Im Roundup dieser Woche untersucht CTI die Entdeckung eines bisher unbekannten Remote Access Trojaners (RAT), den Cybersicherheitsforscher SharpRhino nennen. Als nächstes hebt CTI einen Sophos-Bericht hervor, der beschreibt, wie Ransomware-Gruppen zunehmend aggressiv werden. Schließlich untersucht CTI eine neue Phishing-Kampagne, die Google Drawings und WhatsApp-Links nutzt, um der Erkennung zu entgehen.
1. SharpRhino RAT bedroht IT-Administratoren
Das Quorum Cyber Incident Response Team hat kürzlich eine bisher unbekannte Malware entdeckt, die die Gruppe jetzt SharpRhino nennt.
Der Angriff wurde einem Schauspieler namens Hunters International zugeschrieben. Die Gruppe liefert den SharpRhino RAT an Opfer unter Verwendung einer typosquatierenden Domain, die vorgibt, das Open-Source-Tool für Angry IP Scanner zu sein.
Wer ist Hunters International?
Laut Quorum Cyber ist Hunters International im Jahr 2024 die zehntaktivste Ransomware-Gruppe. Die Gruppe, die erstmals im Jahr 2023 beobachtet wurde, soll mit dem ausgefallenen russischen Hive-Ransomware-Betrieb verbunden sein.
Hunters International arbeitet wie viele Ransomware-as-a-Service (RaaS)- Operationen, indem Dateien verschlüsselt und Daten aus Opferumgebungen exfiltriert werden. Die Verschlüsselung der Gruppe wurde in Rust entwickelt und verfügt über ein hohes Maß an Raffinesse. Hunters International hat Organisationen auf der ganzen Welt und in verschiedenen Sektoren ins Visier genommen.
SharpRhino RAT-Analyse
Die anfängliche Malware – eine Datei namens “ipscan-3,9,1-setup.exe“ – ist ein Nullsoft-Installationsprogramm mit einem selbstextrahierenden Archiv.
- NSIS-Installationsprogramm: Die Opfer laden SharpRhino herunter und glauben, dass sie das legitime AngryIP-Installationsprogramm installieren. Das Installationsprogramm enthält ein passwortgeschütztes Archiv, das mit Embedded 7za.exe und 7za.dll extrahiert wird.
- Persistenz: Die Malware stellt Persistenz her, indem sie einen Registry-Run-Schlüssel ändert. Es ändert die Registrierung mit einer Verknüpfung für „Microsoft.AnyKey.exe“, die mit dem legitimen Microsoft Visual Studio 2019 vollgepackt ist.
- Mehrere Installationen: Das Installationsprogramm erstellt zwei Verzeichnisse, darunter WindowsUpdater24 und LogUpdateWindows. Beide Verzeichnisse verfügen über Binärdateien und Dateien, die später für die C2 -Kommunikation verwendet werden. Die Erstellung von zwei Verzeichnissen statt eines ist wahrscheinlich für eine zusätzliche Persistenz.
- Ausführung: Der C#-Code der Malware ist stark verschleiert. Der Quellcode wird in eine integrierte Entwicklungsumgebung (IDE) geladen und sendet nach der Ausführung eine HTTP-POST-Anforderung mit JSON-Anforderungsdaten. Quorum Cyber hat festgestellt, dass die Malware auf zwei festcodierte Befehle reagiert, einschließlich „Verzögerung“ und „Beenden“. Der Verzögerungsbefehl „konfiguriert den Timer neu, bevor die Malware eine andere POST-Anforderung zum Abrufen des nächsten Befehls vornimmt“ und der Ausstiegsbefehl existiert einfach in der Schleife.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Hunters International hat sich als erhebliche Bedrohung erwiesen und behauptete bereits 134 Angriffe im Jahr 2024.
Einer der Gründe, warum der RaaS-Anbieter so erfolgreich ist, ist, dass er regelmäßig neue Funktionen in sein Angebot einführt, wie SharpRhino.
Diese Technik ist nicht technisch ausgereift, wird aber unglaublich häufig und erinnert daher daran, bei der Suche nach Downloads wachsam und vorsichtig zu sein.
2. Ransomware-Banden erhöhen den Druck auf Ziele
Laut einem Sophos-Bericht werden Ransomware-Gruppen immer aggressiver, wenn sie Opfer davon überzeugen, Zahlungen zu leisten.
Ransomware-Gruppen verwenden jetzt eine Kombination aus alten und neuen Taktiken, was eine klare Entwicklung ihres Ansatzes markiert. Sophos unterteilt diese Taktiken in verschiedene Kategorien, einschließlich Gesetzgebung und Rechtsstreitigkeiten, Ethik, Reputationsschäden, Peinlichkeiten, sensible Daten und Swatting.
Gesetzliche und Prozesstaktiken
Sophos hat mehrere Fälle beobachtet, in denen Ransomware-Akteure die Gesetzgebung bewaffnet haben oder sekundäre Opfer wie Klienten, Kunden oder Mitarbeiter ermutigt haben, den Druck auf Opferorganisationen durch Klagen zu erhöhen. Ein solches Beispiel war ein BlackCat-Vorfall November 2023 , bei dem der Akteur eine SEC-Beschwerde gegen eines der Opfer eingereicht hat, in der behauptet wurde, dass das Unternehmen die Agentur nicht über den Verstoß informiert hat.
Ein weiteres Beispiel war die Monti Ransomware-Bande. Diese Operation behauptete, dass ein Mitarbeiter einer der kompromittierten Organisationen nach unangemessenem Material suchte, unterstützenden Browserverlauf und ein PowerShell-Fenster veröffentlichte, das den Benutzernamen des mutmaßlichen Täters anzeigte. Die Ransomware-Bande gab an, dass sie den Benutzer an Behörden melden würde, wenn das Lösegeld nicht bezahlt würde.
Ransomware-Akteure ermutigen auch Personen, bei denen ihre personenbezogenen identifizierbaren Informationen (PII) in einem Verstoß offengelegt wurden, sich an Rechtsstreitigkeiten zu beteiligen, und benennen bestimmte Personen, die sie als verantwortlich angeben.
Ethik, Rufschädigung und peinliche Taktiken
Diese Taktiken werden häufig beobachtet, wenn Ransomware-Akteure behaupten, ethisch zu sein, als Pen-Tester vorzugeben oder Sicherheitsaudits durchzuführen. Schauspieler werden oft feststellen, dass ihre Opfer „unverantwortlich“ oder „nachlässig“ waren, in der Hoffnung, dass die Öffentlichkeit die Organisation in einem schlechten Licht sehen und den Schauspieler als wohlwollend betrachten wird.
Sophos beobachtete mehrere Fälle, in denen die Akteure drohten, Kunden oder Partner einer kompromittierten Organisation anzusprechen, um mehr Druck zu schaffen. In diesen Fällen übte der Akteur Druck aus mehr als einem Winkel aus, einschließlich Medien, Kunden, Kunden oder Aufsichtsbehörden.
Sensible Daten, Swatting und mehr
Ransomware-Gruppen veröffentlichen oft gestohlene Informationen nach ihren Angriffen. Die Akteure haben medizinische Informationen veröffentlicht, einschließlich Aufzeichnungen zur psychischen Gesundheit, Krankenakten von Kindern, Bluttestdaten und mehr.
In einem extremen Beispiel veröffentlichte die Qiulong Ransomware-Gruppe Bilder von Identitätsdokumenten, die der Tochter eines CEO gehören, zusammen mit einem direkten Link zu ihrem Instagram-Profil. In jüngerer Zeit drohte Januar 2024 ein Bedrohungsakteur, Patienten in einem Krebskrankenhaus zu „tauschen“.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Wie der Sophos-Bericht zeigt, werden Ransomware-Betreiber in ihren Kampagnen zunehmend aggressiv. Sie zeigt auch, wie sich Ransomware-Gruppen entwickeln und sowohl alte als auch neue Taktiken verwenden, um Opfer einzuschüchtern.
Viele der neuen Taktiken, wie Telefonanrufe und Swatting, zeigen, wie Akteure bereit sind, Bedrohungen aus der digitalen Sphäre in die reale Welt zu verschieben. Diese Taktiken zeigen, wie Ransomware-Akteure immer raffinierter werden, indem sie mehrere Winkel verwenden, um Opfer zu bedrohen.
3. Neuer Phishing-Scam nutzt Google Drawings und WhatsApp-Links
Menlo Security hat eine neue Phishing-Kampagne entdeckt, die Google Drawings und verkürzte WhatsApp-Links nutzt, um der Erkennung zu entgehen.
In dieser Kampagne stellt der Bedrohungsakteur eine Phishing-E -Mail bereit und bittet das Opfer, seine Amazon-Kontoinformationen zu bestätigen. Sie enthalten auch eine Grafik, die auf Google Drawings gehostet wird. Die gefälschte Website sammelt letztendlich die Zugangsdaten, Kreditkarteninformationen und andere persönliche Daten der Opfer.
Die Phishing-E-Mail
Opfer erhalten eine Phishing-E-Mail, die sie auffordert, ihr Amazon-Konto zu überprüfen, während sie behaupten, dass sie wegen ungewöhnlicher Anmeldeaktivitäten suspendiert wurden.
Der Bedrohungsakteur versucht, ein Gefühl der Dringlichkeit zu schaffen, indem er dem Opfer 24 Stunden Zeit gibt, um das Konto zu überprüfen oder eine dauerhafte Suspendierung zu erleiden.
Die Phishing-Website
Wenn der Benutzer auf eine Schaltfläche klickt, um sein Konto zu verifizieren, wird er zu einer Phishing-Website geführt, die die legitime Amazon-Anmeldeseite nachahmt. Der Link wurde mit einem WhatsApp-URL-Verkürzungsprogramm erstellt. Die verkürzte URL wird auch mit einem anderen URL-Verkürzungsdienst für dynamische QR-Codes angehängt.
Datendiebstahl
Nachdem der Benutzer seine Amazon-Anmeldedaten eingegeben hat, wird er durch vier verschiedene Seiten geführt – jede davon zielt darauf ab, den Benutzer davon zu überzeugen, dass er sich an einer Art von Aktivität beteiligt, um sein Konto zu sichern.
Auf jeder der Seiten sammelt der Bedrohungsakteur verschiedene Informationen. Menlo merkt an, dass das Opfer nicht alle vier Seiten vollständig durchlaufen muss, damit seine Daten gestohlen werden, wenn Informationen nach jeder Seite gesendet werden.
Hier ist eine Aufschlüsselung des Prozesses:
- Die Seite Sicherheitsüberprüfung bittet das Opfer, Informationen wie den Mädchennamen der Mutter, das Geburtsdatum und die Telefonnummer einzugeben.
- Der Benutzer wird dann zu einer Abrechnungsseite weitergeleitet und nach Kreditkarteninformationen gefragt.
- Nach Abschluss der vier Seiten werden sie zur ursprünglichen Phishing-Seite weitergeleitet.
- Menlo hat bestätigt, dass „nachdem die Anmeldedaten eingegeben und validiert wurden, die Webseite nicht mehr von derselben IP-Adresse aus zugänglich ist.“
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Diese Phishing-Kampagne ist etwas umfassender als herkömmliche Kampagnen. Der Bedrohungsakteur versucht nicht nur, Zugangsdaten und Kreditkarteninformationen zu erfassen, sondern auch häufige Sicherheitsfragen wie den Mädchennamen seiner Mutter. Diese Informationen könnten es einem Bedrohungsakteur ermöglichen, sich in Kombination mit anderen grundlegenden gestohlenen Informationen bei anderen Konten anzumelden, die nach ähnlichen Sicherheitsfragen fragen.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium und beginnen Sie ein Gespräch.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
