In der Zusammenfassung dieser Woche erläutert CTI, wie die Ransomware-Kampagne „TargetCompany“ ESXi-Server mit einer neuen Linux-Variante bedroht. Als Nächstes untersucht CTI einen bislang nicht dokumentierten Spionageakteur, der nun unter dem Namen „LilacSquid“ erfasst wird und mit mehreren Angriffen in den Vereinigten Staaten, Europa und Asien in Verbindung gebracht wird. Abschließend untersucht CTI, wie die Angreifer der DarkGate-Gruppe zunehmend von AutoIt-Skripten abrücken und stattdessen auf AutoHotkey umsteigen, um die endgültige Payload auszuführen.
1. Die Linux-Variante von TargetCompany bedroht ESXi-Umgebungen mit neuen Methoden
Die Ransomware-Kampagne „TargetCompany“ greift nun ESXi-Server mit einer neuen Linux-Variante namens „ “ an: (wird in einem neuen Tab geöffnet).
Die neueste Variante nutzt ein eigens entwickeltes Shell-Skript, um Payloads zu übertragen und auszuführen, und leitet Daten zu Sicherungszwecken an zwei verschiedene, vom Angreifer kontrollierte Server weiter.
Was ist TargetCompany?
Die Ransomware-Gruppe „TargetCompany“ wurde erstmals im Jahr 2021 entdeckt und betreibt eine Website für Datenlecks unter dem Namen „Mallox“.
Wie viele andere Ransomware-Gruppen hat auch „TargetCompany“ seine Taktiken, Techniken und Vorgehensweisen (TTPs) kontinuierlich weiterentwickelt und dabei unter anderem PowerShell-Skripte eingeführt, um das Antimalware Scan Interface (AMSI) zu umgehen, sowie vollständig nicht nachweisbare (FUD) Verschleierungs- und Packer-Tools missbraucht.
Trend Micro entdeckte die Linux-Variante dieser Operation im Rahmen eines Einsatzes zur Bedrohungssuche.
Die Linux-Variante von TargetCompany
Die Linux-Variante prüft, ob die ausführbare Datei über Administratorrechte verfügt. Der Vorgang wird nur fortgesetzt, wenn Administratorrechte vorliegen.
Sobald das Programm ausgeführt wurde, legt es eine Datei namens „TargetInfo.txt“ ab, die Informationen zum Opfer enthält. Der Inhalt dieser Datei wird ebenfalls als Datei mit dem Namen „ap.php“ an einen C2 -Server gesendet. Dieses Verhalten ähnelt der Windows-Variante von TargetCompany.
Ausrichtung auf ESXi-Umgebungen
TargetCompany nimmt nun Virtualisierungsserver ins Visier, um noch größeren Schaden anzurichten und noch größere Störungen zu verursachen.
Die Variante kann feststellen, ob ein Rechner in einer VMware ESXi-Umgebung ausgeführt wird. Wenn das System auf dem ESXi-Hypervisor von VMware ausgeführt wird, werden Dateien mit den folgenden Dateiendungen verschlüsselt: vmdk, vmem, vswp, vmsn, vmx und nvram. Die Variante versieht die verschlüsselten Dateien mit der Endung „.locked“ und hinterlässt eine Lösegeldforderung.
Ausführung von Shell-Skripten
Die Untersuchung von Trend Micro (wird in einem neuen Tab geöffnet) bezüglich der Nutzlast ergab, dass ein Shell-Skript sowohl zum Herunterladen als auch zum Ausführen der Ransomware-Nutzlast verwendet wird. Das Skript wurde speziell für die Ausführung dieser Variante maßgeschneidert. Dieses Skript ist zudem in der Lage, Daten an einen Server zu übermitteln.
Wie bereits erwähnt, sendet diese Variante gestohlene Daten an zwei verschiedene Server, was nach Ansicht der Forscher der Redundanz dient. Das Skript löscht daraufhin die „TargetCompany“-Nutzlast.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
TargetCompany scheint sich auf Linux-Umgebungen mit „ “ zu konzentrieren: (wird in einem neuen Tab geöffnet) , um seinen Zielpool zu erweitern. Gleichzeitig leitet TargetCompany Daten an zwei verschiedene Server weiter, um seine Erfolgschancen zu erhöhen – höchstwahrscheinlich, um über einen Backup-Server zu verfügen, falls einer kompromittiert wird oder ausfällt. Dies könnte eine Reaktion auf die zunehmende Zahl von Maßnahmen der Strafverfolgungsbehörden zur Schließung von Websites sein, die in den letzten Monaten stattgefunden haben.
2. LilacSquid richtet sich an verschiedene Branchen
Ein bislang nicht dokumentierter Spionageakteur, der nun unter den Bezeichnungen „ “, „LilacSquid“, „ “ (öffnet in einem neuen Tab), „“ und „“ erfasst wird, wird mit mehreren Angriffen in den USA, Europa und Asien in Verbindung gebracht.
Die „ “-Kampagne von LilacSquid (wird in einem neuen Tab geöffnet) zielt darauf ab, einen langfristigen Zugriff zu erlangen, um Daten von Interesse zu stehlen. Bei den Angriffen wird ein Open-Source-Tool zur Fernverwaltung in Verbindung mit einer angepassten Version von QuasarRAT eingesetzt, nachdem anfällige Anwendungsserver kompromittiert oder kompromittierte RDP-Anmeldedaten verwendet wurden.
Was ist LilacSquid?
Es wird angenommen, dass dieser auf Spionage ausgerichtete Akteur mindestens seit dem Jahr 2021 aktiv ist und eher auf lange Sicht plant, indem er sich langfristigen Zugriff zum Zweck des Datendiebstahls verschafft.
- Cisco Talos hat mindestens drei erfolgreiche Angriffe dieses Akteurs gemeldet.
- Um sich zunächst Zugang zu verschaffen, wird dieser Akteur entweder Sicherheitslücken ausnutzen oder kompromittierte RDP-Anmeldedaten verwenden.
- Nach dem Erlangen des Zugriffs wird der Angreifer eine Open-Source-Anwendung zur Fernverwaltung namens „MeshAgent“ sowie eine maßgeschneiderte Variante von „QuasarRAT“ nutzen, die unter dem Namen „PurpleInk“ erfasst wird.
Die Infektionsketten von LilacSquid
Die erste LilacSquid-Infektionskette beginnt mit der Ausnutzung einer anfälligen Webanwendung, während die zweite mit der Verwendung kompromittierter RDP-Anmeldedaten beginnt.
In beiden Fällen führt ein erfolgreicher Angriff zum Einsatz von Dual-Use-Tools wie MeshAgent, SSF, InkLoader und PurpleInk, bei dem es sich um eine stark angepasste Version von QuasarRAT handelt. PurpleInk wird seit dem Jahr 2021 aktiv weiterentwickelt und hat sich seitdem zu einer eigenständigen Malware weiterentwickelt. Die Malware ist verschleiert und verfügt über zahlreiche RAT-Funktionen, darunter die Fähigkeit, Prozesse aufzulisten und Daten an die C2 zu senden, einen Prozess zu beenden, eine neue Anwendung auszuführen, Laufwerksinformationen abzurufen, ein bestimmtes Verzeichnis aufzulisten, eine durch C2 angegebene Datei zu lesen und anschließend deren Inhalt zu exfiltrieren sowie den Inhalt einer bestimmten Datei zu ersetzen oder anzuhängen.
Die Malware verfügt zudem über verschiedene Möglichkeiten, mit ihren Proxy-Servern zu kommunizieren, beispielsweise durch das Herstellen einer Verbindung zu einem neuen Server, das Senden von Daten an einen neuen oder bestehenden Proxy-Server, das Trennen der Verbindung sowie das Empfangen von Daten von einem anderen verbundenen Proxy-Server und deren Verarbeitung.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Nutzung von MeshAgent durch LilacSquid weist Überschneidungen mit einem anderen nordkoreanischen Akteur namens Andariel auf, bei dem es sich um eine Untergruppe der Lazarus-Gruppe handelt. Weitere Überschneidungen bei den TTPs mit dieser Gruppe geben sicherlich Anlass zur Verwunderung, doch ein eindeutiger Zusammenhang wurde bislang noch nicht hergestellt. Die Lazarus-Gruppe hat jedoch bereits in der Vergangenheit groß e Angriffe auf die Lieferkette durchgeführt (öffnet in einem neuen Tab) wie beispielsweise „ 3CX “, die durch ihren unbefugten, langfristigen Zugriff ermöglicht wurden.
Allerdings könnte das Ziel von LilacSquid, einen langfristigen Zugriff aufrechtzuerhalten, über Spionageaktivitäten hinausgehen und „Möglichkeiten zur Kompromittierung der Lieferkette eröffnen“.
3. Die Malware „DarkGate“ ersetzt bei den jüngsten Angriffen AutoIt durch AutoHotkey
Laut Trellix (wird in einem neuen Tab geöffnet) werden bei Angriffen, die die Malware „ “ (DarkGate) (wird in einem neuen Tab geöffnet) nutzen, zunehmend weniger AutoIt-Skripte verwendet; stattdessen wird zunehmend auf ein AutoHotkey-Toolkit zurückgegriffen, um die endgültige Payload auszuführen.
Eine eingehendere Untersuchung der Kampagnen, bei denen diese neue Technik zum Einsatz kam, brachte zudem einige Server zutage, auf denen sowohl DarkGate- als auch PikaBot-Beispiele gefunden wurden, was darauf hindeutet, dass der Autor möglicherweise das eine als Backup für das andere nutzt.
Der Entwickler des DarkGate-MaaS, RastaFarEye, wurde gegen Ende des Jahres 2023 aufgrund mehrerer Beschwerden über die angebotenen Dienste aus mehreren Untergrundforen ausgeschlossen. Trotzdem wurde die DarkGate-Malware weiterhin verbreitet und in freier Wildbahn beobachtet. Es wird vermutet, dass RastaFarEye andere Firmennamen angenommen hat, um sein Sortiment zusammen mit neuen Produkten weiterhin zu vertreiben.
Die Ausführungskette von DarkGate
Die DarkGate-Kampagnen ändern sich häufig, um sich an die sich wandelnde Bedrohungslage anzupassen. So hat die Malware beispielsweise bereits in der Vergangenheit das „ AutoIt3 “-Verfahren oder das Side-Loading von DLL-Dateien genutzt, um die endgültige Nutzlast zu installieren. In jüngeren Kampagnen nutzt die Malware „AutoHotkey“, einen Skript-Interpreter, um die Malware in drei Schritten auszuführen:
- Die erste Phase des Angriffs variiert je nach Kampagne. In den jüngsten Kampagnen, , nutzt der Täter Phishing-E-Mails mit Excel- oder HTML-Anhängen, die das Opfer dazu verleiten sollen, auf eine Schaltfläche zu klicken, über die ein VBScript-Makro heruntergeladen wird.
- Die zweite Stufe ist das VBScript, das lediglich vier Zeilen echten Codes enthält, die für die Ausführung eines PowerShell-Befehls zuständig sind.
- Die dritte Stufe ist das PowerShell-Skript, das für das Herunterladen von drei Dateien zuständig ist: den legitimen AutoHotkey-Interpreter, ein AutoHotkey-Skript und eine Klartextdatei. Diese Dateien dienen dazu, die DarkGate-Nutzlast abzurufen.
Über DarkGate v6
DarkGate v6 hat das umfangreichste Update seit der vierten Version erhalten, wobei Änderungen an der Konfiguration, den Ausweichtechniken und den unterstützten Befehlen vorgenommen wurden. Die größte Änderung besteht in der Umstrukturierung des gesamten Hauptcodes und der Art und Weise, wie die Befehle verarbeitet werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die DarkGate-Malware entwickelt sich kontinuierlich weiter und passt sich den sich wandelnden Trends an, wie die Abkehr von AutoIt deutlich macht.
Interessant ist, dass diese Kampagnen nach wie vor auf eine manuelle Interaktion des Benutzers angewiesen sind, damit Makros innerhalb eines Dokuments die Infektionskette in Gang setzen können. Auch wenn sich die Malware selbst weiterentwickelt, scheint die Angriffskette – oder zumindest der Erstzugang – hinter „“ zu stehen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
