In der Zusammenfassung dieser Woche befasst sich CTI mit einem Tool namens „Xeon Sender“, das mittlerweile für SMS- -Phishing- - und Spam-Kampagnen eingesetzt wird. Anschließend untersucht CTI die neueste Infrastruktur einer Gruppe staatlich geförderter nordkoreanischer Akteure, die unter der Bezeichnung UAT-5394 erfasst wurde. Schließlich untersucht CTI eine groß angelegte Erpressungskampagne, bei der öffentlich zugängliche Umgebungsvariablendateien (.env) ausgenutzt werden, die Anmeldedaten für Cloud- und Social-Media-Anwendungen enthalten.
1. Xeon Sender zielt auf Cloud-APIs ab
Kürzlich wurde festgestellt, dass ein Angreifer ein Cloud-Angriffstool namens „ “ („Xeon Sender“, ) im Rahmen von SMS-Phishing- und Spam-Kampagnen einsetzte.
Xeon Sender – auch bekannt als XeonV5 und SVG Sender – ermöglicht es Angreifern, mithilfe gültiger Anmeldedaten Nachrichten über verschiedene SaaS-Anbieter zu verbreiten. Das Tool nutzt mehrere Dienstanbieter, darunter Amazon Simple Notification Service (SNS), Nexmo, Plivo, Proovl, Send99, Telesign, Telnyx, TextBelt und Twilio.
Xeon Sender gibt es bereits seit mindestens 2022 und wird derzeit über Telegram verbreitet. Eine weitere Version wird auf einem Webserver mit einer grafischen Benutzeroberfläche bereitgestellt, wodurch auch weniger erfahrene Nutzer auf das Tool zugreifen und es nutzen können.
So funktioniert Xeon Sender
Laut Sentinel One verfügt Xeon Sender über eine einfache Befehlszeilenschnittstelle (CLI), die es dem Angreifer ermöglicht, über APIs mit dem Dienst zu kommunizieren und Angriffe mit geringem Aufwand durchzuführen. Damit der Akteur das Tool nutzen kann, muss er über die entsprechenden API-Schlüssel für den jeweiligen Dienst verfügen.
Jeder Anbieter benötigt vom Betreiber oder Akteur mehrere Angaben, darunter den API-Schlüssel, den geheimen Schlüssel, die AWS-Region für AWS SNS, die Kunden-ID für Telesign, die Absender-ID, den Nachrichteninhalt sowie eine Liste der Zielrufnummern, die in einer Textdatei gespeichert ist. Diese Werte werden in einer API-Anfrage an den betreffenden Dienst verwendet. Das Skript durchläuft die Textdatei mit den Telefonnummern so lange, bis jede Telefonnummer abgearbeitet wurde, wobei zwischen jeder Iteration der Schleife eine Pause von 50 Millisekunden eingelegt wird.
Verwandte Dienstprogramme
Xeon Sender bietet neben den verschiedenen Methoden zum Versenden von SMS noch weitere zugehörige Dienstprogramme. Beispielsweise überprüfen Tools zur Kontoüberprüfung die Anmeldedaten für Nexmo- und Twilio-Konten. Darüber hinaus verfügt es über einen Telefonnummerngenerator, der mithilfe von Python eine Nummer einer vorgegebenen Länge generiert. Zudem verfügt es über einen Telefonprüfer, der eine Telefonnummer anhand der Nummernüberprüfungs-API von APILayer[.]com überprüft, um sicherzustellen, dass die Nummer gültig ist.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieses Tool nutzt legitime Dienste, um Massenvorgänge durchzuführen, was die Erkennung erschwert.
Die Nutzung legitimer Dienste nimmt derzeit stark zu, wobei verschiedene Ransomware- und Malware-Varianten legitime Dienste missbrauchen, um einer Entdeckung zu entgehen.
2. Cisco Talos enthüllt die Infrastruktur von UAT-5394
Cisco Talos veröffentlicht Einzelheiten zu einer Infrastruktur, von der angenommen wird, dass sie von einer staatlich geförderten nordkoreanischen Akteursgruppe genutzt wird, die unter den Bezeichnungen „ “, „UAT-5394“ und „“ erfasst wurde.
Die Infrastruktur steht in Verbindung mit einer Kampagne, bei der eine Variante der XenoRAT-Malware namens MoonPeak zum Einsatz kommt. Der Akteur nutzt virtuelle Maschinen, um die Malware vor dem Einsatz zu testen, und hat sich kürzlich von der Nutzung legitimer Cloud-Dienste abgewandt.
UAT-5394-Infrastruktur
Bei der Kartierung der Infrastruktur der Kampagne entdeckten die Forscher eine Handvoll neuer Server. Die Infrastruktur umfasst Fernzugriffsmöglichkeiten und C2 Server, Standorte zum Hosten von Nutzdaten sowie virtuelle Maschinen zum Testen der Malware vor deren Verbreitung.
Abkehr von Cloud-Diensten
Laut Cisco Talos nutzt der Angreifer keine legitimen Cloud-Speicheranbieter mehr, um seine Schadcode-Payloads zu hosten. Im Juni begann das Unternehmen, eigene Server und Systeme zu nutzen. Cisco Talos geht in seinem Bericht auf viele der bei dem Angriff genutzten Server ein – für alle, die an weiteren technischen Details interessiert sind.
Virtuelle Maschinen für Testzwecke
Ein Teil der neuesten Infrastruktur dieses Akteurs umfasst virtuelle Maschinen, die über öffentliche IP-Adressen gehostet werden. Es wurde beobachtet, dass diese über Ports, die in der Malware selbst konfiguriert sind, Verbindungen zu verschiedenen MoonPeak- C2 -Servern herstellen.
Cisco Talos stellte fest, dass zwei virtuelle Maschinen verwendet wurden, um MoonPeak-Infektionen über die Ports 9966, 9936, 8936 und 9999 zu testen. Ein dritter Rechner wurde ebenfalls zum Testen von Infektionen verwendet, erfüllte jedoch einen doppelten Zweck und diente zudem dazu, über RDP auf C2 Server zuzugreifen. Dies ist eine eher seltene Technik.
Entwicklung der MoonPeak-Malware
Auf der Grundlage seiner Analyse aktueller MoonPeak-Proben kam Cisco Talos zu dem Schluss, dass sich die Malware im Laufe der Zeit weiterentwickelt hat.
Diese Entwicklung steht im Einklang mit der neuen Infrastruktur und den Tests, die über virtuelle Maschinen durchgeführt werden. Jede neue Variante der Malware weist ein etwas höheres Maß an Verschleierung sowie geringfügige Abweichungen in der Kommunikation auf.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die wichtigste Erkenntnis ist, dass der Akteur davon abgegangen ist, Schadcode bei seriösen Cloud-Speicheranbietern zu hosten, und nun Server und Systeme nutzt, die er selbst kontrolliert. Diese Entwicklung steht im Gegensatz zu dem, was Sicherheitsforscher in der gesamten Bedrohungslandschaft beobachtet haben. Immer mehr Akteure scheinen in ihren Kampagnen legitime Cloud-Dienste zu nutzen, um sich unauffällig zu verhalten und einer Entdeckung zu entgehen.
Derzeit ist unklar, warum der Schauspieler wieder auf traditionelle Moderationsmethoden zurückgreift. Es wird interessant sein zu sehen, ob sich dieser Kurswechsel für diesen Schauspieler als erfolgreich erweist oder ob er erneut einen neuen Weg einschlagen wird.
3. Angreifer nutzen öffentlich zugängliche .env-Dateien aus, um Opfer zu erpressen
Palo Alto hat eine groß angelegte Erpressungskampagne namens „ “ aufgedeckt , die sich öffentlich zugängliche .env-Dateien zunutze macht, die Anmeldedaten für Cloud- und Social-Media-Anwendungen enthalten.
Die Kampagne richtet ihre „ “-Angriffsinfrastruktur innerhalb der AWS-Umgebungen der kompromittierten Organisationen ein und nutzt diese als Ausgangspunkt, um Ziele nach relevanten Daten zu durchsuchen.
Erster Zugang und Erkundung
Diese Kampagne war das Ergebnis offengelegter AWS-IAM-Zugriffsschlüssel, die aus öffentlich zugänglichen .env-Dateien gewonnen wurden. Die Täter erlangten diese Schlüssel, indem sie nach .env-Dateien suchten, die auf unsicheren Webanwendungen gehostet wurden, und nutzten die Schlüssel, um auf die Cloud-Umgebung des Hosts zuzugreifen.
Im Rahmen der Erkundung führte der Angreifer verschiedene API-Aufrufe durch, um so viele Informationen wie möglich über die Umgebung zu sammeln und Dienste zu identifizieren, die ausgenutzt werden konnten, darunter IAM, Security Token Service (STS), S3 und Simple Email Service (SES).
Erweiterung von Berechtigungen
Der Akteur dieser Kampagne erkannte, dass die ursprüngliche IAM-Anmeldeinformation, die für den ersten Zugriff auf die Umgebung verwendet wurde, zwar keinen Administratorzugriff auf alle Cloud-Ressourcen gewährte, jedoch über die Berechtigung verfügte, neue IAM-Rollen zu erstellen und diesen Rollen IAM-Richtlinien zuzuweisen. Auf diese Weise gelang es dem Angreifer, seine Zugriffsrechte innerhalb der Cloud-Umgebungen zu erweitern.
Ausführung
Nach der Ausweitung der Berechtigungen versuchte der Angreifer, zwei verschiedene Infrastruktur-Stacks zu erstellen: einen unter Verwendung von AWS und einen unter Verwendung von AWS Lambda.
Dem Akteur ist es nicht gelungen, eine Sicherheitsgruppe, ein Schlüsselpaar und eine EC2 -Instanz anzulegen. Es gelang ihnen jedoch, mehrere Lambda-Funktionen mit der zuvor erstellten IAM-Rolle zu erstellen.
Impact
Der Angreifer erstellte eine Lambda-Funktion und nutzte diese, um eine Liste von Domains zu durchsuchen und nach falsch konfigurierten und/oder öffentlich zugänglichen .env-Dateien zu suchen. Einige der .env-Dateien enthielten mehrere Variablen, die dem Akteur Informationen über mehrere Dienste innerhalb einer Umgebung lieferten.
Palo Alto klassifiziert die in diesen Dateien identifizierten Zugangsdaten nach Anwendungstyp und hat festgestellt, dass Zugangsdaten für Anwendungen am häufigsten vorkommen. Sie identifizierten mehr als 90 000 einzigartige Kombinationen aus offengelegten Variablen, die Zugriffsschlüssel oder IAM-Anmeldedaten enthielten.
Exfiltration
Abgesehen von der Ausnutzung von .env-Dateien wurde beobachtet, dass der Angreifer mithilfe des Tools „ S3 “ Daten aus S3 Buckets exfiltrierte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne macht deutlich, dass Angreifer ein verstärktes Interesse an Cloud-Umgebungen haben. Interessant ist, dass diese Kampagne keine Sicherheitslücke für den ersten Zugriff ausnutzt, sondern lediglich nach versehentlich offengelegten .env-Dateien in ungesicherten Webanwendungen sucht. Vor diesem Hintergrund haben die Verteidiger die Möglichkeit, sich gegen diesen Angriff zu schützen.
In seinem Beitrag gibt Palo Alto Empfehlungen zur Verringerung des Risikos dieses Angriffs.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
