Diese Woche behandelt CTI den laufenden Kampf zwischen Sophos und mehreren chinesischen Bedrohungsakteuren. Als Nächstes untersucht CTI eine neue Kampagne namens CRON#TRAP, die mit einer einfachen Phishing-E-Mail beginnt (wird in einer neuen Registerkarte geöffnet). Schließlich schließt CTI mit einem Überblick über eine neue Phishing-Kampagne ab, die Bankanmeldeinformationen mithilfe von Microsoft Bing sucht.
Sophos bekämpft mehrere chinesische Bedrohungsakteure
Sophos hat kürzlich Details ihres laufenden Kampfes gegen mehrere chinesische Bedrohungsakteure offengelegt (öffnet sich in einer neuen Registerkarte ). Seit mehr als fünf Jahren richten sich die Akteure auf Netzwerkgeräte weltweit, einschließlich solcher von Sophos. Das Unternehmen führte bestimmte Aktivitätscluster den Akteuren zu, darunter Volt Typhoon, APT31 und APT41.
Weiterentwicklung des Angreiferverhaltens
Sophos identifizierte drei wesentliche sich entwickelnde Angreiferverhaltensweisen:
- Der erste ist eine Fokusverlagerung von weit verbreiteten lauten Angriffen, die opportunistisch waren, mit dem Ziel, Angriffe gegen bestimmte Ziele zu stealthieren.
- Die zweite Beobachtung ist die Evolution von Stealth und Persistenz, mit einem verstärkten Fokus auf das Leben abseits des Landes, hintertürige Java-Klassen und Nur-Gedächtnis-Trojaner.
- Die abschließende Beobachtung ist die Verbesserung der Betriebssicherheit (OPSEC).
Erster Eingriff und Aufklärung
Der erste beobachtete Angriff, der 2018 stattfand, war nicht gegen ein Netzwerkgerät, sondern eine Sophos-Einrichtung in Indien. Der Angriff nutzte ein komplexes Rootkit, das später Cloud Snooper genannt wurde, und eine Technik, um über falsch konfigurierte AWS SSM-Agenten in die Cloud-Infrastruktur zu schwenken.
Zu dieser Zeit wurde der Angriff keinem bestimmten Akteur zugeschrieben. Forscher glauben jetzt, dass dieser Angriff eine chinesische Anstrengung war, um Informationen zu sammeln, um weitere Angriffe zu unterstützen und Malware zu erstellen, um Netzwerkgeräte anzuvisieren.
Umstieg auf Tarnung
Im Jahr 2022 änderten die Akteure die Taktiken, um gezielter und fokussierter auf bestimmte Sektoren zu sein. Die Angriffe verwendeten verschiedene TTPs und mehr eines aktiven gegnerischen Ansatzes anstelle einer Automatisierung, die die manuelle Ausführung von Befehlen und Malware umfasste. Während dieser Angriffe wurden heimliche Persistenztechniken und die Ausnutzung von CVEs verwendet.
Verbesserungen in der OPSEC
Diese Akteure sind zunehmend besser darin geworden, ihre Aktivitäten zu verbergen, indem sie das Senden von Daten von den Geräten an Sophos blockieren. Ab 2020 versuchten die Akteure, den Hotfix-Mechanismus von kompromittierten Geräten zu sabotieren und begannen später damit, auf das Telemetriesystem von Geräten abzuzielen. Insgesamt verbesserten sich die Betriebssicherheitspraktiken im Laufe der Zeit.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Chinesische staatliche Bedrohungsakteure sind seit langem eine Bedrohung, insbesondere da sie dazu neigen, Werkzeuge und Techniken miteinander zu teilen. Sophos erklärt, dass diese Akteure „gut ausgestattet, geduldig, kreativ und ungewöhnlich sachkundig über die interne Architektur der Gerätefirmware sind“.
Edge-Netzwerkgeräte werden wahrscheinlich weiterhin hochwertige Ziele für Akteure bleiben.
CRON#TRAP infiziert Windows mit einer Linux VM
In einer Kampagne namens CRON#TRAP verwendet ein Bedrohungsakteur Phishing-E-Mails, um eine benutzerdefinierte emulierte Quick Emulator (QEMU) Linux-Box bereitzustellen.
Gemäß Securonix initiiert eine LNK-Datei innerhalb der Phishing-E-Mail die Linux-Umgebung, die QEMU emuliert. Die Linux-Instanz im Angriff verfügt über eine vorkonfigurierte Backdoor, um sich automatisch mit dem C2 -Server des Akteurs zu verbinden.
Anfängliche Infektion
Obwohl nicht bestätigt, glaubt Securonix, dass der Angriff mit einer Phishing-E-Mail begonnen hat, die einen Link zum Herunterladen einer .zip-Datei enthält. Die ZIP-Datei selbst war Umfragethema und groß bei 285MB.
Sobald das Opfer die Datei extrahiert, wird ihnen eine Verknüpfung und ein „Datenverzeichnis“ angezeigt, das das Installationsverzeichnis der QEMU enthält. Die Verknüpfungsdatei verlinkt zu PowerShell und führt einen Befehl aus, um die heruntergeladene Datei zu extrahieren und eine Batchdatei auszuführen. Diese Batchdatei zeigt dem Benutzer einen gefälschten Serverfehler an, während er den QEMU-Prozess ausführt, um die Linux-Umgebung zu initiieren.
Lure-Dokument/QEMU
Ein gefälschter Serverfehler erscheint dem Opfer als überzeugender Verlockungsfall. Während der QEMU-Prozess umbenannt wurde, ist er legitim und digital mit einem gültigen Zertifikat signiert.
PivotBox – Linux-Umgebung des Angreifers
Securonix konnte mit dem Betriebssystem interagieren, da die automatische Anmeldung aktiviert war. Das Nachrichtenbanner zeigt „PivotBox“ und einen Befehl „Optionen“ an. Dieser Optionsbefehl zeigt zwei Befehle an, um mit dem Host zu interagieren.
Standardmäßig speichert Linux ein Protokoll aller ausgeführten Befehle im Profilverzeichnis des Benutzers. Forscher konnten eine Aufzeichnung darüber aufspüren, welche Befehle verwendet wurden, was bedeutet, dass diesem Akteur eine grundlegende Betriebssicherheit fehlte und die Historie nicht gelöscht wurde.
Eine vollständige Liste der Befehle finden Sie im Bericht von Securonix. Auf hoher Ebene gab es Befehle zum Installieren von Tools, Bearbeiten und Ausführen von Nutzlasten, Einrichten von Persistenz, Exfiltratieren von Daten und mehr.
Meißel
Eine Binärdatei wird ausgeführt, wenn die Linux QEMU-Instanz gestartet wird. Forscher stellten fest, dass es sich bei dieser Binärdatei um einen „vorkonfigurierten Chisel-Client“ handelt, der für die Verbindung mit einem Remote- C2 -Server über WebSockets entwickelt wurde.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Diese Kampagne eskalierte schnell von einer einfachen Phishing-E-Mail in eine emulierte Linux-Umgebung. Dies ist nicht das erste Mal, dass ein Schauspieler die QEMU missbraucht hat, aber es scheint eines der ersten Mal zu sein, dass sie für Dinge außerhalb des Krypto-Mining missbraucht wurde.
Die Tatsache, dass die Kampagne wahrscheinlich mit Phishing beginnt, kann es Verteidigern und Endbenutzern ermöglichen, die Bedrohung zu identifizieren, bevor sie zu weit geht.
Bedrohungsakteure nutzen Bing für Phishing
Malwarebytes hat kürzlich eine neue Phishing-Kampagne identifiziert , die nach Bankanmeldeinformationen sucht. Die Kampagne richtet sich an Opfer mit Hilfe von Malvertising, insbesondere auf der Bing-Suchmaschine von Microsoft.
Die Phishing-Seiten werden auf der ersten Seite der Ergebnisse und in einigen Fällen als die wichtigsten Suchergebnisse zurückgegeben.
Malwarebytes identifizierten die Phishing-Kampagne auf 29. November. Wenn ein Benutzer mithilfe von Bing nach „KeyBank-Anmeldung“ sucht, ist das erste Ergebnis ein bösartiger Link, der vorgibt, die legitime KeyBank-Anmeldeseite zu sein. Die Domain wurde etwa zwei Wochen zuvor registriert.
Indexierung und Tarnung
Web-Crawler und Scanner, die den bösartigen Link besuchen, werden zu einer Website geführt, die für Benutzer bestimmt ist, an denen der Bedrohungsakteur nicht interessiert ist. Diese Crawler und Scanner kratzen und indexieren den Inhalt dieser Seite und identifizieren ihn als saubere Seite. Opfer werden jedoch sofort auf die wahre bösartige Website weitergeleitet, basierend auf Benutzerattributen, einschließlich IP-Adresse.
Die wahre Phishing-Website verwendet legitimes KeyBank-Branding und ahmt die wahre Anmeldeseite genau nach. Das Ausfüllen des Formulars auf dieser Website sendet die Daten sofort an den Bedrohungsakteur.
MFA umgehen
Viele Phishing-Kampagnen versuchen, die Multifaktor-Authentifizierung (MFA) zu umgehen. In dieser Kampagne zeigt die Phishing-Seite dem Opfer eine Nachricht an, dass seine Internetverbindung schlecht ist. Diese Nachricht ist eine Ablenkung, um zu verbergen, was wirklich passiert.
Hinter den Szenen meldet sich der Schauspieler beim Konto des Opfers an und wird nach einem MFA-Code gefragt. Auf einem anderen Bildschirm wird das Opfer aufgefordert, den einmaligen Passcode einzugeben, der sofort an den Bedrohungsakteur gesendet wird.
Wenn es einen Schritt weiter geht, bittet diese Phishing-Kampagne das Opfer auch, seine Sicherheitsfragen einzugeben/zu beantworten. Der Bedrohungsakteur kann diese Informationen weiter missbrauchen.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Obwohl diese Kampagne spezifisch für Bing ist, werden nun ähnliche Phishing-Schemata in den meisten Suchmaschinen durchgeführt.
Eine Sache, auf die Malwarebytes hinweist, ist, wie schnell eine bösartige Website an die Spitze der Suchergebnisse gelangen kann. In diesem Fall dauerte es nur zwei Wochen, bis sie vor der legitimen Bankwebsite angezeigt wurde.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Besuchen Sie das Diskussionsforum von Tanium, um ein Gespräch zu beginnen.
Um weitere Informationen zu erhalten, informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
