In der Zusammenfassung dieser Woche befasst sich CTI mit einer neuen Malware namens „Cuttlefish“, die auf Router der Enterprise-Klasse für kleine Büros und Heimbüros (SOHO) abzielt. Anschließend untersucht CTI, inwiefern Cyberkriminelle und APTs ein gemeinsames Interesse an Proxy-Anonymisierungsschichten und VPN-Knoten haben. Abschließend untersucht CTI, wie Angreifer Docker-Hub-Repositorys nutzen, um Malware und Phishing-Betrugsversuche vom Typ „ “ zu verbreiten – und wie JFrog und Docker bei den Maßnahmen zur Abwehr dieser Bedrohungen zusammenarbeiten.
1. Die „Cuttlefish“-Malware zielt auf SOHO-Router ab
Eine neue Malware namens „ “ („Cuttlefish“ ) zielt auf SOHO-Router der Unternehmensklasse ab. Die modulare Malware erstellt einen Proxy- oder VPN-Tunnel, um den Datenverkehr über diese Geräte zu überwachen und so Authentifizierungsdaten aus HTTP-GET- und -POST-Anfragen an zu exfiltrieren.
Black Lotus Labs von Lumen Technologies entdeckte diese Aktivitäten, als das Team eine Reihe bösartiger Dateien aufdeckte, die weitere Untersuchungen erforderten. Zwar konnte Black Lotus die Art des Erstzugangs bislang noch nicht ermitteln, doch wurde bestätigt, dass der Angreifer ein Bash-Skript einsetzt, um Informationen zu sammeln, die an seine C2 gesendet werden sollen. Dieses Skript dient dazu, die Cuttlefish-Malware herunterzuladen und auszuführen, die für „alle gängigen Architekturen, die von SOHO-Betriebssystemen verwendet werden“, kompiliert wurde.
Cuttlefish wird einen Paketfilter installieren, um ausgehende Verbindungen bestimmter Ports, Protokolle und IP-Adressen zu überprüfen. Das System überwacht den Datenverkehr und greift nur dann ein, um diesen umzuleiten, wenn es bestimmte Aktivitäten feststellt.
Schädliches Bash-Skript
Das Bash-Skript wird das Gerät durchsuchen, um die Verzeichnisauflistung, den Inhalt von /etc, laufende Prozesse, aktive Verbindungen und vieles mehr zu ermitteln.
Diese Informationen werden in eine Datei komprimiert, die anschließend auf eine vom Akteur kontrollierte Domain hochgeladen wird. Sobald der Upload abgeschlossen ist, wird die Datei vom Gerät gelöscht.
Die Hauptnutzlast des „Cuttlefish“
Wenn diese Datei zum ersten Mal ausgeführt wird, wird sie geöffnet und bindet an Port 61235 , sofern dieser nicht bereits von einem anderen Prozess belegt ist.
Lumen Technologies hat die Datei analysiert und mehrere voreingestellte Parameter identifiziert, darunter das Beenden des alten Agenten, die automatische Auswahl der Schnittstelle auf dem Zielrouter, die Festlegung, ob der Agent als Daemon ausgeführt werden soll oder nicht, und weitere. Die Payload stellt eine sichere Verbindung zum C2 her, über die der Regelsatz heruntergeladen und aktualisiert wird.
Die Malware ist in der Lage, IP-Bereiche auszuspähen und zu kapern, um Anmeldedaten zu erbeuten. Sobald eine Protokolldatei mit gefiltertem Datenverkehr eine bestimmte Größe erreicht, wird sie mit gzip komprimiert und auf den Server C2 hochgeladen. Forscher entdeckten ein Modul, das VPN-Funktionalität auf der Grundlage eines Open-Source-Projekts namens „ n2n“ bereitstellte. Bei anderen Proben wurde eine Proxy-Funktion als Alternative genutzt, um den Datenverkehr über das infizierte Gerät zurückzuleiten.
Die Malware kann Authentifizierungsdaten identifizieren, die mit Diensten wie AliCloud, AWS, Digital Ocean, CloudFlare und BitBucket in Verbindung stehen, da sie einen erweiterten Berkeley-Paketfilter erstellt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Cuttlefish“ ist insofern interessant, als es beim Abhören des Netzwerks gezielt nach bestimmten Cloud-Authentifizierungsdaten sucht und dabei nur die Informationen abzieht, die für es von Interesse sind.
Dieses Interesse an Cloud-Zugangsdaten ist ein zunehmender Trend in der gesamten Bedrohungslandschaft, da sich der Schwerpunkt immer mehr Angriffe zunehmend auf Cloud-Umgebungen verlagert. Lumen Technologies ist der Ansicht, dass das gezielte Angreifen von Netzwerkgeräten sowie das Sammeln von Cloud-Zugangsdaten „darauf abzielt, einen langfristigen, dauerhaften Zugriff auf die betroffenen Ökosysteme zu erlangen“.
2. Nationalstaaten und Cyberkriminelle nutzen kompromittierte Netzwerke gemeinsam
Unter anderem Trend Micro stellt fest, dass sowohl Cyberkriminelle als auch fortgeschrittene APTs ein gemeinsames Interesse an Proxy-Anonymisierung und VPN-Knoten zeigen.
Dieses gemeinsame Interesse ergibt sich aus der Notwendigkeit für die Akteure, ihre Anwesenheit in ihrer Umgebung zu verbergen und eine Entdeckung zu erschweren. Dies führt letztendlich dazu, dass sich böswilliger Datenverkehr, der sowohl mit finanziellen als auch mit Spionagemotiven in Verbindung steht, vermischt.
Ein Beispiel für dieses gemeinsame Interesse ist ein Botnetz von Cyberkriminellen, das kompromittierte Ubiquiti EdgeRouter-Geräte nutzte. Eine APT namens „Pawn Storm“ konnte auf die Bots innerhalb dieses Botnetzes zugreifen und sie für ihre eigenen Spionagekampagnen nutzen. Aus diesem Grund wurden diese kompromittierten Ubiquiti EdgeRouter von verschiedenen Angreifern für verschiedene Zwecke genutzt, die von SSH-Brute-Force-Angriffen über SMB-Reflektoren bei NTLMv2 -Hash-Relay-Angriffen bis hin zum Versand von Spear-Phishing-E-Mails und vielem mehr reichten.
Das oben genannte Botnetz existiert bereits seit 2016 und wurde im Rahmen der Operation „ Januar 2024“ vom FBI zerschlagen. Der Code wurde aktualisiert und erweitert und liegt nun bei Version 20,3. Das Botnetz besteht aus Bash-Skripten, Python-Skripten und schädlichen Linux-Binärdateien wie SSHDoor. Es kann Informationen über den Host abrufen, wie beispielsweise Ordner, Systembenutzer, Rechenleistung, installierte Software, Passwörter und vieles mehr.
Was ist SSHDoor?
Der Begriff „SSHDoor“ bezieht sich auf mit einer Hintertür versehene Versionen von SSH-Servern. Es kann legitime Anmeldedaten stehlen und „unbefugten Zugriff durch Dritte ermöglichen, indem fest codierte Anmeldedaten oder ein SSH-Schlüssel hinzugefügt werden“.
Forscher gehen davon aus, dass der Angreifer „Pawn Storm“ SSHDoor genutzt hat, um Zugriff auf EdgeOS-basierte Router zu erlangen. Die Zerschlagung des Botnetzes durch das FBI hatte erhebliche Auswirkungen auf die Kampagnen von Pawn Storm. Allerdings wurde nicht jeder einzelne EdgeRouter bereinigt.
Ngioweb-Malware auf EdgeOS entdeckt
Trend Micro hat ein weiteres Linux-Botnetz identifiziert, das Malware auf einigen der EdgeRouter ausführte, die von Pawn Storm missbraucht wurden.
Dieses Linux-Botnetz war komplexer und wurde als eine Variante der Ngioweb-Malware identifiziert. Die Bots dieses Botnetzes wurden in einem im Handel erhältlichen Botnetz für Privathaushalte eingesetzt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist üblich, dass Angreifer gemeinsame Interessen und Ziele verfolgen, und es ist nicht ungewöhnlich, dass sie gelegentlich auch die gleiche Infrastruktur nutzen.
Was wir derzeit zunehmend beobachten, ist die Nutzung derselben kompromittierten Router für unterschiedliche Zwecke und Endziele. Dies entwickelt sich allmählich zu einer Art neuem Geschäftsmodell in der Cyberkriminellen-Szene, bei dem Angreifer kompromittierte Router nun gewinnbringend an andere Akteure vermieten und damit die Eintrittsbarriere senken.
3. Angreifer nutzen Docker Hub, um Malware und Phishing-Angriffe zu verbreiten
JFrog und Docker arbeiten gemeinsam an Maßnahmen zur Risikominderung und Bereinigung, nachdem Docker-Hub-Repositorys entdeckt wurden, die zur Verbreitung von Malware und Phishing-Betrug genutzt werden.
Docker Hub hostet derzeit etwa 15 Millionen Repositorys. JFrog stellte fest, dass etwa 19 % dieser Repositorys (2,8 Millionen) schädliche Inhalte enthalten. Die schädlichen Inhalte reichen von Spam über die Werbung für gefälschte Inhalte bis hin zu Malware-Websites, Phishing-Websites und vielem mehr.
Wie Angreifer Docker Hub missbrauchen
Docker Hub ist eine Community-Plattform, auf der Nutzer nach Images suchen können, um ihre Projekte zu unterstützen. Repository-Betreuer können eine Beschreibung sowie zugehörige Dokumentation im HTML-Format hinzufügen, die den Benutzern beim Aufrufen des Repositorys angezeigt wird.
JFrog hat etwa 4,6 Millionen Repositorys ermittelt, die keine Images enthalten und über die Dokumentation des Repositorys hinaus keinen weiteren Inhalt aufweisen. Bei näherer Betrachtung dieser Repositories stellte JFrog fest, dass die meisten davon in böswilliger Absicht hochgeladen worden waren.
Erkennung bösartiger Repositorys
JFrog hat alle Docker-Hub-Repositorys ohne Images erfasst, die in den letzten fünf Jahren veröffentlicht wurden, und dabei einen sprunghaften Anstieg in den Jahren 2021 und 2023 festgestellt. Sie untersuchten die Daten tagsüber genauer und stellten dabei ein Arbeitswochenmuster fest, bei dem an Werktagen mehr Repositories angelegt wurden als an Wochenenden.
JFrog konnte anomale Repositorys in drei Kampagnentypen einteilen (mehr dazu weiter unten). Von den 4,6 Millionen Repositories ohne Bilder konnten sie 2,8 Millionen diesen drei Kampagnentypen zuordnen.
Die drei Kampagnen
Die identifizierten bösartigen Repositories wurden als Teil von drei groß angelegten Kampagnen eingestuft.
- Downloader: Die im Rahmen der Downloader-Kampagne identifizierten Repositories enthielten „automatisch generierte Texte mit SEO-Inhalten, in denen zum Herunterladen von Raubkopien oder Cheats für Videospiele aufgefordert wurde“. In der ersten großen Welle dieser Kampagne gaben die URLs vor, bekannte URL-Kürzer zu sein, und leiteten den Nutzer weiter, wobei sie als Proxy für ein bösartiges CDN fungierten. In der zweiten großen Angriffswelle verwiesen die Repositorien stattdessen auf legitime Ressourcen, die als Weiterleitungen zu bösartigen Quellen dienten.
- E-Book-Phishing: Die Repositorys, die Opfer der E-Book-Phishing-Kampagne wurden, verwandelten Docker Hub im Grunde genommen in eine Bibliothek mit raubkopierten E-Books, in der kostenlose E-Books zum Download angeboten wurden. Obwohl die Aktion als kostenlos angeboten wird, würde der Nutzer aufgefordert werden, seine Kreditkartendaten in ein Formular einzugeben, mit dem Ziel, diese Daten zu stehlen.
- Website-SEO: Diese Kampagne ist weniger klar als die beiden vorherigen. Die Repositories im Rahmen dieser Kampagne sind größtenteils harmlos, es wird jedoch davon ausgegangen, dass sie in böswilliger Absicht hochgeladen wurden. JFrog ist der Ansicht, dass diese als eine Art Stresstest hätten dienen können, bevor umfangreichere Kampagnen durchgeführt wurden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Erkenntnisse verdeutlichen, wie leicht Open-Source-Repositorien für Angriffe auf die Lieferkette genutzt werden können, und unterstreichen erneut, dass ähnliche Aktivitäten wahrscheinlich in verschiedenen Open-Source-Repositorien stattfinden.
Was diese Art von Angriffen besonders lukrativ macht, ist das Vertrauen, das Plattformen wie Docker Hub mitunter entgegengebracht wird. JFrog enthält in seinem Bericht Einzelheiten dazu, wie sich Docker-Images identifizieren lassen, die als „Trusted Content“ gekennzeichnet sind; dies kann dazu beitragen, das Risiko solcher Angriffe zu verringern (wenn auch nicht vollständig zu beseitigen).
Es ist anzumerken, dass Docker Hub die identifizierten bösartigen Repositorys entfernt hat, es jedoch nahezu unmöglich ist, jeden bösartigen Upload routinemäßig zu blockieren.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
