In der Zusammenfassung dieser Woche befasst sich CTI mit der Entdeckung eines bislang unbekannten Fernzugriffstrojaners (RAT), den Cybersicherheitsforscher als „SharpRhino“ bezeichnen. Anschließend verweist CTI auf einen Bericht von Sophos, in dem detailliert beschrieben wird, wie Ransomware-Gruppen zunehmend aggressiver vorgehen. Schließlich untersucht CTI eine neue Phishing-Kampagne, bei der Google Drawings und WhatsApp-Links genutzt werden, um einer Entdeckung zu entgehen.
1. Die RAT „SharpRhino“ stellt eine Bedrohung für IT-Administratoren dar
Das Quorum Cyber Incident Response Team hat kürzlich eine bislang unbekannte Malware entdeckt, die die Gruppe nun „ “ („SharpRhino“) nennt.
Der Angriff wurde einer Gruppe namens „Hunters International“ zugeschrieben. Die Gruppe verbreitet den „ “ SharpRhino RAT an die Opfer über eine Typosquatting-Domain, die vorgibt, das Open-Source-Tool „Angry IP Scanner“ zu sein.
Wer ist Hunters International?
Laut Quorum Cyber ist Hunters International die zehntaktivste Ransomware-Gruppe im Jahr 2024. Die Gruppe, die erstmals im Jahr 2023 beobachtet wurde, steht vermutlich in Verbindung mit der inzwischen aufgelösten, in Russland ansässigen Ransomware-Gruppe „Hive“.
Hunters International funktioniert wie viele andere „ “-Ransomware-as-a-Service-Operationen (RaaS) , indem es Dateien verschlüsselt und Daten aus den Systemen der Opfer abzieht. Der Verschlüsseler der Gruppe wurde in Rust entwickelt und weist einen hohen Grad an Komplexität auf. Hunters International hat Organisationen weltweit und aus verschiedenen Branchen ins Visier genommen.
Analyse der SharpRhino-RAT
Die ursprüngliche Malware – eine Datei namens „ “ipscan-3,9,1-setup.exe“ – ist ein Nullsoft-Installationsprogramm mit einem selbstextrahierenden Archiv.
- NSIS-Installationsprogramm: Die Opfer laden „SharpRhino“ herunter, in der Annahme, dass sie das legitime AngryIP-Installationsprogramm installieren. Das Installationsprogramm enthält ein passwortgeschütztes Archiv, das mithilfe der integrierten Dateien „ 7za.exe“ und „ 7za.dll“ entpackt wird.
- Persistenz: Die Malware sorgt für Persistenz, indem sie einen „Run“-Schlüssel in der Registrierung ändert. Es nimmt eine Änderung an der Registrierungsdatenbank vor und fügt eine Verknüpfung für „Microsoft.AnyKey.exe“ hinzu, die im legitimen Microsoft Visual Studio 2019 enthalten ist.
- Mehrfachinstallationen: Das Installationsprogramm erstellt zwei Verzeichnisse, darunter „ WindowsUpdater24 “ und „LogUpdateWindows“. Beide Verzeichnisse enthalten Binärdateien und Dateien, die später für die C2 -Kommunikation verwendet werden. Die Erstellung von zwei Verzeichnissen anstelle von einem dient wahrscheinlich der zusätzlichen Persistenz.
- Ausführung: Der C#-Code der Malware ist stark verschleiert. Der Quellcode wird in eine integrierte Entwicklungsumgebung (IDE) geladen und sendet nach der Ausführung eine HTTP-POST-Anfrage mit JSON-Anfragedaten. Quorum Cyber stellte fest, dass die Malware auf zwei fest programmierte Befehle reagiert, darunter „delay“ und „exit“. Der Befehl „delay“ sorgt dafür, dass „der Timer neu konfiguriert wird, bevor die Malware eine weitere POST-Anfrage stellt, um den nächsten Befehl abzurufen“, und der Befehl „exit“ beendet lediglich die Schleife.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Hunters International“ hat sich als erhebliche Bedrohung erwiesen und im Jahr 2024 bereits 134 Anschläge verübt.
Ein Grund für den großen Erfolg des RaaS-Anbieters ist, dass er sein Angebot regelmäßig um neue Funktionen wie SharpRhino erweitert.
Diese Methode ist technisch nicht besonders ausgefeilt, verbreitet sich jedoch in zunehmendem Maße und mahnt daher zur Wachsamkeit und Vorsicht bei der Suche nach Downloads.
2. Ransomware-Banden erhöhen den Druck auf ihre Opfer
Laut einem Bericht von Sophos unter dem Titel „ “ () gehen Ransomware-Gruppen bei der Überredung ihrer Opfer zur Zahlung immer aggressiver vor.
Ransomware-Gruppen setzen mittlerweile eine Kombination aus alten und neuen Taktiken ein, was eine deutliche Weiterentwicklung ihrer Vorgehensweise darstellt. Sophos unterteilt diese Taktiken in verschiedene Kategorien, darunter Gesetzgebung und Rechtsstreitigkeiten, Ethik, Rufschädigung, Blamage, sensible Daten und Swatting.
Gesetzgebung und Prozessführung
Sophos hat mehrere Fälle beobachtet, in denen Ransomware-Täter gesetzliche Bestimmungen als Druckmittel eingesetzt oder sekundäre Opfer wie Mandanten, Kunden oder Mitarbeiter dazu angehalten haben, durch die Einreichung von Klagen den Druck auf die betroffenen Unternehmen zu erhöhen. Ein solches Beispiel war ein BlackCat-Vorfall bei „ November 2023 “, bei dem der Täter eine Beschwerde bei der SEC gegen eines der Opfer einreichte und behauptete, das Unternehmen habe es versäumt, die Behörde über den Datenverstoß zu informieren.
Ein weiteres Beispiel betraf die „Monti“-Ransomware-Bande. Im Rahmen dieser Aktion wurde behauptet, dass ein Mitarbeiter einer der betroffenen Organisationen nach unangemessenem Material gesucht habe; als Beleg wurden der entsprechende Browserverlauf sowie ein PowerShell-Fenster vorgelegt, in dem der Benutzername des mutmaßlichen Täters angezeigt wurde. Die Ransomware-Bande erklärte weiter, dass sie den Nutzer bei den Behörden anzeigen werde, falls das Lösegeld nicht gezahlt werde.
Ransomware-Täter ermutigen zudem Personen, deren personenbezogene Daten (PII) bei einem Datenleck offengelegt wurden, sich an Rechtsstreitigkeiten zu beteiligen, und nennen dabei konkrete Personen, die sie für verantwortlich halten.
Ethik, Rufschädigung und Taktiken zur Blamierung
Diese Vorgehensweisen sind häufig zu beobachten, wenn Ransomware-Täter vorgeben, ethisch zu handeln, sich als Penetrationstester ausgeben oder so tun, als würden sie Sicherheitsaudits durchführen. Die Akteure weisen häufig darauf hin, dass ihre Opfer „unverantwortlich“ oder „fahrlässig“ gehandelt hätten, in der Hoffnung, dass die Öffentlichkeit die Organisation in einem schlechten Licht sieht und den Akteur als wohlwollend wahrnimmt.
Sophos hat mehrere Fälle beobachtet, in denen die Angreifer damit gedroht haben, sich an Kunden oder Partner einer kompromittierten Organisation zu wenden, um zusätzlichen Druck auszuüben. In diesen Fällen übte der Akteur Druck aus mehreren Richtungen aus, darunter von Seiten der Medien, der Kunden, der Auftraggeber oder der Aufsichtsbehörden.
Sensible Daten, Swatting und mehr
Ransomware-Gruppen veröffentlichen nach ihren Angriffen häufig gestohlene Informationen. Die Schauspieler haben medizinische Informationen veröffentlicht, darunter Unterlagen zur psychischen Gesundheit, Krankenakten von Kindern, Blutuntersuchungsdaten und vieles mehr.
In einem besonders krassen Fall veröffentlichte die Ransomware-Gruppe „Qiulong“ Bilder von Ausweisdokumenten der Tochter eines Geschäftsführers sowie einen direkten Link zu ihrem Instagram-Profil. Vor kurzem drohte ein Angreifer in dem Fall „ Januar 2024 “, Patienten einer Krebsklinik einem „SWAT-Einsatz“ auszusetzen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie aus dem Sophos-Bericht hervorgeht, gehen die Betreiber von Ransomware bei ihren Kampagnen zunehmend aggressiver vor. Dies zeigt zudem, wie sich Ransomware-Gruppen weiterentwickeln und sowohl alte als auch neue Taktiken anwenden, um ihre Opfer einzuschüchtern.
Viele der neuen Taktiken, wie beispielsweise Telefonanrufe und „Swatting“, zeigen, wie bereit die Täter sind, „Bedrohungen aus dem digitalen Raum in die reale Welt zu verlagern“. Diese Vorgehensweisen zeigen, wie Ransomware-Täter immer raffinierter vorgehen, indem sie verschiedene Ansätze nutzen, um ihre Opfer zu bedrohen.
3. Neue Phishing-Masche nutzt Google Drawings und WhatsApp-Links aus
Menlo Security hat eine neue Phishing-Kampagne aufgedeckt, die , Google Drawings und verkürzte WhatsApp-Links nutzt, um einer Entdeckung zu entgehen.
Im Rahmen dieser Kampagne versendet der Angreifer eine Phishing-E-Mail mit dem Betreff „ “ ( ) und fordert das Opfer auf, seine Amazon-Kontodaten zu bestätigen. Außerdem enthalten sie eine Grafik, die auf Google Drawings gehostet wird. Die gefälschte Website erfasst letztendlich die Zugangsdaten, Kreditkarteninformationen und weitere persönliche Angaben der Opfer.
Die Phishing-E-Mail
Die Opfer erhalten eine Phishing-E-Mail, in der sie aufgefordert werden, ihr Amazon-Konto zu verifizieren, wobei behauptet wird, dieses sei aufgrund ungewöhnlicher Anmeldeaktivitäten gesperrt worden.
Der Angreifer wird versuchen, ein Gefühl der Dringlichkeit zu erzeugen, indem er dem Opfer 24 Stunden Zeit gibt, das Konto zu verifizieren – andernfalls droht eine dauerhafte Sperrung.
Die Phishing-Website
Wenn der Nutzer auf eine Schaltfläche klickt, um sein Konto zu verifizieren, wird er auf eine Phishing-Seite weitergeleitet, die die echte Amazon-Anmeldeseite nachahmt. Der Link wurde mithilfe eines WhatsApp-URL-Kürzers erstellt. Die verkürzte URL wird zudem mit einem weiteren URL-Kürzungsdienst für dynamische QR-Codes ergänzt.
Datendiebstahl
Nachdem der Nutzer seine Amazon-Anmeldedaten eingegeben hat, wird er durch vier verschiedene Seiten geführt – jede davon zielt darauf ab, den Nutzer davon zu überzeugen, dass er Maßnahmen zur Sicherung seines Kontos ergreift.
Auf jeder dieser Seiten sammelt der Angreifer verschiedene Informationen. Menlo weist darauf hin, dass das Opfer nicht alle vier Seiten vollständig durchlaufen muss, damit seine Daten gestohlen werden, da die Informationen bereits nach jeder Seite übermittelt werden.
Nachfolgend finden Sie eine detaillierte Beschreibung des Ablaufs:
- Auf der Seite „Sicherheitscheck“ wird das Opfer aufgefordert, Angaben wie den Mädchennamen der Mutter, das Geburtsdatum und die Telefonnummer einzugeben.
- Der Nutzer wird anschließend auf eine Zahlungsseite weitergeleitet und zur Eingabe seiner Kreditkartendaten aufgefordert.
- Nachdem sie die vier Seiten ausgefüllt haben, werden sie auf die ursprüngliche Phishing-Seite weitergeleitet.
- Menlo hat bestätigt, dass „sobald die Anmeldedaten eingegeben und überprüft wurden, die Webseite von derselben IP-Adresse aus nicht mehr aufgerufen werden kann.“
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Phishing-Kampagne ist etwas umfangreicher als herkömmliche Kampagnen. Der Angreifer versucht nicht nur, Zugangsdaten und Kreditkarteninformationen zu erlangen, sondern auch gängige Sicherheitsfragen wie den Mädchennamen der Mutter. In Verbindung mit anderen gestohlenen Basisdaten könnte diese Information es einem Angreifer ermöglichen, sich bei anderen Konten anzumelden, bei denen ähnliche Sicherheitsfragen gestellt werden.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
