In dieser Woche befasst sich CTI mit einer chinesischen Spionagegruppe namens „Silk Typhoon“, die nun IT-Lösungen als Einstiegspunkt ins Visier nimmt. Anschließend untersucht CTI eine Kampagne, bei der Angreifer gefälschte Lösegeldforderungen per Post an Führungskräfte versenden. Abschließend untersucht CTI eine Phishing-Kampagne vom Typ „ClickFix“ ( ) (wird in einem neuen Tab geöffnet) , deren Ziel die Installation eines modifizierten „Havoc Demon“-Agenten ist.
„Silk Typhoon“ ändert seine Taktik
Microsoft hat kürzlich (wird in einem neuen Tab geöffnet) eine Veränderung bei den Angriffszielen sowie den Taktiken, Techniken und Vorgehensweisen (TTPs) der Gruppe „Silk Typhoon“, einer chinesischen Spionageorganisation, festgestellt. Die Gruppe verlagert ihren Fokus nun auf gängige IT-Dienste, darunter Fernverwaltungs-Tools und Cloud-Anwendungen, um sich so einen ersten Zugriff zu verschaffen.
So missbraucht die Gruppe beispielsweise gestohlene API-Schlüssel und Anmeldedaten – insbesondere solche, die mit der Verwaltung privilegierter Zugriffe (PAM), Anbietern von Cloud-Anwendungen und Unternehmen für Cloud-Datenmanagement in Verbindung stehen –, um Lieferketten zu kompromittieren (öffnet in einem neuen Tab).
Es wurde zudem beobachtet, dass die Gruppe nach dem Diebstahl verschiedene Maßnahmen ergriff, die es ihr ermöglichten, weiter in kompromittierte Lieferketten einzudringen und diese auszunutzen, was zu weitreichenden Auswirkungen auf mehrere Organisationen führte, darunter:
- Zugang zu nachgelagerten Kunden oder Mietern
- Nutzung von Zugriffsrechten zur Erkundung im Rahmen von Spionage
- Zurücksetzen der Standard-Administratorkonten
- Einbetten von Web-Shells
- Erstellen weiterer Benutzer
Nach Angaben von Microsoft stammten die Opfer dieser nachgelagerten Aktivitäten vor allem aus den Bereichen , staatliche und kommunale Behörden (wird in einem neuen Tab geöffnet) sowie aus dem IT-Sektor.
Wer ist Silk Typhoon?
„Silk Typhoon“ ist eine chinesische Cyberspionagegruppe, die seit mindestens 2020 aktiv ist. Laut Microsoft ist die Gruppe dafür bekannt, „Exploits für entdeckte Zero-Day-Sicherheitslücken von (wird in einem neuen Tab geöffnet) in Edge-Geräten rasch in die Praxis umzusetzen“.
Die Gruppe, die zuvor unter dem Namen „Hafnium“ bekannt war, hat es in erster Linie auf Organisationen in den Vereinigten Staaten in verschiedenen Branchen abgesehen, darunter Technologie (öffnet in einem neuen Tab), Regierungsbehörden und weitere.
Wie Microsoft feststellt, handelt es sich bei dieser Gruppe um eine äußerst raffinierte Organisation, die „über einen der größten Aktionsbereiche unter den chinesischen Cyberkriminellen verfügt“. Die breit angelegte Zielauswahl ist in erster Linie auf den opportunistischen Ansatz der Gruppe zurückzuführen, bei dem potenzielle Opfer anhand von Schwachstellen-Scans ausgewählt werden. Diese Gruppe hat durch ihre Fähigkeit, in Cloud-Umgebungen erfolgreich zu arbeiten, ihr Verständnis für diese Umgebungen unter Beweis gestellt.
Passwort-Spray-Angriffe und Missbrauch
Microsoft stellte zudem fest, dass dieser Akteur sich mittels „Password-Spray“-Angriffen und anderer passwortbezogener Techniken einen ersten Zugriff verschaffte.
Der Akteur wird unter Verwendung von durchgesickerten Unternehmenspasswörtern Aufklärungsmaßnahmen durchführen.
Aktuelle TTPs
Bei den jüngsten „Silk Typhoon“-Angriffen verschafft sich der Angreifer einen ersten Zugriff, indem er Zero-Day-Exploits entwickelt oder Instanzen anfälliger Dienste identifiziert und gezielt angreift. Der Akteur scheint sich vor allem auf IT-Anbieter zu konzentrieren, darunter , Identitätsmanagement (wird in einem neuen Tab geöffnet), Privileged-Access-Management sowie RMM-Lösungen. Im Bericht „ Januar 2025“ stellte Microsoft fest, dass der Akteur gezielt eine Zero-Day-Sicherheitslücke in Ivantis Pulse Connect VPN ausnutzte.
Es ist bekannt, dass der Angreifer nach dem Erlangen des ersten Zugriffs gängige Taktiken anwendet, um von der lokalen Umgebung in die Cloud zu gelangen. Zu diesem Zweck wird beobachtet, wie der Angreifer Daten in „ “ und „Active Directory“ ( ) (öffnet sich in einem neuen Tab) sowie auf den Websitesund ablegt, Passwörter aus Schlüsseltresoren stiehlt und Berechtigungen erweitert. Microsoft hat zudem festgestellt, dass der Angreifer in dieser Phase des Angriffs Microsoft AADConnect-Server (Entra Connect) ins Visier genommen hat.
Es wurde festgestellt, dass die Gruppe Dienstprinzipale und OAuth-Anwendungen missbrauchte, um E-Mail-, OneDrive- und SharePoint-Daten über MSGraph zu exfiltrieren. Darüber hinaus stellte Microsoft Fälle fest, in denen „Silk Typhoon“ Multi-Tenant-Anwendungen kompromittierte. Darüber hinaus ist bekannt, dass die Gruppe verdeckte Netzwerke nutzt, um ihre böswilligen Aktivitäten zu verschleiern.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Eine wichtige Erkenntnis ist, dass die Akteure erkennen, wie vorteilhaft es für sie ist, eine Organisation ins Visier zu nehmen, die Endkunden hat, um noch mehr Schaden anzurichten, was die Bedrohung erheblich erhöht.
Darüber hinaus nutzt Silk Typhoon keine eigene Infrastruktur. Stattdessen wird die Gruppe kompromittierte Netzwerke, Proxys usw. nutzen, wodurch es einfacher wird, ihre böswilligen Aktivitäten mit legitimen Vorgängen zu verschleiern. Dies, in Verbindung mit der opportunistischen Zielauswahl der Gruppe, macht „Silk Typhoon“ zweifellos zu einem Projekt, das man im Auge behalten sollte. Es ist zudem möglich, dass andere Akteure beginnen, die Zielauswahl und die TTPs von „Silk Typhoon“ nachzuahmen.
Microsoft hat nützliche Empfehlungen veröffentlicht: (wird in einem neuen Tab geöffnet), Anleitungen zur Erkennung, Suchabfragen sowie verschiedene Defender-Warnmeldungen, die dabei helfen können, entsprechende Aktivitäten zu identifizieren.
Cyberkriminelle nehmen Führungskräfte mit physischen Lösegeldforderungen ins Visier
GuidePoint Security erhielt mehrere Meldungen (wird in einem neuen Tab geöffnet) von verschiedenen Organisationen bezüglich einer gefälschten Lösegeldforderung, die per Post zugestellt wurde. Diese Briefe werden von Adressen in den USA an Führungskräfte versandt und enthalten Angaben, die häufig auch in den digital übermittelten Lösegeldforderungen zu finden sind.
Was steht in dem gefälschten Lösegeldbrief?
Der Inhalt jedes Schreibens ähnelt den Lösegeldforderungen, die üblicherweise auf kompromittierten Geräten hinterlassen werden. Im ersten Abschnitt des Schreibens heißt es, dass sich der Täter Zugang zu den Unternehmenssystemen des Opfers verschafft habe und seitdem nach und nach vertrauliche Informationen abgezogen habe. Wie bei den meisten Lösegeldforderungen fordert auch dieser Brief den Empfänger auf, eine Zahlung zu leisten. In diesem Fall wird die Zahlung in Form von Bitcoin angefordert und enthält einen QR-Code mit der Wallet-Adresse. GuidePoint hat Lösegeldforderungen in Höhe von 250 000 bis 350 000 US-Dollar festgestellt.
Die Briefumschläge sind mit dem Vermerk „TIME SENSITIVE READ IMMEDIATELY“ versehen und mit einer „Forever“-Briefmarke mit der amerikanischen Flagge versehen.
Anzeichen für eine Lösegeldforderung
Der Verfasser des Schreibens gibt an, der Gruppe „ “ (BianLian) anzugehören: (wird in einem neuen Tab geöffnet). GuidePoint geht jedoch davon aus, dass dieses Schreiben nicht von der legitimen BianLian-Gruppe stammt.
Der größte Anhaltspunkt, der Anlass zu Zweifeln gibt, ist die Tatsache, dass dies das erste Mal wäre, dass eine Ransomware-Gruppe einen physischen Lösegeldbrief versendet hätte. Zudem unterscheiden sich der genaue Wortlaut und der Inhalt des Schreibens von den zuvor von BianLian versandten Lösegeldforderungen, da dieses in nahezu perfektem Englisch verfasst ist und komplexe Satzstrukturen aufweist.
Ein weiterer auffälliger Unterschied besteht darin, dass dieser Brief keine Möglichkeit bietet, über Lösegeld zu verhandeln oder per E-Mail oder über das Dark Web Kontakt mit dem Angreifer aufzunehmen. Schließlich berichtet GuidePoint, dass es sich bei den Bitcoin-Wallet-Adressen um neu erstellte Adressen handelte, die zuvor mit keiner Gruppe in Verbindung standen.
[Lesen Sie auch: Die Kunst der Verhandlungen bei Ransomware] (wird in einem neuen Tab geöffnet)
Vor allem weist GuidePoint darauf hin, dass „in den Fällen, in denen wir den Versand dieser Schreiben beobachtet haben, keine bekannten oder vermuteten Eindringversuche festgestellt wurden, die auf Ransomware-Angriffe hindeuten.“
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist merkwürdig zu beobachten, wie Angreifer wieder auf einige sehr einfache und veraltete Techniken zurückgreifen, wie beispielsweise das Versenden von Briefen per Post. In der Regel versenden Angreifer USB-Sticks per Post, die beim Anschließen an ein Gerät Malware laden.
Im Rahmen dieser interessanten Entwicklung versendet der Angreifer per Post folgende Social-Engineering-Inhalte: , (wird in einem neuen Tab geöffnet),sowie – anstelle von tatsächlich schädlichen Inhalten. Es könnte sich hierbei jedoch nicht um eine Abwandlung eines Klassikers handeln, sondern vielmehr um einen weiteren Akteur, der lediglich vorgibt, eine bekannte Ransomware-Gruppe zu sein.
Derzeit gibt es keine Bestätigung dafür, dass die Ransomware-Gruppe „BianLian“ diese Schreiben versendet. Möglicherweise handelt es sich hierbei lediglich um einen weiteren Angreifer, der versucht, schnell Geld zu verdienen, ohne dabei technisch anspruchsvolle Aspekte eines normalen Angriffs umsetzen zu müssen.
Hacker nutzen den „ClickFix“-Trick, um einen modifizierten „Havoc Demon“-Agenten zu installieren
Fortinet hat (wird in einem neuen Tab geöffnet) eine Phishing-Kampagne im „ClickFix“-Stil entdeckt, die versucht, einen modifizierten „Havoc Demon“-Agenten zu installieren.
Das Besondere an dieser Kampagne ist, dass der Angreifer SharePoint nutzt, um jede Phase der Malware zu verschleiern, und die Microsoft Graph-API einsetzt, um seine C2 -Kommunikation nahtlos zu integrieren.
Erstzugang
Laut Fortinet beginnt der Angriff mit einer herkömmlichen Phishing-E-Mail, die einen HTML-Dateianhang enthält. Die E-Mail selbst vermittelt ein Gefühl der Dringlichkeit, indem sie dem Empfänger mitteilt, dass er möglicherweise mit „betrieblichen Herausforderungen“ konfrontiert sein könnte, sollte er die beigefügte Mitteilung nicht zur Kenntnis nehmen. Die angehängte Datei „Documents.html“ ist ein typischer ClickFix-Angriff von (wird in einem neuen Tab geöffnet). Es enthält eine gefälschte Fehlermeldung, die das Opfer dazu verleitet, einen schädlichen PowerShell-Befehl zu kopieren, einzufügen und auszuführen.
Die Nutzlast
Die Nutzlast – bei der es sich um ein PowerShell-Skript handelt – wird in SharePoint gehostet. Wenn das Opfer dieses Skript ausführt, prüft es zunächst, ob es in einer Sandbox-Umgebung ausgeführt wird, bevor es Registrierungsschlüssel unter „HKCU:\Software\Microsoft“ löscht, deren Name mit „zr_“ beginnt.
Anschließend fügt es die angegebene Eigenschaft als Infektionsmarker hinzu. Das Skript prüft anschließend, ob der Python-Interpreter „python.exe“ auf dem Gerät vorhanden ist, und ruft das Remote-Python-Skript ab, um es auszuführen. Dies erfolgt in versteckten Fenstern, um keinen Verdacht beim Opfer zu wecken.
Shellcode-Loader
Fortinet weist darauf hin, dass das Python-Skript ebenfalls auf SharePoint gehostet wird, Debug-Informationen enthält und in russischer Sprache verfasst ist. Dieses Skript fungiert als Shellcode-Loader und wird über den Python-Interpreter im Terminal ausgeführt.
Ein GitHub-Shellcode-Loader namens „KaynLdr“ lädt eine eingebettete DLL reflektiv. Sein Hauptzweck besteht darin, die Analyse zu erschweren, da es API-Hashing mit einem modifizierten DJB2 -Algorithmus sowie aufgelöste ntdll-APIs für die Zuordnung und Speicherzuweisung verwendet.
Über die Havoc Demon DLL
Havoc ist ein Open-Source- C2 -Framework, das häufig bei Red-Team-Einsätzen im Bereich „“ zum Einsatz kommt: (wird in einem neuen Tab geöffnet).
In this case, the threat actor combines Havoc with Microsoft Graph API to hide C2 communications. Der Akteur nutzt eine modifizierte „Havoc Demon“-DLL sowie eine zweite Funktion, die die Graph-API nutzt, um Dateien auf der SharePoint-Website zu initialisieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist interessant, dass Angriffe nach dem „ClickFix“-Prinzip immer beliebter werden, da sie in hohem Maße auf die Interaktion des Opfers angewiesen sind. Das Opfer muss nicht nur durch eine Phishing-E-Mail getäuscht werden, sondern auch weiterhin eine schädliche PowerShell-Datei kopieren, einfügen und ausführen.
Bei diesem speziellen Angriff kommt zudem eine weitere gängige Taktik zum Einsatz: die Nutzung legitimer Dienste wie der Microsoft Graph API und SharePoint. Diese seriösen und vertrauten Quellen können zu höheren Erfolgsquoten beitragen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
