In dieser Woche berichtet CTI über den anhaltenden Kampf zwischen Sophos und mehreren chinesischen Cyberkriminellen. Als Nächstes untersucht CTI eine neue Kampagne namens CRON#TRAP, die mit einer einfachen Phishing-E-Mail mit dem Betreff „ “ beginnt: (wird in einem neuen Tab geöffnet). Abschließend gibt CTI einen Überblick über eine neue Phishing-Kampagne, bei der mithilfe von Microsoft Bing Zugangsdaten für Online-Banking abgefragt werden.
Sophos bekämpft mehrere chinesische Angreifer
Sophos hat kürzlich unter (wird in einem neuen Tab geöffnet) Einzelheiten zu seinem anhaltenden Kampf gegen mehrere chinesische Angreifer veröffentlicht. Seit mehr als fünf Jahren nehmen Angreifer weltweit Netzwerkgeräte ins Visier, darunter auch solche von Sophos. Das Unternehmen führte bestimmte Aktivitätscluster auf folgende Akteure zurück: , Volt Typhoon, APT31 sowie , APT41 und.
Sich weiterentwickelndes Verhalten von Angreifern
Sophos hat drei wesentliche, sich weiterentwickelnde Verhaltensmuster von Angreifern identifiziert:
- Zum einen ist eine Verlagerung des Schwerpunkts zu beobachten: Weg von weit verbreiteten, auffälligen Angriffen, die opportunistisch und ohne konkrete Zielausrichtung erfolgten, hin zu verdeckteren Angriffen auf bestimmte Ziele.
- Die zweite Beobachtung betrifft die Entwicklung im Bereich der Tarnung und Persistenz, wobei der Schwerpunkt zunehmend auf der Nutzung lokaler Ressourcen, Java-Klassen mit Hintertüren und rein speicherbasierten Trojanern liegt.
- Die letzte Feststellung betrifft Verbesserungen im Bereich der Einsatzsicherheit (OPSEC).
Erstes Eindringen und Erkundung
Der erste beobachtete Angriff, der sich im Jahr 2018 ereignete, richtete sich nicht gegen ein Netzwerkgerät, sondern gegen eine Sophos-Niederlassung in Indien. Bei dem Angriff kam ein komplexes Rootkit zum Einsatz, das später als „ “ („Cloud Snooper“) bezeichnet wurde, sowie eine Technik, um über falsch konfigurierte AWS-SSM-Agenten in die Cloud-Infrastruktur vorzudringen.
Zu diesem Zeitpunkt wurde der Angriff keinem bestimmten Akteur zugeordnet. Nun gehen Forscher davon aus, dass es sich bei diesem Angriff um eine chinesische Aktion handelte, deren Ziel es war, Informationen zu sammeln, um weitere Angriffe zu ermöglichen, sowie Malware zu entwickeln, die auf Netzwerkgeräte abzielt.
In den Tarnmodus wechseln
Im Jahr 2022 änderten die Akteure ihre Taktik, um gezielter vorzugehen und sich auf bestimmte Sektoren zu konzentrieren. Bei den Angriffen kamen unterschiedliche TTPs zum Einsatz, wobei eher ein aktiver Ansatz des Angreifers verfolgt wurde als eine Automatisierung, die die manuelle Ausführung von Befehlen und Malware beinhaltete. Bei diesen Angriffen kamen durchgehend Techniken zur verdeckten Persistenz sowie die Ausnutzung von CVEs zum Einsatz.
Verbesserungen im Bereich OPSEC
Diese Akteure sind immer geschickter darin geworden, ihre Aktivitäten zu verbergen, indem sie die Datenübertragung von den Geräten an Sophos blockieren. Ab dem Jahr 2020 versuchten die Akteure, den Hotfix-Mechanismus kompromittierter Geräte zu sabotieren, und richteten später ihre Angriffe auf das Telemetriesystem der Geräte. Insgesamt haben sich die Sicherheitsvorkehrungen im Betrieb im Laufe der Zeit verbessert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Von staatlicher Seite unterstützte chinesische Akteure stellen seit langem eine Bedrohung dar, zumal sie dazu neigen, Werkzeuge und Techniken untereinander auszutauschen. Sophos erklärt, dass diese Akteure „über umfangreiche Ressourcen verfügen, geduldig und einfallsreich sind und über ungewöhnlich fundierte Kenntnisse der internen Architektur der Geräte-Firmware verfügen“.
Edge-Netzwerkgeräte dürften auch weiterhin hochkarätige Ziele für Angreifer bleiben.
CRON#TRAP infiziert Windows über eine Linux-VM
Im Rahmen einer Kampagne namens „ “ (CRON#TRAP) nutzt ein Angreifer Phishing-E-Mails, um eine maßgeschneiderte, emulierte Linux-Umgebung auf Basis von QEMU (Quick Emulator) bereitzustellen.
Laut Securonix startet eine LNK-Datei in der Phishing-E-Mail die Linux-Umgebung, die QEMU emuliert. Die Linux-Instanz, die bei dem Angriff zum Einsatz kommt, verfügt über eine vorkonfigurierte Hintertür, über die automatisch eine Verbindung zum Server C2 des Angreifers hergestellt wird.
Erstinfektion
Obwohl dies noch nicht bestätigt ist, geht Securonix davon aus, dass der Angriff mit einer Phishing-E-Mail begann, die einen Link zum Herunterladen einer ZIP-Datei enthielt. Die ZIP-Datei selbst stand unter dem Motto einer Umfrage und war mit einer Größe von 285MB.
sehr groß. Sobald das Opfer die Datei entpackt, werden ihm eine Verknüpfung und ein Verzeichnis „data“ angezeigt, das das QEMU-Installationsverzeichnis enthält. Die Verknüpfungsdatei verweist auf PowerShell und führt einen Befehl aus, um die heruntergeladene Datei zu entpacken und eine Batch-Datei auszuführen. Diese Batch-Datei zeigt dem Benutzer einen vorgetäuschten Serverfehler an, während der QEMU-Prozess zur Initialisierung der Linux-Umgebung ausgeführt wird.
Lure-Dokument/QEMU
Ein vorgetäuschter Serverfehler erscheint dem Opfer als überzeugender Köder. Der QEMU-Prozess wurde zwar umbenannt, ist jedoch legitim und mit einem gültigen Zertifikat digital signiert.
PivotBox – die Linux-Umgebung des Angreifers
Securonix konnte mit dem Betriebssystem interagieren, da die automatische Anmeldung aktiviert war. Im Meldungsbanner werden „PivotBox“ und der Befehl „Optionen“ angezeigt. Dieser Optionsbefehl zeigt zwei Befehle zur Interaktion mit dem Host an.
Standardmäßig speichert Linux ein Protokoll aller ausgeführten Befehle im Profilverzeichnis des Benutzers. Den Forschern gelang es, Aufzeichnungen darüber aufzuspüren, welche Befehle verwendet wurden, was bedeutet, dass es diesem Akteur an grundlegenden Sicherheitsvorkehrungen mangelte und er den Verlauf nicht gelöscht hatte.
Eine vollständige Liste der Befehle finden Sie im Bericht von Securonix. Auf übergeordneter Ebene gab es Befehle zur Installation von Tools, zur Bearbeitung und Ausführung von Payloads, zur Herstellung von Persistenz, zur Exfiltration von Daten und vieles mehr.
Meißel
Eine Binärdatei wird beim Start der Linux-QEMU-Instanz ausgeführt. Die Forscher stellten fest, dass es sich bei dieser Binärdatei um einen „vorkonfigurierten Chisel-Client handelt, der dafür ausgelegt ist, über WebSockets eine Verbindung zu einem entfernten C2 -Server herzustellen“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne eskalierte rasch von einer einfachen Phishing-E-Mail zu einer emulierten Linux-Umgebung. Es ist nicht das erste Mal, dass ein Akteur QEMU missbraucht hat, doch es scheint eines der ersten Male zu sein, dass es für Zwecke außerhalb von zum Schürfen von Kryptowährungen missbraucht wurde.
Die Tatsache, dass die Kampagne wahrscheinlich mit Phishing beginnt, kann es Sicherheitsverantwortlichen und Endnutzern ermöglichen, die Bedrohung zu erkennen, bevor sie zu weit fortgeschritten ist.
Angreifer nutzen Bing für Phishing-Angriffe
Malwarebytes hat kürzlich unter eine neue Phishing-Kampagne identifiziert, die darauf abzielt, Zugangsdaten für Online-Banking zu erlangen. Die Kampagne zielt mithilfe von Malvertising gezielt auf Opfer ab, insbesondere über die Suchmaschine Bing von Microsoft.
Die Phishing-Seiten erscheinen auf der ersten Ergebnisseite und in einigen Fällen sogar als oberste Suchergebnisse.
Malwarebytes hat die Phishing-Kampagne auf 29. November identifiziert. Wenn ein Nutzer über Bing nach „KeyBank-Login“ sucht, ist das erste Suchergebnis ein bösartiger Link, der vorgibt, die legitime Anmeldeseite von KeyBank zu sein. Die Domain wurde etwa zwei Wochen zuvor registriert.
Indizierung und Cloaking
Webcrawler und Scanner, die den bösartigen Link aufrufen, werden auf eine Website weitergeleitet, die für Nutzer bestimmt ist, an denen der Angreifer kein Interesse hat. Diese Crawler und Scanner erfassen und indexieren den Inhalt dieser Seite und stufen sie als unbedenklich ein. Die Opfer werden jedoch anhand von Benutzerattributen, darunter der IP-Adresse, sofort auf die eigentliche betrügerische Website weitergeleitet.
Die eigentliche Phishing-Website verwendet das legitime KeyBank-Branding und ahmt die echte Anmeldeseite sehr genau nach. Wenn Sie das Formular auf dieser Website ausfüllen, werden die Daten umgehend an den Angreifer übermittelt.
Umgehung der MFA
Viele Phishing-Kampagnen versuchen, die Multi-Faktor-Authentifizierung (MFA) von zu umgehen:. Im Rahmen dieser Kampagne wird dem Opfer auf der Phishing-Seite eine Meldung angezeigt, dass seine Internetverbindung schlecht sei. Diese Nachricht dient als Ablenkungsmanöver, um zu verschleiern, was wirklich vor sich geht.
Hinter den Kulissen meldet sich der Angreifer beim Konto des Opfers an und wird zur Eingabe eines MFA-Codes aufgefordert. Auf einem weiteren Bildschirm wird das Opfer aufgefordert, den Einmal-Zugangscode einzugeben, der umgehend an den Angreifer übermittelt wird.
Diese Phishing-Kampagne geht noch einen Schritt weiter und fordert das Opfer zudem auf, seine Sicherheitsfragen einzugeben bzw. zu beantworten. Der Angreifer kann diese Informationen weiter missbrauchen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Obwohl sich diese Kampagne speziell auf Bing bezieht, werden ähnliche Phishing-Angriffe mittlerweile über die meisten Suchmaschinen hinweg durchgeführt.
Malwarebytes weist insbesondere darauf hin, wie schnell sich eine bösartige Website an die Spitze der Suchergebnisse vorarbeiten kann. In diesem Fall dauerte es lediglich zwei Wochen, bis die Seite vor der echten Website der Bank angezeigt wurde.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen unter .
