CTI erklärt im Roundup dieser Woche, wie der TargetCompany-Ransomware-Betrieb ESXi-Server mit einer neuen Linux-Variante bedroht. Als Nächstes untersucht CTI einen zuvor nicht dokumentierten Spionageakteur, der jetzt als LilacSquid verfolgt wird, der mit mehreren Angriffen in den Vereinigten Staaten, Europa und Asien verknüpft ist. Schließlich untersucht CTI, wie DarkGate-Bedrohungsakteure beginnen, sich von AutoIt-Skripten zu entfernen und zu einem AutoHotkey zu wechseln, um die endgültige Nutzlast auszuführen.
1. Die Linux-Variante von TargetCompany bedroht ESXi-Umgebungen mit neuen Methoden
Der TargetCompany-Ransomware-Betrieb läuft jetzt nach ESXi-Servern mit einer neuen Linux-Variante (wird in einer neuen Registerkarte geöffnet).
Die neueste Variante verwendet ein benutzerdefiniertes Shell-Skript, um Nutzdaten bereitzustellen und auszuführen und Daten für Backup-Zwecke auf zwei verschiedene, vom Angreifer kontrollierte Server zu exfiltrieren.
Was ist TargetCompany?
Die TargetCompany-Ransomwaregruppe wurde erstmals im Jahr 2021 entdeckt und unterhält eine Datenleckstelle unter dem Namen „Mallox“.
Wie viele Ransomware-Operationen hat TargetCompany seine Taktiken, Techniken und Verfahren (TTPs) weiterentwickelt und Dinge wie PowerShell-Skripte eingeführt, um die Antimalware-Scanschnittstelle (AMSI) zu umgehen und vollständig nicht nachweisbare (FUD) Obfuscator-Packer zu missbrauchen.
Trend Micro entdeckte die Linux-Variante des Betriebs während einer Bedrohungssuche.
Linux-Variante von TargetCompany
Die Linux-Variante prüft, ob die ausführbare Datei Verwaltungsrechte hat. Sie wird nur fortgesetzt, wenn sie administrativen Zugriff hat.
Sobald sie ausgeführt wurde, wird sie eine Datei mit Opferinformationen namens „TargetInfo.txt“ ablegen. Der Inhalt dieser Datei wird auch als Datei namens „ap.php“ an einen C2 -Server gesendet. Dieses Verhalten ähnelt der Windows-Variante von TargetCompany.
Anvisieren von ESXi-Umgebungen
TargetCompany führt nun Virtualisierungsserver ein, um mehr Schäden und Unterbrechungen zu verursachen.
Die Variante kann bestimmen, ob eine Maschine in einer VMware ESXi-Umgebung läuft. Wenn das System im ESXi-Hypervisor von VMware ausgeführt wird, werden Dateien mit den folgenden Erweiterungen verschlüsselt: vmdk, vmem, vswp, vmsn, vmx und nvram. Die Variante aktualisiert die verschlüsselten Dateien mit „.locked“ und legt eine Lösegeldnotiz ab.
Shell-Skript-Ausführung
Die Untersuchung von Trend Micro (öffnet sich in einer neuen Registerkarte) in die Nutzdaten ergab, dass ein Shell-Skript sowohl zum Herunterladen als auch zum Ausführen der Ransomware-Nutzdaten verwendet wird. Das Skript ist speziell für die Ausführung dieser Variante maßgeschneidert. Dieses Skript ist auch in der Lage, Daten auf einen Server zu exfiltrieren.
Wie bereits erwähnt, sendet diese Variante gestohlene Daten an zwei verschiedene Server, von denen Forscher glauben, dass sie zu Redundanzzwecken dienen. Das Skript löscht dann die TargetCompany-Payload.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
TargetCompany scheint Linux-Umgebungen (öffnet sich in einer neuen Registerkarte) zu folgen, um seinen Zielpool zu erhöhen. Gleichzeitig exfiltriert TargetCompany Daten auf zwei verschiedene Server, um die Erfolgschancen zu verbessern – wahrscheinlicher als Backup-Server, falls einer kompromittiert wird oder nicht verfügbar wird. Dies könnte als Reaktion auf die erhöhte Anzahl von Maßnahmen zur Bekämpfung von Strafverfolgungsbehörden erfolgen, die in den letzten Monaten stattgefunden haben.
2. LilacSquid zielt auf mehrere Sektoren ab
Ein bisher nicht dokumentierter Spionageakteur, der jetzt als LilacSquid verfolgt wird (wird in einer neuen Registerkarte geöffnet), wird mit mehreren Angriffen in den USA, Europa und Asien verknüpft.
Die LilacSquid-Kampagne (wird in einer neuen Registerkarte geöffnet) versucht, einen langfristigen Zugriff mit dem Ziel zu etablieren, relevante Daten zu stehlen. Die Angriffe verwenden ein Open-Source-Remote-Management-Tool zusammen mit einer angepassten Version von QuasarRAT, nachdem sie gefährdete Anwendungsserver gefährdet oder kompromittierte RDP-Anmeldedaten verwendet haben.
Was ist LilacSquid?
Es wird davon ausgegangen, dass dieser auf Spionage ausgerichtete Bedrohungsakteur seit mindestens 2021 aktiv ist und tendiert dazu, das Langspiel zu spielen, was einen langfristigen Zugriff auf Datendiebstahl ermöglicht.
- Cisco Talos hat mindestens drei erfolgreiche Kompromisse durch diesen Bedrohungsakteur gemeldet.
- Für den ersten Zugriff nutzt dieser Akteur entweder Schwachstellen aus oder verwendet kompromittierte RDP-Zugangsdaten.
- Nach Erhalt des Zugriffs verwendet der Akteur eine Open-Source-Fernverwaltungsanwendung, MeshAgent, und eine benutzerdefinierte QuasarRAT-Variante, die als PurpleInk verfolgt wird.
Infektionsketten von LilacSquid
Die erste LilacSquid-Infektionskette beginnt mit der Ausnutzung einer vulnerablen Web-App, während die zweite mit der Verwendung von kompromittierten RDP-Zugangsdaten beginnt.
In beiden Fällen führt eine erfolgreiche Kompromittierung zur Bereitstellung von Dual-Use-Tools wie MeshAgent, SSF, InkLoader und PurpleInk, einer stark angepassten Version von QuasarRAT. PurpleInk befindet sich seit 2021 in aktiver Entwicklung und hat sich zu eigener Malware weiterentwickelt. Die Malware ist verschleiert und verfügt über viele RAT-Funktionen, einschließlich der Fähigkeit, Prozesse aufzuzählen und Daten an den C2 zu senden, einen Prozess zu beenden, eine neue Anwendung auszuführen, Laufwerksinformationen abzurufen, ein bestimmtes Verzeichnis aufzuzählen, eine Datei zu lesen, die durch einen C2 spezifiziert ist, und dann den Inhalt zu exfiltrieren und Inhalt zu einer bestimmten Datei zu ersetzen oder anzuhängen.
Die Malware hat auch mehrere Möglichkeiten, mit ihren Proxyservern zu kommunizieren, wie z. B. die Verbindung zu einem neuen Server, das Senden von Daten an einen neuen oder bestehenden Proxyserver, das Trennen und Empfangen von Daten von einem anderen verbundenen Proxyserver und deren Verarbeitung.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Die Verwendung von MeshAgent durch LilacSquid überschneidet sich mit einem anderen nordkoreanischen Bedrohungsakteur namens Andariel, der eine Untergruppe innerhalb der Lazarus Group ist. Andere Überschneidungen in TTPs mit dieser Gruppe führen sicherlich zu einer Augenbraue, aber es wurde noch keine definitive Verbindung hergestellt. Die Lazarus Group hat jedoch zuvor große Lieferkettenangriffe (Öffnungen in einer neuen Registerkarte) wie 3CX durchgeführt, die aufgrund ihres unbefugten langfristigen Zugriffs ermöglicht wurden.
Das Ziel von LilacSquid, den langfristigen Zugang aufrechtzuerhalten, könnte sich über Spionagebemühungen hinaus erweitern und „Möglichkeiten für Lieferkettenkompromittierungen eröffnen“.
3. DarkGate Malware ersetzt AutoIt bei den neuesten Angriffen durch AutoHotkey
Laut Trellix (öffnet sich in einer neuen Registerkarte) beginnen Angriffe, die DarkGate-Malware (öffnet in einer neuen Registerkarte) nutzen, sich von AutoIt-Skripten zu entfernen und zu einem AutoHotkey-Toolkit zu wechseln, um die endgültige Nutzlast auszuführen.
Ein tieferer Einblick in Kampagnen mit dieser neuen Technik hat auch einige Server aufgedeckt, die sowohl DarkGate- als auch PikaBot-Proben hatten, was darauf hindeutet, dass der Autor einen als Backup für den anderen nutzen könnte.
Der Entwickler von DarkGate MaaS, RastaFarEye, wurde Ende 2023 aufgrund mehrerer Beschwerden über die Angebote von mehreren Untergrundforen ausgeschlossen. Trotzdem wurde DarkGate Malware weiterhin verbreitet und in freier Wildbahn beobachtet. RastaFarEye soll andere Moniker übernommen haben, um sein Angebot zusammen mit neuen Produkten weiter zu verkaufen.
Ausführungskette von DarkGate
DarkGate-Kampagnen ändern sich häufig, um sich an die sich ändernde Bedrohungslandschaft anzupassen. Zum Beispiel hat die Malware zuvor das Laden von AutoIt3 oder DLL-Seiten genutzt, um die endgültige Nutzlast bereitzustellen. In neueren Kampagnen nutzt die Malware AutoHotkey, einen Skriptinterpreter, um die Malware in drei Phasen zu starten:
- Die erste Phase des Angriffs variiert von jeder Kampagne. In den neuesten Kampagnen verwendet der Akteur Phishing-E-Mails mit Excel- oder HTML-anhängenden Dokumenten, die das Opfer ermutigen, auf eine Schaltfläche zu klicken, die ein VBScript-Makro herunterladen wird.
- Die zweite Phase ist das VBScript, das nur vier Zeilen echten Codes enthält, die für die Ausführung eines PowerShell-Befehls verantwortlich sind.
- Die dritte Phase ist das PowerShell-Skript, das für das Herunterladen von drei Dateien verantwortlich ist: der legitime AutoHotkey-Interpreter, ein AutoHotkey-Skript und eine Klartextdatei. Diese Dateien sind für den Erhalt der DarkGate-Payload verantwortlich.
Über DarkGate v6
DarkGate v6 hat das größte Update seit der vierten Version erhalten, mit Änderungen an der Konfiguration, Umgehungstechniken und unterstützten Befehlen. Die größte Änderung ist die Umstrukturierung des gesamten Hauptcodes und wie die Befehle verarbeitet werden.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
DarkGate-Malware entwickelt sich weiter und hält mit sich ändernden Trends Schritt, wie die Verlagerung von AutoIt zeigt.
Interessant ist, dass diese Kampagnen immer noch auf der manuellen Interaktion eines Benutzers basieren, damit Makros innerhalb eines Dokuments die Infektionskette starten können. Während sich also die Malware selbst entwickeln kann, scheint die Angriffskette – oder zumindest der anfängliche Zugriff – hinter sich zu sein.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium (öffnet sich in einer neuen Registerkarte), um eine Konversation zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber- Bedrohungen (öffnet sich in einer neuen Registerkarte).
