In der Zusammenfassung dieser Woche: Eine Handvoll Angreifer hat eine Suchfunktion implementiert, die es den Opfern erleichtert, durchgesickerte Daten zu finden, und nutzt diese als Mittel zur Erpressung. Darüber hinaus richten sich mutmaßlich von China unterstützte APTs zunehmend gegen Russland. Die Zunahme der QBot-Angriffe wird auf Verbesserungen und neue Angriffstechniken zurückgeführt, die von den seit langem aktiven Entwicklern und Betreibern dieser Malware umgesetzt wurden.
1. Ransomware-Banden ermöglichen es Ihnen nun, ihre gestohlenen Daten zu durchsuchen
Zwei Ransomware-Gruppen und eine Gruppe, die Daten zur Erpressung missbraucht, haben eine neue Strategie eingeführt, um ihre Opfer dazu zu zwingen, den Lösegeldforderungen nachzukommen, damit die gestohlenen Daten nicht von den Angreifern öffentlich bekannt gemacht werden.
Diese Gruppen haben auf ihren Websites zu Datenlecks eine Suchfunktion eingerichtet, die es den Betroffenen und deren Partnern, Kunden oder Aktionären erleichtert, festzustellen, ob die durchgesickerten Daten sensible oder schädliche Informationen über ihre Unternehmen oder Geschäftsbeziehungen enthalten.
Laut , BleepingComputer (wird in einem neuen Tab geöffnet),und könnte die Ransomware-Kampagne „ALPHV/BlackCat“ diesen Trend ausgelöst haben. Letzte Woche haben sie eine durchsuchbare Datenbank veröffentlicht, die Daten enthält, die von Opfern gestohlen wurden, die nicht gezahlt haben.
Eine Ransomware-Bande ermöglicht Ihnen nun die Suche in ihren gestohlenen Daten – @Ionut_Ilascu bleepingcomputer.com/news/security/…
Die Ransomware-Bande machte deutlich, dass sie Repositorien indexiert; dabei wies sie hilfsbereit darauf hin, dass die Suchfunktion am besten funktioniert, wenn Nutzer nach Informationen anhand des Dateinamens oder des Inhalts suchen, von dem bekannt ist, dass er in Dokumenten oder Bildern enthalten ist. Die Ergebnisse stammen aus der Funktion „Sammlungen“ auf der Leak-Website von BlackCat. Und auch wenn hinsichtlich der Genauigkeit dieser Funktion noch Verbesserungsbedarf besteht, stellt diese Fähigkeit zweifellos eine Weiterentwicklung der Erpressungsmethoden der Angreifer dar.
Wenn der Erfolg einer Erpressungsaktion zu einem großen Teil davon abhängt, wie viel Druck auf die Opfer ausgeübt werden kann, stellt die Möglichkeit, den Inhalt gestohlener Daten zu durchsuchen, eine unschätzbare Ergänzung des Instrumentariums dieser Akteure dar. Diese leicht zu implementierende Funktion dürfte sich wahrscheinlich als wichtiges Instrument für Erpressergruppen erweisen, die versuchen, ihre Opfer davon zu überzeugen, für die Löschung der Daten zu zahlen; gleichzeitig könnte sie es den Opfern ermöglichen, weitere Probleme wie Sammelklagen und hohe Geldbußen seitens der Datenschutzbehörden zu vermeiden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Was wir hier beobachten, ist eine weitere natürliche Weiterentwicklung der Vorgehensweise von Cyberkriminellen, die Erpressungsmethoden anwenden und darauf abzielen, den Druck auf ihre Opfer zu erhöhen, damit diese den Lösegeldforderungen nachkommen, wodurch sich die Wahrscheinlichkeit und Häufigkeit erfolgreicher Zahlungen erhöht.“ Das Gleiche konnten wir beim Aufkommen der „Doppel-Erpressung“-Taktik beobachten, und erneut bei der unvermeidlichen Einführung der „Dreifach-Erpressung“-Taktik durch finanziell motivierte Cyberkriminelle.
Es bleibt abzuwarten, ob sich die Umsetzung einer solchen, auf den ersten Blick trivial erscheinenden Taktik für die oben genannten Angreifer als erfolgreich erweisen wird – ebenso wie für jene, die diese Suchfunktion in Zukunft sicherlich übernehmen werden, um mit ihren Konkurrenten Schritt zu halten. Klar ist, dass diese Taktik keine nennenswerten Investitionen erfordert; sollte sie sich also als erfolgreich erweisen, wird sie mit Sicherheit zu einer attraktiven Erweiterung der Datenleck-Websites verschiedener Cyber-Erpresser-Gruppen werden.“
2. Analysen deuten darauf hin, dass Hacker mit Verbindungen zur chinesischen Regierung zunehmend Russland ins Visier nehmen
Hacker im Auftrag von Nationalstaaten, die Verbindungen zur chinesischen Regierung haben – (wird in einem neuen Tab geöffnet) – scheinen zunehmend russische Einrichtungen ins Visier zu nehmen, berichtet Tom Hegel, Senior Threat Researcher bei SentinelOne. Die Motivation hinter den laufenden Aktivitäten ist spionagebezogen, wie sich aus den Zielen dieser Aktivitäten ergibt, die darauf hindeuten, dass es sich um staatlich unterstützte Akteure im Bereich der Cyberbedrohungen handelt, die ein ausgeprägtes „Interesse an Nordostasien, einschließlich Regierungen, kritischer Infrastruktur und anderer privater Unternehmen“ hegen.
Der neueste Beitrag von „ “ @LabsSentinel ist erschienen und beleuchtet die jüngsten Aktivitäten chinesischer APT-Gruppen. Highlights: 🟣 Royal Road Maldocs > RATs (Bisonal) 🟣 RU / PK-Targeting (Regierung + kritische Infrastruktur) 🟣 Vielversprechende Möglichkeiten für Geschäftsausrichtungen
🇨🇳 Neu auf #SentinelLabs! Eine mit China in Verbindung stehende Phishing-Kampagne zielt darauf ab, russische Ziele mit speziell für Spionagezwecke entwickelter Malware zu kompromittieren. Recherchen von @TomHegel sentinelone.com/labs/targets-o… cc: @LabsSentinel #russia #china #cybersecurity #cyberespionage #research #espionage
Hegels Analyse führt die Angriffe auf russische Ziele mit hoher Sicherheit auf eine vom chinesischen Staat unterstützte Cyberspionagegruppe zurück. Zu einem ähnlichen Ergebnis kam auch eine kürzlich veröffentlichte Warnmeldung des ukrainischen CERT (CERT-UA) unter dem Titel „ “ ( ) (wird in einem neuen Tab geöffnet). Bei diesen Angriffen werden Phishing-E-Mails vom Typ „ “ ( ) eingesetzt, um Microsoft Office-Dokumente (MS Word) an die Opfer zu übermitteln, diese auszunutzen und schließlich den Remote-Access-Trojaner (RAT) ihrer Wahl zu installieren, bei dem es sich offenbar um „Bisonal“ handelt – einen RAT, der ausschließlich von chinesischen Angreifern verwendet wird. Bisonal wird seit langem in Spionagekampagnen der „ “ gegen Rüstungsunternehmen (wird in einem neuen Tab geöffnet) in Russland, Japan und Nordasien eingesetzt – und in jüngerer Zeit auch bei Angriffen auf pakistanische Telekommunikationsunternehmen.
Laut SentinelOne lassen sich Chinas jüngste nachrichtendienstliche Ziele gegen Russland in mehreren Kampagnen seit Beginn des Russland-Ukraine-Konflikts beobachten, darunter „ “, „Scarab“ (öffnet in einem neuen Tab), „“, „“, „ “, „Mustang Panda“ (öffnet in einem neuen Tab), „“, „“, „ “, „Space Pirates“ (öffnet in einem neuen Tab), „“, „“ sowie die hier beschriebene Aktivität. SentinelOne geht davon aus, dass es sich hierbei um eine eigenständige chinesische Kampagne handelt, doch Hegel räumt ein, dass eine konkrete Zuordnung zu einem bestimmten Akteur zum gegenwärtigen Zeitpunkt nicht möglich ist. Der Einsatz der Bisonal-RAT ist wahrscheinlich ein Faktor, der dazu beigetragen hat, dass die Forscher von SentinelOne Schwierigkeiten hatten, die Urheberschaft dieser Aktivität zu ermitteln. Chinesische APTs sind dafür bekannt, dass sie Tools und Methoden untereinander austauschen, und die Malware wurde zu verschiedenen Zeitpunkten von einer Vielzahl von China-nahen Akteuren genutzt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„China hat in jüngster Zeit zahlreiche bedeutende Schritte im Cyberbereich unternommen. Wie das „ “ (CTI) kürzlich berichtete – (öffnet in einem neuen Tab) –, betreiben die Kommunistische Partei Chinas (KPCh) und ihre streng kontrollierte Regierung – einschließlich ihrer zahlreichen, gut ausgestatteten APT-Gruppen, die dem chinesischen Ministerium für Staatssicherheit (MSS) und der Volksbefreiungsarmee (PLA) angegliedert sind – offen eine langfristige Kampagne, um die EINZIGE Supermacht der Welt zu werden. Dies beinhaltet die Umsetzung der chinesischen „Ganzstaat“-Strategie – ein wohlklingender Name für eine landesweite Operation, deren Ziel es ist, „weltweit führendes Fachwissen, Technologie, Forschungsergebnisse und wirtschaftliche Vorteile“ aus westlichen Ländern zu entwenden, um Chinas globale Stellung intensiv zu stärken.
China hat nicht gerade die besten Interessen der USA oder ihrer Verbündeten im Sinn. Aus der Sicht eines Beobachters jedoch, der Chinas Cyberaktivitäten und den Ausbau seiner Offensivfähigkeiten seit fast einem Jahrzehnt verfolgt, kann ich mich des Eindrucks nicht erwehren, dass sich ein grundlegender Wandel abzeichnet. Dies zeigt sich an einer Zunahme der auf China bezogenen Warnmeldungen seitens der CISA, des CERT-UA, von MI5 und des FBI.
Vor diesem Hintergrund verfolgt CTI einen proaktiven Ansatz im Hinblick auf den unserer Ansicht nach bevorstehenden Anstieg von Cyberangriffen (höchstwahrscheinlich in Form von Angriffen auf die Lieferkette sowie Angriffen auf MSPs, ISPs und Telekommunikationsunternehmen), die von staatlich verknüpften chinesischen Akteuren ausgehen.“
3. Anstieg der Qakbot-Malware-Angriffe lässt sich auf sich weiterentwickelnde Angriffstechniken zurückführen
Aktuelle Berichte des Sicherheitsforschungsteams „ “ von Zscaler, „Threatlabz“ ( (öffnet in einem neuen Tab) ), beschreiben einen deutlichen Anstieg der Verbreitung der Malware „Qakbot“ (auch bekannt als „QBot“) in den letzten sechs Monaten, den die Forscher auf neue Angriffstechniken und Weiterentwicklungen der Malware zurückführen.
QBot ist seit 14 Jahren eine weit verbreitete Bedrohung geblieben und zeichnet sich durch eine ungewöhnliche Langlebigkeit aus – und das vor dem Hintergrund einer sich ständig wandelnden Cyberbedrohungslandschaft, in der Malware-Familien und Akteure mit geringerer Durchhaltefähigkeit regelmäßig auftauchen, wieder verschwinden und sich unter neuem Namen zurückmelden.
Die von QBot ausgehende Bedrohung ist vor allem auf seinen modularen Aufbau sowie auf die Fähigkeit der Malware zurückzuführen, Informationen zu stehlen und Payloads der nächsten Stufe einzusetzen – häufig in Form von Ransomware; dies ist darauf zurückzuführen, dass QBot bereit ist, lukrative Partnerschaften mit einigen der berüchtigtsten Erpresserbanden der Szene zu pflegen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Tatsache, dass QBot seit über einem Jahrzehnt besteht und offenbar stärker ist als je zuvor (was sich an seinen sich weiterentwickelnden TTPs, der kontinuierlichen Code-Entwicklung und den florierenden Partnerschaften mit einigen der gefährlichsten Ransomware-Operationen der Bedrohungslandschaft zeigt), spricht für sich. Es handelt sich hierbei um eine Malware-Aktion, die von Anfang an als erhebliche Bedrohung eingestuft wurde und entsprechend behandelt werden sollte. Es ist sehr wahrscheinlich, dass viele der Ransomware-Gruppen, die wir mittlerweile kennen und fürchten, nicht annähernd so viel Schaden anrichten würden, wenn sie nicht auf „Vorläufer“-Malware wie QBot oder eine der anderen hochrangigen Malware-Familien angewiesen wären, die eine rasche Ransomware-Infektion ganzer Domänen ermöglichen – in manchen Fällen werden Systeme domänenweit innerhalb weniger Stunden verschlüsselt.“
Weiterführende Literatur: E-Book „Schutz der IT-Angriffsfläche“
Alle Unternehmen sind heutzutage durch gefährliche und sich ständig weiterentwickelnde Cyberbedrohungen gefährdet. CIOs benötigen die entsprechenden Werkzeuge, Prozesse und Mitarbeiter, um sensible Daten vor Cyberkriminellen zu schützen. Doch wie lässt sich die Angriffsfläche im IT-Bereich schützen, während die digitale Transformation vorangetrieben wird? Die Antworten finden Sie in unserem kostenlosen E-Book „ “ (wird in einem neuen Tab geöffnet).
Sehen Sie sich unsere aktuellen Sicherheitsrückblicke an
