In der Zusammenfassung dieser Woche gibt CTI einen Überblick über die „Phishing-as-a-Service“-Plattform (PhaaS) „Sniper Dz“, einschließlich ihrer Infrastruktur und Vorgehensweisen. Als Nächstes präsentiert CTI die wichtigsten Erkenntnisse aus dem „ 2024 Global Threat Report“ von Elastic Security Labs. CTI befasst sich zudem mit aktuellen Erkenntnissen, wonach mehrere Organisationen in den USA ins Visier eines von Nordkorea staatlich geförderten Akteurs namens Andariel (auch bekannt als Stonefly) geraten sind.
Sniper Dz zielt auf soziale Medien und Online-Dienste ab
Palo Alto hat die folgenden Websites genau beobachtet: (wird in einem neuen Tab geöffnet) die „Sniper Dz“-Plattform die Phishing-as-a-Service-Plattform (PhaaS) (wird in einem neuen Tab geöffnet) und hat seine Analyse der Infrastruktur und der Vorgehensweisen dieser Plattform veröffentlicht.
Nach Angaben von Palo Alto zielt „Sniper Dz“ auf beliebte Social-Media-Plattformen und Online-Dienste ab und verfügt über mindestens 140 000 damit verbundene Phishing-Websites.
Ein genauerer Blick auf die Sniper-Dz-Plattform
Die Plattform „Sniper Dz“ ermöglicht es Angreifern, Phishing-Angriffe vom Typ „ “ (wird in einem neuen Tab geöffnet) problemlos durchzuführen, da sie über ein Admin-Panel verfügen, mit dem Angreifer Phishing-Seiten schnell erstellen können. Um auf das Admin-Panel zugreifen zu können, müssen Schauspieler ein Konto mit einer E-Mail-Adresse erstellen. Mit diesem Konto können sie auf eine Reihe von Phishing-Seiten zugreifen, die auf verschiedene Marken und Nutzer abzielen.
Nachdem sich die Angreifer Zugang zur Plattform verschafft haben, stehen ihnen zwei Methoden zur Verfügung, um Angriffe zu starten:
- Phishing-Seiten, die auf der Infrastruktur von Sniper Dz gehostet werden
- Auf einer anderen Infrastruktur gehostete Phishing-Vorlagen zum Herunterladen
Die Phishing-Seiten/Vorlagen von Sniper Dz
Bei dieser Vorgehensweise muss der Angreifer keinen Webserver einrichten, um die Websites zu hosten, und die Inhalte der Phishing-Seiten werden hinter Proxy-Servern verborgen. Verwendet der Angreifer stattdessen die zum Herunterladen bereitgestellten Phishing-Vorlagen in seiner Infrastruktur, stehen ihm zahlreiche Möglichkeiten zur Verfügung.
Infrastruktur und Taktik
Sniper Dz verbirgt seine Phishing-Inhalte hinter öffentlichen Proxy-Servern. Der Dienst missbraucht den legitimen öffentlichen Proxy-Server proxymesh[.]com.
Die Gruppe konfiguriert den Proxy-Server so, dass Phishing-Inhalte automatisch und ohne direkte Kommunikation geladen werden. Auf diese Weise trägt die Gruppe zum Schutz ihrer Backend-Server bei, da der Browser den Proxy-Server als denjenigen ansieht, der für das Laden der Phishing-Seite verantwortlich ist.
Darüber hinaus verschleiert die Gruppe den Code ihrer Phishing-Vorlagen und leitet die gestohlenen Zugangsdaten an eine zentrale Infrastruktur weiter, die Sniper Dz gehört.
Verfolgung von Opfern und Vorlagen
Sniper Dz verfolgt seine Opfer mithilfe von eingebettetem, maßgeschneidertem JavaScript und Analyseservern.
Das Skript lädt einen Tracker von einem legitimen Analyseserver, um Opfer zu verfolgen, die die auf der eigenen Infrastruktur sowie auf anderen Infrastrukturen gehosteten Links aufrufen.
Bekannte Angriffe unter Verwendung von „Sniper Dz“
Seit dem Jahr 2023 hat Palo Alto mehr als 140 000 Phishing-Seiten entdeckt, die mit Sniper Dz in Verbindung stehen.
Die Gruppe war während dieser Zeit weiterhin aktiv, auch wenn sie ihren Höhepunkt offenbar gegen Ende des Jahres 2023 erreicht hatte. Sniper Dz hat Tausende von Kunden und zählte am August 2024 7 156 Abonnenten auf seinem Telegram-Kanal.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Untersuchungen von Palo Alto deuten darauf hin, dass zahlreiche Akteure die „Sniper Dz PhaaS“-Plattform entsprechend der Anzahl ihrer Telegram-Abonnenten und ihrer Infrastruktur nutzen könnten.
Telegram hat kürzlich seine Datenschutzerklärung aktualisiert und darauf hingewiesen, dass das Unternehmen nun die Telefonnummern und IP-Adressen der Nutzer auf gerichtliche Anordnung hin an Strafverfolgungsbehörden weitergeben wird. Diese Änderung der Richtlinien könnte Angreifer dazu veranlassen, ihre Aktivitäten zu verlagern.
Dennoch wird es interessant sein zu beobachten, ob bösartige Dienste, die auf Telegram (öffnet in einem neuen Tab) verkauft werden, wie beispielsweise „Sniper Dz“, weiterhin auf Telegram oder anderswo Erfolg haben werden.
Elastic Security Labs veröffentlicht seinen „ 2024 Global Threat Report“
Elastic Security Labs hat seinen „ Global Threat Report“ für das Jahr 2024 (wird in einem neuen Tab geöffnet) veröffentlicht, der die neuesten Cybersicherheitsbedrohungen und Trends in den Bereichen generative KI (wird in einem neuen Tab geöffnet), Malware, Endpunktverhalten und Cloud-Sicherheit umfasst.
Generative KI
Elastic hat beobachtet, dass Angreifer generative KI auf verschiedene Weise einsetzen, wobei Phishing-Kampagnen eine der offensichtlichsten Methoden darstellen. Es überrascht nicht, dass Akteure KI nutzen können, um ihre Aktivitäten auszuweiten und ihre Social-Engineering-Angriffe (wird in einem neuen Tab geöffnet) zu verbessern, indem sie ihre Kampagnen einfacher personalisieren. Eine Ausweitung dieses Phänomens lässt sich am aktuellen Anstieg von Deepfakes unter beobachten: (wird in einem neuen Tab geöffnet).
Neben Phishing nutzen die Angreifer künstliche Intelligenz auch zur Entwicklung von Malware. Dies hat sich zwar noch nicht flächendeckend durchgesetzt, gewinnt jedoch langsam an Bedeutung.
Malware-Erkennungen
Der Bericht von Elastic befasst sich zudem mit verschiedenen Arten von Malware, die im Umlauf sind, sowie mit den davon betroffenen Betriebssystemen. Windows ist nach wie vor das am häufigsten angegriffene Betriebssystem.
Sie untersuchten die YARA-Signaturen für Malware-Typen und -Kategorien, um ihre Daten aufzuschlüsseln. Sie stellten fest, dass Trojaner den überwiegenden Teil der von ihnen beobachteten Malware ausmachten.
Betrachtet man schließlich die Malware-Familien, so waren die führenden Familien „ “, „Cobalt Strike“ (wird in einem neuen Tab geöffnet), „“, „ “ und „Metasploit“.
Verhalten der Endpunkte
Elastic untersuchte die am häufigsten beobachteten Taktiken, Techniken und Vorgehensweisen (TTPs) unter Windows, macOS und Linux. Die meisten der von ihnen beobachteten Endpunktverhalten standen im Zusammenhang mit der Umgehung von Abwehrmaßnahmen und machten 38,99 % aller beobachteten Taktiken aus, was einem Rückgang von 6 % gegenüber dem Vorjahr entspricht. An zweiter Stelle folgten die Taktiken „Ausführung“ und „Beständigkeit“ mit einem gemeinsamen Anteil von insgesamt etwa 30 %.
Die gängigsten Techniken für Windows waren Prozessinjektion, die Ausführung über einen System-Binär-Proxy sowie die Umgehung von Abwehrmechanismen. Unter Linux war die Schwächung von Sicherheitsmaßnahmen die häufigste Angriffstechnik, gefolgt von Änderungen an Datei- und Verzeichnisberechtigungen.
Schließlich war das Laden von reflektierendem Code die häufigste Technik zur Umgehung von Sicherheitsmaßnahmen unter macOS, gefolgt von der Untergrabung von Vertrauenskontrollen und der Entfernung von Indikatoren.
Cloud-Sicherheit
Elastic hat festgestellt, dass Unternehmen nach wie vor Cloud-Umgebungen falsch konfigurieren (wird in einem neuen Tab geöffnet) und/oder keine angemessenen Sicherheitsmaßnahmen umsetzen, wodurch Angreifer in diesen Umgebungen ungehindert agieren können.
Eines der am häufigsten beobachteten Probleme betraf den Speicherbereich: 47 % der Azure-Ausfälle standen im Zusammenhang mit Speicherkonten, und etwa 30 % der AWS-Ausfälle gingen auf S3 Prüfungen zurück.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Bericht von Elastic geht tiefer als viele andere Trendberichte auf dem Markt und schlüsselt die Inhalte nach konkreten Strategien auf.
Eine der interessantesten Erkenntnisse war die Äußerung von Elastic zu den Auswirkungen – bzw. dem Fehlen solcher Auswirkungen – der KI:
Die Möglichkeiten der künstlichen Intelligenz haben die Lage weder zum Guten noch zum Schlechten verändert – sie haben weder zu einer explosionsartigen Zunahme neuer Bedrohungen geführt, noch haben sie einen solchen Vorteil geschaffen, dass alle Bedrohungen beseitigt worden wären.
Dies ist ein wichtiger Hinweis darauf, dass zwar häufig über KI im Bereich „ “ gesprochen wird – (öffnet in einem neuen Tab) – und diese zwar Angreifern Vorteile bieten kann, wir jedoch bislang noch keine explosionsartige Verbreitung von KI in der gesamten Bedrohungslandschaft beobachten können.
Andariel führt finanzielle Angriffe gegen US-amerikanische Organisationen durch
Symantec hat kürzlich Hinweise darauf gefunden (wird in einem neuen Tab geöffnet) , dass die nordkoreanische Gruppe „Andariel“ mehrere Organisationen in den USA ins Visier genommen hat.
Laut Symantec gelang es dem Angreifer nicht, Ransomware (wird in einem neuen Tab geöffnet) bei diesen Opfern zu installieren. Die Angriffe deuten darauf hin, dass dieser Akteur weiterhin Angriffe durchführt, obwohl gegen ihn kürzlich Anklage erhoben wurde.
Wer ist Andariel?
Die Andariel-Gruppe steht in Verbindung mit dem nordkoreanischen Militärgeheimdienst, dem „Reconnaissance General Bureau“ (RGB).
Dieser Akteur trat erstmals im Jahr 2009 in Erscheinung, als er DDoS-Angriffe vom Typ „ “ (wird in einem neuen Tab geöffnet) gegen mehrere südkoreanische, US-amerikanische Regierungs- und Finanzwebsites durchführte.
Quellenangabe
Symantec hat festgestellt, dass die Andariel-Gruppe weiterhin finanziell motivierte Angriffe durchführt, insbesondere gegen US-amerikanische Organisationen.
Bei mehreren Angriffen setzte der Angreifer seine eigens entwickelte Malware „Backdoor.Preft“ ein, die bereits zuvor dieser Gruppe zugeordnet worden war. Die Angriffe hinterließen zudem mehrere Indikatoren für eine Kompromittierung, die Microsoft bereits zuvor bei Andariel-Angriffen identifiziert hatte.
Im Fall „ Juli 2024“ erhob das US-Justizministerium Anklage gegen eine nordkoreanische Person wegen Vorwürfen im Zusammenhang mit einem kürzlich erfolgten Andariel-Angriff. Der Beschuldigte wird beschuldigt, an der Erpressung von US-Krankenhäusern und anderen Einrichtungen beteiligt gewesen zu sein zwischen 2021 und 2023 (wird in einem neuen Tab geöffnet), Lösegeld-Erlöse gewaschen und diese Erlöse zur Finanzierung weiterer Cyberangriffe auf den Verteidigungs-, Technologie- und Regierungssektor weltweit verwendet zu haben.
Zu den Zielen dieser Folgeangriffe zählen unter anderem zwei Stützpunkte der US-Luftwaffe sowie die NASA-OIG.
Welche Werkzeuge verwendet Andariel?
Wie bereits erwähnt, setzt dieser Akteur häufig eine Malware namens „Preft“ ein, eine mehrstufige Backdoor, die Dateien herunterladen, hochladen, Befehle ausführen und zusätzliche Plugins herunterladen kann.
Der Akteur nutzt zudem eine zusätzliche Hintertür namens „Nukebot“, die über ähnliche Funktionen verfügt, jedoch zusätzlich die Möglichkeit bietet, Screenshots zu erstellen. Der Quellcode dieses Tools war bereits zuvor durchgesickert, was wahrscheinlich der Grund dafür ist, dass dieser Akteur Zugriff auf das Tool erlangt hat.
Es wurde außerdem beobachtet, dass der Akteur gängigere Tools wie bösartige Batch-Dateien, Mimikatz, Keylogger, Sliver, Chisel, PuTTY, Plink, Megatools, Snap2HTML und FRP einsetzt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Symantec hervorhebt:
Die Anklageschrift, in der eines ihrer Mitglieder namentlich genannt wird, hat bislang noch nicht zu einer Einstellung der Aktivitäten geführt.
Wenn überhaupt, scheint es, als habe die Anklage die Gruppe dazu ermutigt, ihre Aktivitäten fortzusetzen, insbesondere gegen die USA. Diese Gruppe besteht bereits seit weit über einem Jahrzehnt und hat mehrere Versuche, ihre Aktivitäten zu unterbinden, überstanden; es ist daher wahrscheinlich, dass diese Gruppe noch für einige Zeit weiter bestehen wird.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter (wird in einem neuen Tab geöffnet),und .
