In dieser Woche berichtet CTI über eine Social-Engineering-Kampagne, bei der versucht wird, Nutzer zunächst mit Spam-E-Mails zu überhäufen, bevor man sich als IT-Team des Unternehmens ausgibt. Anschließend befasst sich CTI mit der neuesten Fallstudie von Palo Alto, in der DNS-Tunneling-Anwendungen beschrieben werden, die das Unternehmen in der Praxis beobachtet hat. Schließlich untersucht CTI eine derzeit laufende Kampagne, bei der über bösartige Werbeanzeigen mit Schadcode versehene Installationsprogramme für WinSCP und PuTTY verbreitet werden.
1. Laufende Social-Engineering-Kampagne zielt auf Unternehmen ab
Im Rahmen einer derzeit laufenden Social-Engineering-Kampagne unter dem Namen „ “ ( ) wird versucht, Nutzer mit zahlreichen Spam-E-Mails zu überhäufen, bevor man sich als IT-Team des Unternehmens ausgibt und den Nutzer anruft, um Hilfe anzubieten.
In „ “ dieser Kampagne wird der Nutzer in einem Telefonanruf dazu aufgefordert, eine Fernüberwachungs- und -verwaltungssoftware herunterzuladen oder die in Microsoft integrierte „Quick Assist“-Funktion zu nutzen, um eine Fernverbindung zum Gerät herzustellen. Der Angreifer lädt anschließend schädliche Payloads herunter, erbeutet Anmeldedaten und sorgt für Persistenz.
Obwohl bei diesen Angriffen keine Ransomware zum Einsatz kommt, wurden die aus den Angriffen stammenden IOCs bereits zuvor mit der Ransomware-Operation „ “ von Black Basta in Verbindung gebracht.
Rapid7 hat seit Ende April 2024 mehrere Fälle dieser Social-Engineering-Kampagne beobachtet. Alle Angriffe beginnen damit, dass eine Gruppe von Nutzern innerhalb der angegriffenen Umgebung eine große Menge an Spam-E-Mails erhält.
Rapid7 hat bestätigt, dass das Spam-Aufkommen ausreichen würde, um „die vorhandenen E-Mail-Schutzlösungen zu überfordern und in den Posteingang des Nutzers zu gelangen“.
Die E-Mails
Die E-Mails selbst sind nicht von Natur aus schädlich. Es handelt sich vielmehr um Bestätigungs-E-Mails zur Anmeldung für Newsletter von vielen seriösen Organisationen. Da der Nutzer so viele dieser Spam-E-Mails erhält, wird er sich wahrscheinlich Sorgen machen oder zumindest diese Aktivitäten hinterfragen.
Die Telefonate
Nachdem der Angreifer eine große Anzahl von E-Mails an die Nutzer versendet hat, wird er jeden Nutzer telefonisch kontaktieren und dabei vorgeben, ein Mitarbeiter des jeweiligen IT-Teams zu sein.
Der Akteur wird dem Nutzer Unterstützung bei den „Problemen“ mit E-Mails anbieten, mit denen dieser konfrontiert ist, und versuchen, den Nutzer dazu zu bewegen, ihm über Fernüberwachungs- und -verwaltungs-Tools (RMM) wie AnyDesk Fernzugriff auf sein Gerät zu gewähren.
In anderen Fällen missbrauchte der Täter das in Windows integrierte Fernunterstützungsprogramm „Quick Assist“. Sollte ein Nutzer nicht auf den Social-Engineering-Versuch hereinfallen, würde der Angreifer einfach zum nächsten Zielnutzer übergehen.
Zugriff gewährt
Sollte der Benutzer auf diesen Versuch hereinfallen und der Angreifer Fernzugriff auf das Gerät erlangen, wird er zunächst eine Reihe von Batch-Skripten ausführen. Diese Skripte werden dem Nutzer als Updates angezeigt, um weniger verdächtig zu wirken.
Das erste Skript überprüft die Verbindung zum Server C2 und lädt ein ZIP-Archiv herunter. Dieses Archiv enthält eine legitime Kopie von OpenSSH, die in „RuntimeBroker.exe“ umbenannt wurde, sowie die dazugehörigen Abhängigkeiten, RSA-Schlüssel und weitere SSH-Dateien.
Das Skript stellt eine Persistenz her, indem es „Run Key“-Einträge erstellt, die auf zusätzliche Batch-Skripte verweisen, die zur Laufzeit angelegt werden. Jedes dieser Skripte führt SSH über PowerShell in einer Endlosschleife aus und versucht, eine Reverse-Shell zum C2 herzustellen.
In allen von Rapid7 beobachteten Fällen erfasste das Skript die Anmeldedaten des Opfers über die Befehlszeile mittels PowerShell. Die Anmeldedaten werden erfasst, wenn eine als „Update“ getarnte Abfrage den Benutzer auffordert, seine Anmeldedaten einzugeben, um sich anzumelden, damit das Update fortgesetzt werden kann. In einem Fall bewegte sich der Angreifer nach dem anfänglichen Einbruch über SMB lateral in der Umgebung.
Rapid7 hat bei keinem dieser Angriffe festgestellt, dass der Angreifer Ransomware eingesetzt hat. Die durch forensische Analysen identifizierten IOCs stimmen jedoch mit denen der „Black Basta“-Ransomware-Operation überein.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Forscher beobachten zunehmend ausgefeilte Social-Engineering-Techniken wie diese Kampagne. Dies liegt vor allem daran, dass sie wirksam sind.
Bei diesem Angriff lässt der Angreifer den Nutzer glauben, er benötige Unterstützung, bevor er sich als IT-Team ausgibt und Kontakt zum Opfer aufnimmt – im Grunde schafft er damit sein eigenes Problem, das dann „gelöst“ werden muss.
Diese Technik unterscheidet sich zwar ein wenig vom MGM-Angriff, erreicht jedoch dasselbe Ziel und verdeutlicht, wie ausgefeilt Social Engineering in letzter Zeit geworden ist. Angriffe dieser Art werden voraussichtlich häufiger auftreten, da Angreifer weiterhin generative KI und große Sprachmodelle (LLMs) für Zwecke wie Deepfakes einsetzen.
2. Hacker weiten das DNS-Tunneling aus
Die „Unit 42 “ aus Palo Alto hat kürzlich eine Fallstudie veröffentlicht, in der die Anwendungen des DNS-Tunnelings nach dem „“-Prinzip beschrieben werden, die sie in der Praxis beobachtet hat.
Diese Angreifer nutzen DNS-Tunneling, um zu verfolgen, wann ihre Zielperson Phishing-E-Mails von öffnet und auf bösartige Links klickt; außerdem nutzen sie diese Methode, um nach potenziellen Schwachstellen zu suchen.
These techniques expand beyond traditional DNS tunneling uses cases of C2 and VPN purposes.
Was ist DNS-Tunneling?
DNS-Tunneling ist eine gängige Strategie, mit der Angreifer Informationen abziehen. Angreifer nutzen häufig DNS-Tunneling, um eine Verbindung zu ihrem Zielsystem „ C2“ herzustellen, was es ihnen ermöglicht, Daten zu entwenden und in Systeme einzudringen. Auch Akteure nutzen DNS-Tunneling häufig für VPN-Zwecke. Unabhängig vom Zweck verschlüsseln die Akteure die Daten in der Regel mit eigenen Methoden, bei denen der Datenverkehr mit legitimem DNS-Verkehr vermischt wird.
Die Untersuchungen von Palo Alto zeigen, dass Angreifer mittlerweile auch DNS-Tunnel zum Nachverfolgen und Scannen nutzen.
DNS-Tunneling zur Nachverfolgung
Angreifer nutzen mittlerweile DNS-Tunneling, um die Aktivitäten ihrer Opfer zu verfolgen und festzustellen, wann diese auf bösartige Links oder Werbeanzeigen klicken.
Zu diesem Zweck würde ein Angreifer Malware-Informationen über die Aktivitäten des Opfers in eine eindeutige Subdomain einer DNS-Abfrage einbetten. Diese Subdomain würde die Tunneling-Nutzlast darstellen, und alle DNS-Abfragen werden auf einem vom Angreifer kontrollierten Nameserver gespeichert.
- TrkCdn-Kampagne „“: Diese Kampagne dient dazu, die Interaktion eines Opfers mit einer E-Mail zu verfolgen.
Palo Alto hat 731 potenzielle Opfer dieser Kampagne sowie 75 IP-Adressen von Nameservern identifiziert, die 658 Domains auflösen. Um dies nachzuverfolgen, können die Akteure ihre DNS-Protokolle abfragen und die Nutzdaten mit dem Hash-Wert der E-Mail-Adresse vergleichen, um festzustellen, ob ein bestimmtes Opfer eine E-Mail geöffnet oder auf einen Link in einer E-Mail geklickt hat.
- der „SpamTracker“-Kampagne: Ein weiteres Beispiel aus der Praxis hierfür ist eine Kampagne namens „SpamTracker“, bei der DNS-Tunneling eingesetzt wird, um die Zustellung von Spam-Nachrichten zu verfolgen.
Diese Kampagne steht in Verbindung mit 44 Tunneling-Domains, die alle dieselbe IP-Adresse für ihre Nameserver nutzen. Die Domains weisen eine ähnliche DGA-Namenskonvention und Kodierung auf wie andere Kampagnen. Es wird angenommen, dass SpamTracker aus Japan stammt und E-Mails sowie Website-Links nutzt, um Spam und Phishing-Angriffe zu verbreiten, wobei mit Lockangeboten wie Wahrsagungsdiensten, gefälschten Benachrichtigungen über Paketzustellungen, Angeboten für Nebenjobs und lebenslang kostenlosen Artikeln geworben wird.
DNS-Tunneling zum Scannen
Angreifer nutzen zudem DNS-Tunneling, um ein Netzwerk zu scannen – häufig mit gefälschten Quell-IP-Adressen –, um offene Resolver aufzuspüren, die sie ausnutzen können. Diese Aktivität stellt häufig die erste Phase eines Angriffs dar.
- zur „SecShow“-Kampagne: Palo Alto hat eine Kampagne identifiziert, bei der der Angreifer DNS-Tunneling einsetzte, um die Netzwerkinfrastruktur einer Organisation zu scannen, worauf in der Regel Reflexionsangriffe folgten.
Der Angreifer suchte nach offenen Resolvern, testete die Verzögerungszeiten der Resolver und nutzte alle identifizierten Schwachstellen der Resolver aus. Diese Kampagne richtete sich in erster Linie an die Bereiche Bildung, Technologie und öffentliche Verwaltung.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Angreifer nutzen DNS-Tunneling am häufigsten für C2 - und VPN-Zwecke.
Die Fallstudie von Palo Alto zeigt, dass Angreifer diese Technik mittlerweile auch für Zwecke wie das Scannen und Verfolgen von Netzwerken einsetzen.
Der Aspekt der Nachverfolgung ist interessant und deutet darauf hin, dass sich manche Angreifer tatsächlich die Zeit nehmen, um zu überprüfen, wie weit ihre Kampagne reicht und wie erfolgreich sie ist, anstatt einfach nur Kampagnen in großem Stil zu versenden und auf das Beste zu hoffen.
3. Malvertising-Kampagne führt zu Ransomware
Im Rahmen einer derzeit laufenden Kampagne werden über bösartige Werbeanzeigen mit Schadcode versehene Installationsprogramme für WinSCP und PuTTY verbreitet.
Die Malware ermöglicht es dem Angreifer, sich erweiterte Zugriffsrechte zu verschaffen und sich unter legitime administrative Aktivitäten zu mischen. In mindestens einem Fall führte der Malvertising-Angriff zu dem Versuch, Ransomware zu verbreiten.
Überblick über die Malvertising-Kampagne
Diese Kampagne begann Anfang März 2024 , als Rapid7 identifizierte Angreifer, die unter dem Namen „ “ agierten, manipulierte WinSCP- und PuTTy-Installationsprogramme verbreiteten. Die Opfer gelangen zu diesen schädlichen Installationsprogrammen, nachdem sie über eine Suchmaschine nach Downloads von WinSCP oder PuTTy gesucht und auf eine schädliche Anzeige geklickt haben. Die betrügerische Anzeige leitet den Nutzer auf eine Website weiter, die der legitimen Download-Seite sehr ähnlich sieht.
Diese gefälschten Websites enthalten einen Link zum Herunterladen eines ZIP-Archivs, das einen Trojaner von einer sekundären Domain enthält, die in die Seite eingebettet wurde. Sobald der Nutzer diesen Inhalt herunterlädt und entpackt, beginnt die Infektion. Im Rahmen des Angriffs wird eine schädliche DLL per Sideloading installiert.
Rapid7 stellt fest, dass einige der TTPs bei diesem Angriff „an frühere BlackCat-/ALPHV-Kampagnen erinnern“. In einem Fall stellte Rapid7 fest, dass der Täter versuchte, Daten über Restic zu entwenden und Ransomware zu installieren. Dieser Versuch wurde während der Ausführung blockiert.
Erstzugang
Die Infektion beginnt, wenn der Nutzer auf die schädliche Werbeanzeige klickt und ein gefälschtes Installationsprogramm für WinSCP oder PuTTy herunterlädt. Die durch Typosquatting missbrauchte PuTTy-Seite enthielt ein zusätzliches „t“ in der Domain, wodurch es für den Nutzer schwierig war, den Unterschied zu erkennen.
Die Startseite dieser Typosquatting-Seite enthält einen Download-Link sowie zwei legitime Links zu anderen Ressourcen. Wenn das Opfer das Installationsprogramm herunterlädt, wird eine darin eingebettete Funktion aufgerufen, die den Nutzer schließlich dazu veranlasst, das aktuellste schädliche ZIP-Archiv herunterzuladen.
Ausführung
Sobald das ZIP-Archiv entpackt ist, wird dem Benutzer die Datei „setup.exe“ angezeigt, bei der es sich um eine umbenannte Kopie der Datei „python.exe“ handelt. Bei der Ausführung lädt „setup.exe“ eine schädliche DLL namens „ python311.dll“ per Sideloading, die wiederum eine umbenannte Kopie der legitimen DLL „ python3.dll“ lädt.
Nach erfolgreichem Sideloading führt die Malware eine Vorbereitung zum Entpacken durch und löst dynamisch weitere Funktionen auf. Für die Einrichtung und Ausführung nutzt es Funktionen, die der öffentlich zugänglichen AntiHook-Bibliothek ähneln.
Die Malware wandelt NTAPI-Funktionen (Windows Native API) um, um „die Erkennung zu umgehen, die auf häufiger verwendete Funktionen im Benutzermodus (WINAPI) angewendet wird, und auf Funktionen auf niedrigerer Ebene zuzugreifen, die andernfalls nicht verfügbar wären.“ Nach Abschluss der Einrichtung ruft die Malware eine verschlüsselte Ressource aus der DLL ab. Die Malware entschlüsselt diese Ressource im Arbeitsspeicher, wodurch ein ZIP-Archiv entsteht, das drei komprimierte Dateien enthält, darunter ein legitimes MSI-Installationsprogramm für PuTTY. Die Malware entschlüsselt letztendlich eine Datei, bei der es sich um eine Sliver-Beacon-DLL handelt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wir wissen bereits, dass Malvertising weit verbreitet ist, doch dies ist einer der wenigen Fälle, in denen ein Angreifer diese Methode genutzt hat, um Ransomware zu verbreiten.
Auch wenn der Einsatz der Ransomware erfolglos blieb, besteht die Möglichkeit, dass dieser Akteur (oder andere) diese Methode erneut versuchen wird. Die Kombination aus Malvertising und Ransomware ist zweifellos besorgniserregend und unterscheidet sich von den meisten Ransomware-Angriffen.
Bei Ransomware nehmen Angreifer häufig bestimmte Opfer ins Visier und verfügen über ein gewisses Maß an technischem Know-how, um sich einen ersten Zugriff zu verschaffen. Durch den Einsatz von Malvertising zum Erlangen des ersten Zugriffs werden die Opfer stattdessen zum Angreifer geführt.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
