Im Roundup dieser Woche analysiert CTI eine ausgeklügelte Malware-Kampagne, die Malware mithilfe der in HTML-Code eingebetteten Windows-Suchfunktionalität bereitstellt. Als nächstes untersucht CTI den Remcos RAT-Downloader, der über komprimierte UUE-Dateien verteilt wird. Schließlich untersucht CTI, ob ein Ransomware-Betrieb von Black Basta eine Windows-Privilegseskalationsschwachstelle ausgenutzt hat.
1. Malware nutzt Windows-Suchfunktionalität in HTML
Eine ausgeklügelte Malware-Kampagne nutzt die Windows- Suchfunktion (öffnet sich in einer neuen Registerkarte) innerhalb von HTML-Code, um Malware bereitzustellen.
Laut Trustwave scheint der Akteur hinter der Kampagne ein ausgereiftes Verständnis von Systemschwachstellen und Benutzerverhalten zu haben, was es ihm ermöglicht, eine fortschrittlichere Phishing-Kampagne durchzuführen.
Diese Kampagne beginnt mit einer Phishing-E-Mail (öffnet sich in einer neuen Registerkarte), die einen HTML-Anhang enthält. Die HTML-Datei ist in einem ZIP-Archiv eingeschlossen, um traditionellere E-Mail-Sicherheitsscanner zu umgehen.
Trustwave stellt fest, dass dies bisher eine Kampagne mit geringem Volumen war, wobei Forscher nur wenige Fälle in der Wildnis beobachten.
Der HTML-Anhang
Der HTML-Anhang erscheint zunächst einfach, ist aber darauf ausgelegt, einen ausgeklügelten Angriff zu starten.
Wenn das Opfer die Datei öffnet, verwendet es Standard-Webprotokolle, um Windows-Systemfunktionen auszunutzen. Der Code enthält ein Attribut, das den Browser anweist, die Seite neu zu laden und auf eine neue URL umzuleiten. Der Code enthält auch eine angegebene Verzögerung, die in den meisten Fällen auf Null gesetzt ist, sodass die Umleitung sofort erfolgt.
Die HTML enthält auch ein Anker-Tag, das als Fallback-Mechanismus dient. Wenn die Aktualisierung nicht ausgeführt werden kann, kann der Benutzer weiterhin auf einen Link klicken, um den Rest der Kette manuell aufzurufen.
Ausnutzung des Suchprotokolls
Sobald der HTML-Code geladen ist, wird der Browser den Benutzer normalerweise auffordern, die Suchaktion zuzulassen.
Es gibt Sicherheitsmaßnahmen, um zu verhindern, dass unbefugte Befehle bestimmte schädliche Operationen ohne die Zustimmung des Benutzers ausführen. In diesem Fall nutzt die Umleitungs-URL das Protokoll „Suchen:“, das es einer Anwendung ermöglicht, mit der Suchfunktion von Windows Explorer zu interagieren.
Nachdem der Benutzer geklickt hat, um die Suchaktion zuzulassen, erhält die Funktion mehrere Dateien von einem Remote-Server – von denen nur eine in den Suchergebnissen angezeigt wird. Diese Datei ist eine LNK-Datei, die auf ein Batch-Skript auf demselben Server verweist, das zusätzliche bösartige Operationen auslöst. Forscher konnten dieses Batchskript nicht erhalten.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dieser Angriff erfordert die Interaktion von Opfern, was hoffentlich seinen Erfolg einschränkt.
Eine Sache, die Sie bei diesem Angriff beachten sollten, ist, dass er einen verzögerten Start von Null verwendet, was bedeutet, dass die Seite sofort umleitet und dem Benutzer nicht viel Zeit gibt, zu reagieren. Dieses Attribut könnte in Zukunft für verzögerte Umleitungen geändert werden.
2. Remcos RAT verteilt sich über UUE-Dateien
Der Remcos RAT-Downloader (wird in einer neuen Registerkarte geöffnet) wird über UUE-Dateien verteilt, die mit Power Archiver komprimiert werden. Die Malware, die weiterhin über Phishing-E-Mails bereitgestellt wird, fügt jetzt bösartige UUE-Dateien an einen rechnungsbezogenen Verlockungspunkt an.
Über die UUE-Methode
Der Akteur findet neue Wege, um ein VBS-Skript zu verteilen, und codiert jetzt das Skript mit dem UUE-Anhang.
UUE steht für Unix-to-Unix-Codierung und wird verwendet, um Daten zwischen Unix-Systemen zu teilen. Eine typische UUE-Datei hat einen Header, codierte Daten und ein Ende.
Der Bedrohungsakteur verwendet UUE, um die Erkennung zu umgehen. Sobald die Akte des Akteurs decodiert ist, wird ein verschleiertes VBS-Skript angezeigt.
Der Downloader
Das resultierende VBS-Skript speichert ein PowerShell-Skript im Temp-Verzeichnis und nennt es „Talehmmedes.txt“
Dieses Skript wird ausgeführt und wird sich an Sie wenden, um „Haartoppens.eft“ herunterzuladen und ein zusätzliches PowerShell-Skript auszuführen. Dieses verschleierte PowerShell-Skript wird hauptsächlich verwendet, um einen Shell-Code in den wab.exe-Prozess zu laden. Der geladene Shellcode erstellt Persistenz durch Hinzufügen einer Registrierung und führt letztendlich Remcos RAT aus.
Die Remcos RAT-Malware selbst scheint keine größeren Änderungen daran vorgenommen zu haben. Er sammelt weiterhin Systeminformationen und speichert sie im %Appdata&-Verzeichnis für die Exfiltration auf seinem C2 -Server.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dieser Schauspieler scheint mehr Zeit und Mühe in die Suche nach neuen Bereitstellungsmechanismen zu investieren, als die tatsächliche Malware zu aktualisieren.
Dieser Ansatz ist intelligent, da der Akteur ihn zunächst unentdeckt in das Netzwerk schaffen kann. Da jedoch keine Änderungen an der Malware selbst vorgenommen werden, wird sie eher von Verteidigern erfasst, insbesondere von denjenigen, die Erkennungen für bekannte Taktiken, Techniken und Verfahren (TTPs) und Indikatoren für Kompromisse (IOCs) haben.
Dennoch ist diese Studie immer noch interessant, da sie UUE-Dateien als neue Bereitstellungsmechanismen hervorhebt.
3. Black Basta nutzt eine Windows-Privilegseskalationsschwachstelle aus
Forscher glauben, dass der Ransomware-Betrieb von Black Basta (eröffnet in einer neuen Registerkarte) möglicherweise eine Windows-Privilegseskalationsschwachstelle ausgenutzt hat, die als CVE-2024-26169 verfolgt wird.
Dieser Fehler, der eine hohe Schweregradbewertung aufweist, wurde potenziell als Nulltag (öffnet sich in einer neuen Registerkarte) vor einem Patch ausgenutzt, der in Microsofts März-Patch-Dienstag-Update verfügbar gemacht wurde.
Was ist CVE-2024-26169?
CVE-2024-26169 (wird in einer neuen Registerkarte geöffnet) ist eine Erhöhung eines Privilegfehlers im Windows Error Reporting Service. Wenn ein Schauspieler diese Schwachstelle ausnutzt, kann er seine Privilegien auf SYSTEM erhöhen.
CVE-2024-26169 hat einen hohen CVSS-Score von 7,8, was darauf hindeutet, dass die Schwachstelle schwerwiegend ist.
Ausbeutung
Neue Untersuchungen deuten darauf hin, dass die Cardinal Cybercrime-Gruppe (auch bekannt als Storm-1811, UNC4393 und die Betreiber der Black Basta-Ransomware) die Windows-Schwachstelle ausgenutzt haben könnte.
Die ursprüngliche Meldung der Schwachstelle gab an, dass es keine Hinweise auf Ausbeutung in der Wildnis gab. Die Analyse eines Exploit -Tools, das bei kürzlichen Angriffen verwendet wurde, zeigt jedoch, dass es vor dem Patch kompiliert werden konnte, was bedeutet, dass die Schwachstelle als Nulltag ausgenutzt werden konnte (öffnet sich in einer neuen Registerkarte).
Schwarze Basta-Links
Symantec analysierte ein Exploit-Tool, das kürzlich bei einem versuchten Ransomware-Angriff verwendet wurde. Während der Angriff letztendlich nicht erfolgreich war, konnten Forscher ihn aufgrund der TTPs, die bei dem Angriff verwendet wurden, mit dem Black Basta-Betrieb verknüpfen.
Tool nutzen
Laut Symantec nutzt das Exploit-Tool „die Tatsache, dass die Windows-Datei werkernel.sys beim Erstellen von Registry-Schlüsseln einen Null-Sicherheitsdeskriptor verwendet.“
Das Tool erstellt einen Registrierungsschlüssel und setzt den Wert „Debugger“ auf seinen eigenen ausführbaren Pfadnamen. Dadurch kann der Exploit eine Shell mit administrativen Berechtigungen ausführen.
Die erste Variante des Tools im Angriff hat einen Kompilierungszeitstempel von 27. Februar 2024, mehrere Wochen bevor ein Patch veröffentlicht wurde. Eine zusätzliche Variante des Tools wurde auf Virus Total mit einem Kompilierungs-Zeitstempel von entdeckt 18. Dezember 2023.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Der Black Basta Ransomware-Betrieb hat in den letzten Monaten legitime Microsoft-Produkte wie Quick Assist und Teams missbraucht. In Anbetracht dessen ist es sinnvoll, dass der Schauspieler vor dieser Aktivität versucht hat, einen Nulltag in einem anderen Microsoft-Produkt auszunutzen. Das Exploit-Tool, das von Symantec analysiert wurde, wurde angeblich in einem erfolglosen Angriff verwendet, den wir nicht viel von dieser erfolgreichen Gruppe sehen.
Black Basta hat TTPs historisch relativ schnell geschwenkt (öffnet sich in einer neuen Registerkarte), sodass dieser fehlgeschlagene Versuch wahrscheinlich nur einer von vielen kommen wird.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium (öffnet sich in einer neuen Registerkarte), um eine Konversation zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber- Bedrohungen (öffnet sich in einer neuen Registerkarte).
