Im Bericht dieser Woche: Von Russland unterstützte Kampagnen ( APT29 ) nutzen mittlerweile beliebte Cloud-Speicherdienste wie Google Drive und Dropbox, um einer Entdeckung zu entgehen und Malware zu verbreiten. Zudem zielt die neue CloudMensis-Malware auf macOS-Nutzer sowie auf vertrauenswürdige Cloud-Dienste ab, um C&C-Angriffe (C2) und Datenexfiltration durchzuführen. Außerdem erläutern wir die neue Linux-Malware „Lightning Framework“, die über eine Vielzahl von Funktionen verfügt, mit denen sie Geräte mit einer Hintertür versehen und Rootkits installieren kann.
1. Hacker der Gruppe „Russian APT29 “ nutzen Google Drive und Dropbox, um einer Entdeckung zu entgehen
Laut Unit 42 nutzt die von Russland unterstützte APT-Gruppe (Advanced Persistent Threat), die vor allem unter den Namen „ “, „APT29“, „ “ (öffnet in einem neuen Tab), „“ und „ “ (auch bekannt als „Nobelium“ oder „Cozy Bear“) bekannt ist, mittlerweile vertrauenswürdige, legitime Cloud-Dienste wie Google Drive und Dropbox, um der Erkennung zu entgehen, Daten zu entwenden sowie Malware und Hacking-Tools zu verbreiten.
Forscher der Unit 42’s behaupten, dass die Nutzung solcher Cloud-Dienste (öffnet in einem neuen Tab) für die in C2 genannten Zwecke, zur Speicherung sowie zur Verbreitung von Malware für diese Gruppe nicht gänzlich neu ist. Die weitverbreitete Nutzung und das damit verbundene Vertrauen in diese Dienste machen deren Einbindung in APT29’s -Operationen nachvollziehbar – und besorgniserregend.
Über APT29
APT29 ist vor allem für seine Rolle beim Hackerangriff auf das US-Demokratische Nationalkomitee (DNC) im Jahr 2016 bekannt sowie für die vermutlich entscheidende Rolle, die es bei dem katastrophalen Supply-Chain- -Angriff auf SolarWinds im Jahr 2020 gespielt hat (wird in einem neuen Tab geöffnet). Es wird mit hoher Sicherheit davon ausgegangen, dass APT29 im Auftrag des russischen Auslandsgeheimdienstes (SVR) operiert. Die Motivation des Akteurs liegt in erster Linie im Bereich der Spionage; ihm werden ausgeklügelte und effektive Spear-Phishing-Kampagnen zugeschrieben, die sich gegen staatliche, militärische und diplomatische Einrichtungen richten und offenbar im Einklang mit den staatlichen und geopolitischen Interessen der russischen Regierung stehen.
Wir befassen uns eingehend mit den technischen Details der jüngsten Kampagnen von Cloaked Ursa (auch bekannt als #APT29), die vermutlich zwischen Mai und Juni 2022 mehrere westliche diplomatische Vertretungen ins Visier genommen haben. bit.ly/3IPmqPv
Details zur Kampagne
APT29’s Die Nutzung beliebter globaler Online-Speicherdienste wurde erstmals bei Angriffen auf westliche diplomatische Vertretungen und ausländische Botschaften weltweit beobachtet (wird in einem neuen Tab geöffnet) von Anfang Mai bis Juni 2022.
Highly convincing spear phishing attacks are APT29’s favored method of achieving initial access, and this campaign appears to be no exception. Die Angriffe beginnen in der Regel damit, dass der Angreifer Phishing-E-Mails an Zielpersonen in ausländischen Botschaften versendet, die als Einladungen zu Treffen mit Botschaftern getarnt sind. Die E-Mails enthalten manipulierte PDF-Dateien, die angeblich die Tagesordnungen der Besprechungen enthalten; diese verweisen auf ein Dropbox-Konto, das unter der Kontrolle der Angreifer steht, und übertragen eine Cobalt-Strike-Nutzlast auf das Gerät des Opfers.
Laut einem aktuellen Bericht von ZDNet über die zunehmende Nutzung vertrauenswürdiger Cloud-Dienste durch Hacker (öffnet in einem neuen Tab) für verschiedene böswillige Zwecke blieben diese ersten Versuche erfolglos – was der Autor des Artikels darauf zurückführt, dass Forscher dies auf restriktive Richtlinien in Unternehmensnetzwerken zurückführen, die die Nutzung bestimmter Dienste von Drittanbietern verhindern. In demselben Artikel heißt es, dass sich die Angreifer rasch anpassten; sie versendeten ähnliche Phishing-E-Mails als zweiten Köder, nutzten diesmal jedoch Google-Drive-Konten, um ihre Aktivitäten zu verschleiern und Cobalt Strike sowie andere Malware-Payloads in den Zielumgebungen zu installieren. Diese zweite Streikwelle scheint erfolgreicher verlaufen zu sein, was wahrscheinlich auf den weit verbreiteten Einsatz von Google-Anwendungen am Arbeitsplatz zur Unterstützung des täglichen Betriebs zurückzuführen ist.
Wie bei vielen anderen Kampagnen dieser Art besteht das oberste Ziel von „ APT29’s “ darin, zusätzliche Malware wie , EnvyScout, (wird in einem neuen Tab geöffnet),und zu verbreiten, die als Hintertüren in Netzwerke mit sensiblen Informationen dienen oder für potenzielle zukünftige Angriffe genutzt werden sollen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Zwar mag die Nutzung dieser beiden spezifischen Cloud-Speicherdienste zur Verbreitung von Malware und zur Verschleierung ihrer Bereitstellung technisch gesehen eine neue Taktik für die Gruppe APT29 sein, doch zeigen frühere Berichte, dass diese Gruppe bereits zuvor mit der Nutzung solcher legitimen Dienste für andere Zwecke experimentiert hat.“ Sollten die Angriffe weiterhin erfolgreich sein, wird die Einheit APT29 solche Methoden wahrscheinlich auch weiterhin anwenden. Und wenn man einer aktuellen Studie des Ponemon Institute Glauben schenken darf, finden APT29’s Angriffe zu einer Zeit statt, in der 60 % der IT- und Sicherheitsverantwortlichen kein Vertrauen in ihre Fähigkeit haben, sichere Cloud-Umgebungen zu gewährleisten (wird in einem neuen Tab geöffnet).
Furthermore, this group’s activity is not only indicative of the increase in Russia-linked hacking operations observed in the wake of geopolitical turmoil in Eastern Europe (opens in a new tab) – these campaigns also serve as a reminder of APT29’s adaptability and sophistication.
Die Abteilung 42 fordert alle Organisationen auf, „ihre E-Mail-Richtlinien sowie die in diesem Bericht aufgeführten IOCs zu überprüfen, um dieser Bedrohung entgegenzuwirken“. CTI schließt sich dieser Einschätzung an und hat im Vorfeld möglicher Ausweitungen staatlich geförderter Cyberangriffe (vor denen Behörden wie die CISA (öffnet in einem neuen Tab) wiederholt gewarnt haben, dass diese in Form von zerstörerischen Malware-Angriffen auftreten könnten, die westliche Einrichtungen betreffen) durch russische Akteure einen proaktiven Ansatz bei den nachrichtendienstlichen Maßnahmen verfolgt.“
2. Experten decken neue „CloudMensis“-Spyware auf, die auf Nutzer von Apple macOS abzielt
Ein aktueller Bericht von WeLiveSecurity beschreibt die Entdeckung einer bislang unbekannten „ “-Backdoor für macOS (wird in einem neuen Tab geöffnet) , die Nutzer von kompromittierten Geräten ausspioniert.
Unter Verwendung einer Methodik, die an den vorherigen Fall erinnert, nutzt die als „CloudMensis“ bezeichnete Malware ausschließlich öffentliche Cloud-Speicherdienste wie pCloud, Yandex Disk und Dropbox, um Befehle von Angreifern zu empfangen und Dateien zu exfiltrieren.
CloudMensis: Ein Überblick
Die Malware, die erstmals Anfang 2022 entdeckt wurde, ermöglicht es den Betreibern, Informationen von den macOS-Geräten der Opfer zu sammeln, indem sie Dokumente abzieht, Tastenanschläge protokolliert und Bildschirmaufnahmen erstellt. Sobald die Codeausführung und Administratorrechte erlangt wurden, wird ein zweistufiger Prozess eingeleitet – in der ersten Stufe wird die zweite Stufe heruntergeladen und ausgeführt. Den Forschern ist es derzeit nicht möglich, den ursprünglichen Infektionsweg für die Angriffe zu ermitteln.
Die Malware der ersten Stufe lädt die Malware der zweiten Stufe herunter und installiert sie als systemweiten Daemon (ein Computerprogramm, das als Hintergrundprozess läuft und nicht unter der direkten Kontrolle eines Benutzers steht). Zum jetzigen Zeitpunkt haben die Angreifer bereits Administratorrechte erlangt, da beide Verzeichnisse, in denen Dateien auf die Festplatte geschrieben werden, ausschließlich vom Root-Benutzer geändert werden können.
Die zweite Stufe der Malware ist eine umfangreichere Komponente, die mehrere Funktionen enthält, die dazu dienen, Informationen von kompromittierten Geräten zu sammeln. Ziel dieser Phase ist es, die erfassten Dokumente, Screenshots, E-Mail-Anhänge usw. zu exfiltrieren. CloudMensis nutzt Cloud-Speicher sowohl zum Empfang von Befehlen seiner Betreiber als auch zur Exfiltration von Dateien. Die Malware unterstützt derzeit drei Anbieter: pCloud, Yandex und Dropbox.
Neue „CloudMensis“-Malware wird bei gezielten Angriffen zum Ausspionieren von Macs eingesetzt – @serghei bleepingcomputer.com/news/security/…
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Forscher stellen fest, dass die ‚allgemeine Qualität des Codes und das Fehlen von Verschleierungsmaßnahmen darauf hindeuten, dass die Autoren möglicherweise nicht sehr vertraut mit der Mac-Entwicklung sind und noch nicht über fortgeschrittene Kenntnisse verfügen.‘“ Auch wenn die Qualität des Codes möglicherweise zu wünschen übrig lässt, sollte CloudMensis nicht außer Acht gelassen werden. „Da die Malware vertrauenswürdige öffentliche Speicherdienste nutzt, um Befehle von Angreifern zu empfangen und Dateien zu exfiltrieren – ein Trend, der sowohl bei erfahrenen Cyberkriminellen als auch bei APTs zunehmend zu beobachten ist –, wäre es ratsam, CloudMensis und dessen Entwicklungen genau im Auge zu behalten.“
3. Neue „Lightning Framework“-Malware für Linux installiert Rootkits und Hintertüren
CTI verfolgt aktiv das neu aufgetauchte „-Lightning-Framework“ (wird in einem neuen Tab geöffnet), eine gefährliche neue Art von Malware, die auf Linux-Systeme abzielt.
Laut dem Blog „Intezer“, der sich mit Bedrohungsforschung befasst, kann diese Malware, die wie ein „Schweizer Taschenmesser“ funktioniert, dazu genutzt werden, Backdoors auf infizierte Geräte zu installieren (öffnet in einem neuen Tab) sowie verschiedene Arten von Rootkits einzusetzen.
Das Lightning Framework besteht aus einem Downloader und einem Kernmodul sowie mehreren verfügbaren Plugins – von denen viele Open-Source-Tools sind. Das Framework nutzt zudem in großem Umfang Typosquatting und Maskerade, um unentdeckt zu bleiben.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Lightning Framework ist die neueste Linux-Malware-Familie, die in den letzten Monaten aufgetaucht ist, nach dem Auftauchen von BPFDoor (öffnet in einem neuen Tab), Symbiote (öffnet in einem neuen Tab), Syslogk (öffnet in einem neuen Tab) sowie OrBit (öffnet in einem neuen Tab) (über die CTI in der einen oder anderen Form bereits berichtet hat).“ Wenn dies nicht deutlich macht, wie sehr Angreifer daran interessiert sind, Linux-Umgebungen ins Visier zu nehmen, weiß ich nicht, was sonst. Das „Lightning Framework“ verfügt im Vergleich zu den meisten bisher bekannten Linux-Malware-Programmen über eine unglaubliche Vielzahl an Funktionen. Malware, die bereits in einem so frühen Entwicklungsstadium über eine derart große Funktionsvielfalt verfügt, macht das Lightning Framework zu einem äußerst interessanten Gegenstand.
Forscher von Intezer stellten fest, dass mehrere Dateien des Lightning Framework nicht zur Analyse ausfindig gemacht werden konnten. „CTI wird das Lightning Framework weiterhin verfolgen und über Neuigkeiten berichten, sobald weitere Einzelheiten bekannt werden.“
Stoppen Sie Angriffe frühzeitig mit Tanium
Neue Bedrohungen wie das Lightning Framework müssen schnell erkannt und beseitigt werden, bevor sie Ihrem Unternehmen Schaden zufügen können.
Um Ihnen dabei zu helfen, bieten wir eine leistungsstarke Lösung zur Bedrohungssuche an, die eine schnelle und präzise Berichterstattung über Bedrohungen ermöglicht. Um zu erfahren, wie Tanium Threat Hunting dazu beitragen kann, die Sicherheit Ihres Unternehmens zu gewährleisten, besuchen Sie und sehen Sie sich diese Demo an: (wird in einem neuen Tab geöffnet).
