In der Zusammenfassung dieser Woche analysiert CTI eine ausgeklügelte Malware-Kampagne, bei der Malware mithilfe der in HTML-Code eingebetteten Windows-Suchfunktion verbreitet wird. Anschließend befasst sich CTI mit dem Remcos-RAT-Downloader, der über komprimierte UUE-Dateien verbreitet wird. Schließlich untersucht CTI, ob eine „Black Basta“-Ransomware-Operation eine Sicherheitslücke in Windows ausgenutzt hat, die eine Ausweitung von Berechtigungen ermöglicht.
1. Malware nutzt die Windows-Suchfunktion in HTML aus
Eine ausgeklügelte Malware-Kampagne nutzt die Windows-Suchfunktion „ “ (wird in einem neuen Tab geöffnet) innerhalb von HTML-Code, um Malware zu verbreiten.
Laut Trustwave scheint der hinter der Kampagne stehende Akteur über fundierte Kenntnisse hinsichtlich Systemschwachstellen und des Nutzerverhaltens zu verfügen, was es ihm ermöglicht, eine ausgefeiltere Phishing-Kampagne durchzuführen.
Diese Kampagne beginnt mit einer Phishing-E-Mail mit dem Betreff „ “ () (wird in einem neuen Tab geöffnet) , die einen HTML-Anhang enthält. Die HTML-Datei ist in einem ZIP-Archiv enthalten, um herkömmliche E-Mail-Sicherheitsscanner zu umgehen.
Trustwave stellt fest, dass es sich bislang um eine Kampagne mit geringem Umfang handelt, wobei Forscher nur wenige Fälle in freier Wildbahn beobachtet haben.
Der HTML-Anhang
Der HTML-Anhang wirkt auf den ersten Blick harmlos, ist jedoch darauf ausgelegt, einen ausgeklügelten Angriff auszulösen.
Wenn das Opfer die Datei öffnet, nutzt das Programm gängige Webprotokolle aus, um Windows-Systemfunktionen zu missbrauchen. Der Code enthält ein Attribut, das den Browser anweist, die Seite neu zu laden und zu einer neuen URL weiterzuleiten. Der Code enthält zudem eine festgelegte Verzögerung, die in den meisten Fällen auf Null gesetzt ist, sodass die Weiterleitung sofort erfolgt.
Der HTML-Code enthält zudem ein Anker-Tag, das als Ausweichlösung dient. Sollte die Aktualisierung fehlschlagen, kann der Benutzer dennoch auf einen Link klicken, um den Rest der Kette manuell auszulösen.
Ausnutzung des Suchprotokolls
Sobald der HTML-Code geladen ist, fordert der Browser den Nutzer in der Regel auf, die Suchaktion zuzulassen.
Es gibt Sicherheitsmaßnahmen, die verhindern sollen, dass unbefugte Befehle bestimmte schädliche Vorgänge ohne Zustimmung des Benutzers ausführen. In diesem Fall nutzt die Weiterleitungs-URL das „search:“-Protokoll, das es einer Anwendung ermöglicht, mit der Suchfunktion des Windows Explorers zu interagieren.
Nachdem der Benutzer auf „Zulassen“ geklickt hat, um die Suchaktion zu autorisieren, ruft die Funktion mehrere Dateien von einem Remote-Server ab – von denen jedoch nur eine in den Suchergebnissen angezeigt wird. Bei dieser Datei handelt es sich um eine LNK-Datei, die auf ein Batch-Skript auf demselben Server verweist, welches weitere böswillige Vorgänge auslöst. Den Forschern ist es nicht gelungen, dieses Batch-Skript zu beschaffen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Angriff erfordert die Mitwirkung der Opfer, was hoffentlich seinen Erfolg einschränken wird.
Ein wichtiger Aspekt dieses Angriffs ist, dass er einen verzögerten Start von Null nutzt, was bedeutet, dass die Seite sofort umgeleitet wird und dem Nutzer kaum Zeit bleibt, zu reagieren. Dieses Attribut könnte in Zukunft im Hinblick auf verzögerte Weiterleitungen geändert werden.
2. Remcos RAT verbreitet sich über UUE-Dateien
Der „ “-Remcos-RAT-Downloader (wird in einem neuen Tab geöffnet) wird über UUE-Dateien verbreitet, die mit Power Archiver komprimiert wurden. Die Malware, die weiterhin über Phishing-E-Mails verbreitet wird, fügt nun schädliche UUE-Dateien an einen Köder im Stil einer Rechnung an.
Über die UUE-Methode
Der Schauspieler sucht nach neuen Möglichkeiten, ein VBS-Skript zu verbreiten, und verschlüsselt das Skript nun mit dem UUE-Anhang.
UUE ist die Abkürzung für „Unix-to-Unix-Kodierung“ und wird zum Austausch von Daten zwischen Unix-Systemen verwendet. Eine typische UUE-Datei besteht aus einem Header, kodierten Daten und einem Ende.
Der Angreifer nutzt UUE, um die Erkennung zu umgehen. Ein verschleiertes VBS-Skript wird sichtbar, sobald die Datei des Angreifers entschlüsselt wird.
Der Downloader
Das daraus resultierende VBS-Skript speichert ein PowerShell-Skript im Verzeichnis „Temp“ und benennt es „Talehmmedes.txt“
Dieses Skript wird ausgeführt und lädt „Haartoppens.eft“ herunter sowie führt ein weiteres PowerShell-Skript aus. Dieses verschleierte PowerShell-Skript dient in erster Linie dazu, einen Shell-Code in den Prozess „wab.exe“ zu laden. Der geladene Shellcode sorgt durch das Hinzufügen eines Registrierungseintrags für Persistenz und führt schließlich Remcos RAT aus.
An der Remcos-RAT-Malware selbst scheinen keine wesentlichen Änderungen vorgenommen worden zu sein. Es sammelt weiterhin Systeminformationen und speichert diese im Verzeichnis „%Appdata&“, um sie an seinen C2 -Server zu übertragen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Akteur scheint mehr Zeit und Mühe in die Suche nach neuen Verbreitungswegen zu investieren als in die Aktualisierung der eigentlichen Malware.
Dieser Ansatz ist insofern clever, als der Angreifer zunächst unbemerkt in das Netzwerk eindringen kann. Da jedoch keine Änderungen an der Malware selbst vorgenommen wurden, ist es wahrscheinlicher, dass sie von den Verteidigern entdeckt wird, insbesondere von jenen, die über Erkennungsmechanismen für bekannte Taktiken, Techniken und Verfahren (TTPs) sowie Indikatoren für eine Kompromittierung (IOCs) verfügen.
Dennoch ist diese Untersuchung interessant, da sie UUE-Dateien als neue Übertragungsmechanismen hervorhebt.
3. „Black Basta“ nutzt eine Sicherheitslücke in Windows aus, die eine Ausweitung von Berechtigungen ermöglicht
Forscher vermuten, dass die Ransomware-Operation „ “ („Black Basta“) (wird in einem neuen Tab geöffnet) möglicherweise eine Windows-Sicherheitslücke zur Rechteausweitung ausgenutzt hat, die unter der Nummer CVE-2024-26169 erfasst wurde.
Diese Sicherheitslücke, die als „hoch“ eingestuft wurde, wurde möglicherweise als Zero-Day-Angriff vom Typ „ “ ausgenutzt: (öffnet in einem neuen Tab) – und zwar noch vor der Veröffentlichung eines Patches im Rahmen des „Patch Tuesday“-Updates von Microsoft im März.
Was ist CVE-2024-26169?
CVE-2024-26169 (wird in einem neuen Tab geöffnet) handelt es sich um eine Sicherheitslücke im Windows-Fehlermeldedienst, die eine Ausweitung von Berechtigungen ermöglicht. Wenn ein Angreifer diese Sicherheitslücke ausnutzt, kann er seine Berechtigungen auf „SYSTEM“ erweitern.
CVE-2024-26169 weist einen hohen CVSS-Wert von 7,8 auf, was darauf hindeutet, dass es sich um eine schwerwiegende Sicherheitslücke handelt.
Ausbeutung
Neueste Forschungsergebnisse deuten darauf hin, dass die Cyberkriminalitätsgruppe „Cardinal“ (auch bekannt als „Storm-1811“, „ UNC4393“ und als Betreiber der Ransomware „Black Basta“) die Windows-Sicherheitslücke möglicherweise ausgenutzt hat.
In der ursprünglichen Meldung zu dieser Sicherheitslücke hieß es, es gäbe keine Hinweise darauf, dass die Schwachstelle in der Praxis ausgenutzt worden sei. Die Analyse eines bei den jüngsten Angriffen verwendeten Exploit-Tools zeigt jedoch, dass dieses möglicherweise bereits vor der Veröffentlichung des Patches kompiliert worden war, was bedeutet, dass die Sicherheitslücke möglicherweise als Zero-Day-Exploit ausgenutzt wurde (öffnet in einem neuen Tab).
Links zu „Black Basta“
Symantec hat ein Exploit-Tool analysiert, das kürzlich bei einem versuchten Ransomware-Angriff zum Einsatz kam. Obwohl der Angriff letztendlich erfolglos blieb, konnten die Forscher ihn aufgrund der dabei angewandten TTPs mit der Operation „Black Basta“ in Verbindung bringen.
Exploit-Tool
Laut Symantec „nutzt das Exploit-Tool die Tatsache aus, dass die Windows-Datei „werkernel.sys“ beim Erstellen von Registrierungsschlüsseln einen Null-Sicherheitsdeskriptor verwendet.“
Das Tool legt einen Registrierungsschlüssel an und setzt den Wert „debugger“ auf den Pfadnamen seiner eigenen ausführbaren Datei. Auf diese Weise kann der Exploit eine Shell mit Administratorrechten ausführen.
Die erste Variante des Tools, die bei dem Angriff zum Einsatz kam, weist einen Kompilierungszeitstempel vom 27. Februar 2024 auf, also mehrere Wochen vor der Veröffentlichung eines Patches. Eine weitere Variante des Tools wurde auf Virus Total entdeckt, deren Kompilierungszeitstempel auf den 18. Dezember 2023 datiert.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Ransomware-Gruppe „Black Basta“ hat in den letzten Monaten legitime Microsoft-Produkte wie „Quick Assist“ und „Teams“ missbraucht. Vor diesem Hintergrund erscheint es plausibel, dass der Angreifer möglicherweise bereits vor dieser Aktion versucht hat, eine Zero-Day-Sicherheitslücke in einem anderen Microsoft-Produkt auszunutzen. Das von Symantec analysierte Exploit-Tool soll bei einem erfolglosen Angriff zum Einsatz gekommen sein, was bei dieser besonders aktiven Gruppe eher selten vorkommt.
Black Basta hat seine Taktiken, Techniken und Verfahren (TTPs) in der Vergangenheit relativ schnell angepasst (wird in einem neuen Tab geöffnet), sodass dieser gescheiterte Versuch wahrscheinlich nur einer von vielen weiteren sein wird.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
