In der Zusammenfassung dieser Woche stellt CTI eine globale Sicherheitswarnung zu dem mit China in Verbindung stehenden Akteur „ APT40“ vor. Anschließend befasst sich CTI mit einem neuen Akteur im Bereich der Spionage, der unter dem Namen „CloudSorcerer“ verfolgt wird und Organisationen mit Malware angreift, die ihr Verhalten je nach der Umgebung, in der sie ausgeführt wird, anpassen kann. Ebenfalls enthalten ist ein Überblick über „Eldorado“, eine „Ransomware-as-a-Service“ (RaaS)-Operation, die im März ins Rampenlicht trat.
1. APT40 nutzt Sicherheitslücken im Netzwerk zügig aus
Behörden für Cybersicherheit aus Australien, Deutschland, Japan, Neuseeland, Südkorea, dem Vereinigten Königreich und den Vereinigten Staaten haben eine gemeinsame Warnmeldung unter der Kennung „“ veröffentlicht, die sich auf die mit China in Verbindung stehende Gruppe „ “ ( APT40) bezieht.
APT40 gibt es schon seit langer Zeit und das Unternehmen hat sich auf eine Vielzahl von Branchen und Ländern spezialisiert. Laut der neuesten Sicherheitswarnung unter APT40 können neu entdeckte Sicherheitslücken schnell ausgenutzt werden – oft bereits innerhalb von Stunden oder Tagen nach ihrer Veröffentlichung.
In dem Bericht werden die Vorgehensweisen detailliert beschrieben, die in australischen Netzwerken beobachtet wurden. Die Gruppe führt regelmäßig Erkundungsmaßnahmen gegen Netzwerke durch, die für sie von Interesse sind, um nach einer Angriffsmöglichkeit zu suchen.
Bemerkenswerte TTPs
- APT40 nutzt in der Regel kompromittierte Geräte als operative Infrastruktur und als „Last-Hop“-Umleiter für Operationen in Australien und vermutlich auch an anderen Orten.
- Die Gruppe hat es häufig auf Geräte für kleine Büros und Heimbüros (SOHO) abgesehen, die das Ende ihrer Lebensdauer erreicht haben oder für die keine Patches mehr bereitgestellt werden und sich daher gut für die Ausnutzung von Sicherheitslücken eignen.
- Nachdem der Angreifer das Gerät kompromittiert hat, nutzt er es, um Angriffe zu starten und sich im legitimen Datenverkehr zu tarnen.
Zwei Fallstudien
Die gemeinsame Empfehlung enthält zwei Fallstudien, die die APT40’s -Fähigkeiten veranschaulichen.
- Fallstudie 1 „“: Die Sicherheitsbehörden untersuchten einen erfolgreichen Angriff aus dem Jahr 2022 , der die Vorgehensweise des Angreifers verdeutlicht.
In diesem Beispiel wurde beobachtet, wie der Angreifer Hosts auflistete, um eine eigene Karte des Netzwerks zu erstellen, Web-Shells einsetzte, um Befehle auszuführen, und zusätzliche Tools installierte. APT40 bewegte sich lateral durch das Netzwerk, was durch die relativ flache Struktur des Netzwerks erleichtert wurde.
- Case study 2: The advisory also looked at an additional APT40 attack in which an organization identified malicious software on one of their internet-facing servers that served as a login portal for their remote access solution.
APT40 erfasste Hosts, Ausnutzung von Anwendungen mit Internetanbindung, Einsatz von Web-Shells, Ausnutzung von Software-Schwachstellen sowie das Sammeln von Anmeldedaten, um eine weitere laterale Bewegung zu erreichen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
APT40 kann dank seiner regelmäßigen und routinemäßigen Netzwerkaufklärungsmaßnahmen neue Sicherheitslücken schnell ausnutzen.
Möglicherweise verfügt die Gruppe über eine Liste von Opfern, auf die sie es abgesehen hat, anstatt eher opportunistisch vorzugehen – was bei der Ausnutzung von Sicherheitslücken häufig der Fall ist.
APT40’s Die Fähigkeit, einen Proof-of-Concept für eine Sicherheitslücke zu nutzen und diesen innerhalb eines so kurzen Zeitraums erfolgreich in der Praxis einzusetzen, unterstreicht die Raffinesse dieser Gruppe.
2. Die APT-Gruppe „CloudSorcerer“ nimmt russische Organisationen ins Visier
Ein neuer Akteur im Bereich der Spionage, der unter den Bezeichnungen „ “ und „CloudSorcerer“ verfolgt wird, greift derzeit aktiv Organisationen mit Malware an, die ihr Verhalten je nach der Umgebung, in der sie ausgeführt wird, anpassen kann.
Die Gruppe „CloudSorcerer“ zielt derzeit in erster Linie auf russische Organisationen ab und stützt sich bei ihren Command-and-Control-Operationen in hohem Maße auf öffentliche Cloud-Dienste.
Was ist CloudSorcerer?
Dieser Schauspieler wurde erstmals in „ Mai 2024“ entdeckt. Die Gruppe betreibt Überwachung, Datenerfassung und Datenexfiltration über Dienste wie Microsoft Graph, Yandex Cloud und Dropbox. Es ist bekannt, dass der Akteur diese Public-Cloud-Dienste für sein Projekt „ C2 “ nutzt und über APIs unter Verwendung von Authentifizierungstoken darauf zugreifen wird.
Laut SecureList muss die Malware vom Angreifer manuell auf einem bereits infizierten Rechner ausgeführt werden. Ihre Funktion hängt davon ab, in welchem Prozess sie ausgeführt wird. Bei der Ausführung ruft das Programm eine Funktion auf, um festzustellen, in welchem Prozess es ausgeführt wird. Der zurückgegebene Prozessname wird mit einer fest programmierten Reihe von Zeichenfolgen verglichen, und die Malware aktiviert je nach Ergebnis dieses Vergleichs eine andere Funktion.
Lautet der Prozessname „mspaint.exe“, fungiert die Schadsoftware als Hintertür, sammelt Daten und führt Code aus. Sollte sich herausstellen, dass der Prozessname „msiexec.exe“ lautet, startet die Malware ihr Kommunikationsmodul „ C2 “. Enthält der Prozessname die Zeichenfolge „browser“ oder stimmt er nicht mit einer bestimmten Zeichenfolge überein, wird versucht, Shellcode in „msiexec.exe“, „mspaint.exe“ oder „explorer.exe“ einzuschleusen, bevor der ursprüngliche Prozess beendet wird.
Das Backdoor-Modul von CloudSorcerer
Das Backdoor-Modul sammelt Informationen über den Rechner, speichert diese und schreibt sie in eine Named Pipe, die mit dem C2 verbunden ist. Es liest eingehende Daten und führt entsprechend eine Aktion aus. Zu den Aktionen, die es ausführen kann, gehören unter anderem das Erfassen zusätzlicher Informationen, die Ausführung von Shell-Befehlen sowie das Kopieren, Verschieben, Umbenennen und Löschen von Dateien.
Es kann zudem weitere Aufgaben ausführen, wie beispielsweise das Leeren des DNS-Caches, das Erstellen von Prozessen, das Löschen von Registrierungsschlüsseln, das Auflisten von Freigaben, das Löschen von Benutzern, das Auflisten von RDP-Verbindungen und vieles mehr.
Das Modul „ C2 “ von CloudSorcerer
Das Modul C2 erstellt eine neue Windows-Pipe und richtet eine Verbindung zum Server C2 ein. Zu diesem Zweck übergibt es Argumente an eine Reihe von Windows-API-Funktionen. Der Server C2 ist eine GitHub-Seite und wird von der Malware in einen Speicherpuffer geladen. Der Schauspieler versucht zudem, Daten von einer russischen Cloud-basierten Foto-Hosting-Website abzurufen. Dieses Modul wird mit Cloud-Diensten interagieren, um Daten auszulesen, Befehle zu empfangen, diese zu entschlüsseln und an das Backdoor-Modul weiterzuleiten.
Infrastruktur
Es wurde beobachtet, dass der Schauspieler neben der GitHub-Seite und der russischen Cloud-basierten Foto-Hosting-Website auch Yandex Cloud, Microsoft Graph und Dropbox-Cloud-URLs nutzt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
CloudSorcerer springt auf den Cloud-Zug auf, indem es öffentliche Cloud-Dienste beispielsweise für „ C2“ nutzt. Dies ist derzeit ein weit verbreitetes Thema in der gesamten Bedrohungslandschaft.
Der Unterschied besteht darin, dass die Malware manuell ausgeführt wird und erst dann, wenn ein Rechner bereits infiziert ist. Es scheint nicht viele Informationen darüber zu geben, wie dieser Akteur Zugriff auf einen kompromittierten Rechner erhält.
Dennoch zeugt der Einsatz von Malware, die ihre Hauptfunktion und ihren Zweck anhand des Prozesses bestimmt, in dem sie ausgeführt wird, von einem gewissen Maß an Raffinesse.
3. Eldorado stellt eine Bedrohung für Windows- und Linux-Systeme dar
Eldorado ist eine neue „ “-Ransomware-as-a-Service-Initiative (RaaS) , die im März ins Rampenlicht trat, als sie in Untergrundforen Beiträge veröffentlichte, um Pentester für ihr Team zu rekrutieren. Es gibt eine Windows- und eine Linux-Variante, und seit seinem Auftreten hat es bereits 16 Opfer in verschiedenen Branchen gefordert.
Die Entstehung von Eldorado
Ein Nutzer mit dem Pseudonym „$$$“ im Untergrundforum „RAMP“ richtete Mitte des JahresMärz 2024 ein Partnerprogramm für die Ransomware „Eldorado“ ein.
Aus den Beiträgen dieses Nutzers geht hervor, dass der Schauspieler Russisch spricht. Um eine Ransomware-Datei zu erstellen, müssen die Partner den Namen des Zielunternehmens, den Dateinamen und den Text für die Lösegeldforderungen sowie das Administrator-Passwort für die Domäne angeben.
Das in Singapur ansässige Cybersicherheitsunternehmen „ “ (Group-IB, ) konnte einen Verschlüsseler beschaffen und berichtete, dass dieser für die Versionen „esxi“, „esxi_64“, „win“ und „win_64“ verfügbar ist.
Zielauswahl und Viktimologie
Die Ransomware „Eldorado“ hat mindestens 16 Unternehmen aus verschiedenen Branchen ins Visier genommen. Dreizehn der 16 Anschläge ereigneten sich in den USA, zwei in Italien und einer in Kroatien.
Technische Details
Der Verschlüsseler wurde in Golang geschrieben, sodass er plattformübergreifend einsetzbar ist. Alle Dateien, die von Eldorado verschlüsselt werden, erhalten die Endung .00000001 .
Die Ransomware hinterlässt eine Lösegeldforderung, die in den Ordnern „Dokumente“ und „Desktop“ abgelegt wird. Darin wird das Opfer angewiesen, über eine bestimmte URL Kontakt mit dem Täter aufzunehmen, um einen Live-Chat zu führen.
Die Windows-Variante von Eldorado
Die Windows-Variante von Eldorado unterstützt mehrere Befehlszeilenparameter. Bei der von Group-IB analysierten Stichprobe stellte man fest, dass einige Protokolle über WebSockets an eine bestimmte IP-Adresse gesendet wurden. Zur Verschlüsselung verwendet die Ransomware den Algorithmus „ Chacha20 “ für Dateien und „RSA-OAEP“ für den generierten Schlüssel.
Für jede betroffene Datei generiert das Programm einen 32-Byte-Schlüssel und einen 12-Byte-Nonce, die beide mit RSA-OAEP verschlüsselt werden. Die Ransomware führt einen PowerShell-Befehl aus, um das Verschlüsselungsprogramm zu überschreiben, und löscht anschließend die Datei, um Spuren ihrer Aktivitäten zu beseitigen. Außerdem werden dadurch Schattenkopien von Volumes entfernt. Die Ransomware schließt bestimmte Dateiendungen wie .00000001, .exe, .dll, .sys, .msi, .ini, .inf und .lnk aus.
Die Linux-Variante von Eldorado
Der Linux-Verschlüsseler unterstützt lediglich das Argument „-path“ und ist recht einfach aufgebaut. Das Programm durchläuft rekursiv die Dateien eines angegebenen Verzeichnisses. Der Verschlüsselungsalgorithmus dieser Variante entspricht dem der Windows-Variante.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Laut Group-IB zeichnet sich Eldorado insbesondere dadurch aus, dass es nicht auf bereits bekannt gewordene Builder wie Babuk oder LockBit zurückgreift.
Es tauchen recht häufig neue Ransomware-Varianten auf, doch viele davon orientieren sich an diesen durchgesickerten Buildern. Der Entwickler von Eldorado hat offensichtlich mehr Zeit und Mühe in die Ransomware investiert und sich dafür entschieden, sie von Grund auf neu zu entwickeln.
Dies, zusammen mit der Tatsache, dass es bereits eine Windows- und eine Linux-Variante der Ransomware gibt, sowie der Tatsache, dass sie bereits mehrere Opfer gefordert hat, macht Eldorado zu einer noch größeren Bedrohung.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
