Websitzungs-Cookies ab und lässt sich in das Signatur-Malware-Framework des Akteurs, MgBot, integrieren.
Über Evasive Panda
Evasive Panda ist seit mindestens 2012 tätig und beteiligt sich hauptsächlich an Cyberspionagekampagnen.
Anfang 2023 (öffnet sich in einer neuen Registerkarte) setzte der Akteur drei bisher unbekannte .NET-Module ein, die entwickelt wurden, um auf öffentliche Cloud-Dienste zuzugreifen, indem authentifizierte Websitzungen entführt wurden. Die Technik beruht auf dem Diebstahl von Cookies aus einer Browserdatenbank und deren Verwendung auf eine bestimmte Weise, um Zugriff auf die Cloud-Dienste zu erhalten.
Technische Analyse
CloudScout ist ein .NET-Malware-Framework, das mehrere Module umfasst, die auf verschiedene Cloud-Dienste abzielen.
Bisher hat ESET sieben Module von CloudScout identifiziert, obwohl sieben davon noch nicht auf kompromittierten Maschinen beobachtet wurden. CloudScout hat ein Copyright von 2020 , was darauf hindeutet, dass es um diese Zeit hätte entwickelt werden können.
ESET identifizierte einen gemeinsamen RC4 -Verschlüsselungsschlüssel zwischen drei der von ihnen analysierten Module. Sie verwendeten dies, um festzustellen, dass eines der Module, CGM, von einem MgBot-Plugin bereitgestellt wurde, das von Evasive Panda verwendet wurde.
CommonUtilities-Paket
Das Herzstück von CloudScout ist ein Paket namens CommonUtilities. Dieses Paket enthält die Low-Level-Bibliotheken, die für die Ausführung jedes Moduls benötigt werden. Das Paket wird im Abschnitt Ressourcen der Module gespeichert und während der Funktion „ModuleStart“ geladen.
CommonUtilities enthält zahlreiche benutzerdefinierte Bibliotheken, obwohl viele ähnliche Open-Source-Optionen verfügbar sind. Diese Bibliotheken bieten Malware-Entwicklern mehr Flexibilität und Kontrolle über die internen Abläufe ihres Implantats im Gegensatz zu anderen Open-Source-Alternativen.
Authentifizierung und Datenabruf
Webplattformen dokumentieren Cookies nicht immer gut. CloudScout kann die Cookies von Google Drive, Gmail und Outlook stehlen, wenn eine Sitzung noch gültig ist. Nach der Authentifizierung durchsucht das Tool die kompromittierten Dienste mithilfe seiner Module, die verschiedene festcodierte Webanfragen haben.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Evasive Panda ist ein anspruchsvoller Schauspieler und schon seit einiger Zeit. Während das CloudScout-Toolset komplex erscheint und das Potenzial haben könnte, wirkungsvoll zu sein, ist es erwähnenswert, dass Google seitdem Schutzfunktionen für Chrome veröffentlicht hat, die zum Schutz vor Cookie-Diebstahl-Malware beitragen, genau wie CloudScout.
Wie ESET feststellt, könnte dies das Tool möglicherweise überflüssig machen. Wie bei allem anderen werden Akteure jedoch weiterhin nach Möglichkeiten suchen, diese Maßnahmen zu umgehen, wenn sie Wert in etwas finden.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium (öffnet sich in einer neuen Registerkarte), um eine Konversation zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber- Bedrohungen (öffnet sich in einer neuen Registerkarte).
