Im Bericht dieser Woche: Russland-unterstützte APT29 -Kampagnen verwenden jetzt beliebte Cloud-Speicherdienste wie Google Drive und Dropbox, um Erkennung zu umgehen und Malware bereitzustellen. Außerdem zielt die neue CloudMensis-Malware auf macOS-Benutzer und vertrauenswürdige Cloud-Dienste für Befehls- und Kontrollangriffe (C2) und Exfiltration ab. Wir erklären auch die neue Lightning Framework Linux-Malware, die mit einer Vielzahl von Funktionen ausgestattet ist, die es ermöglichen, Geräte zu hintertüren und Rootkits bereitzustellen.
1. Russische APT29 -Hacker verwenden Google Drive, Dropbox, um Erkennung zu umgehen
Laut Unit 42 nutzt die von Russland unterstützte Advanced Persistent Threat (APT)-Gruppe, die hauptsächlich als APT29 (öffnet sich in einer neuen Registerkarte) (auch bekannt als Nobelium oder Cozy Bear) bekannt ist, jetzt vertrauenswürdige, legitime Cloud-Dienste wie Google Drive und Drobox, um Erkennung zu umgehen, Daten zu exfiltrieren und Malware und Hacking-Tools bereitzustellen.
Forscher der Einheit 42’s behaupten, dass die Nutzung solcher Cloud-Dienste (öffnet sich in einer neuen Registerkarte) für die Zwecke von C2, Speicherung und Malware-Bereitstellung für diese Gruppe nicht völlig neu ist. Die weit verbreitete Natur und das integrierte Vertrauen, das diese Dienste begleitet, machen ihre Einbeziehung in APT29’s Operationen verständlich und besorgniserregend.
Etwa APT29
Am bekanntesten ist APT29 für seine Rolle im Hack des US Democratic National Committee (DNC) von 2016 und den größten Teil, den es vermutlich im katastrophalen Lieferkettenkompromitt von SolarWinds im Jahr 2020 gespielt hat (eröffnet in einer neuen Registerkarte). APT29 wird mit einem hohen Maß an Vertrauen bewertet, auf Veranlassung des russischen Foreign Intelligence Service (SVR) zu arbeiten. Die Motivation des Schauspielers ist in erster Linie Spionage und wird mit ausgeklügelten und effektiven Spear-Phishing-Kampagnen zugeschrieben, die auf staatliche, militärische und diplomatische Organisationen abzielen, die sich an den staatlichen und geopolitischen Interessen der russischen Regierung auszurichten scheinen.
Wir gehen auf die technischen Details der jüngsten Kampagnen ein, die von Cloaked Ursa (auch bekannt als #APT29) durchgeführt wurden, von denen angenommen wird, dass sie zwischen Mai und mehrere westliche diplomatische Missionen ins Visier genommen haben Juni 2022. https://t.co/9w5HgBtw66 pic.twitter.com/gKzMSF9UtB
— Unit 42 (@Unit42_Intel) 22. Juli 2022
Details zur Kampagne
Die APT29’s Nutzung beliebter globaler Online-Speicherdienste wurde erstmals von Anfang Mai bis bei Angriffen auf westliche diplomatische Missionen und ausländische Botschaften weltweit (eröffnet in einer neuen Registerkarte) beobachtet Juni 2022.
Sehr überzeugende Spear -Phishing-Angriffe sind die APT29’s bevorzugte Methode zum Erreichen des ersten Zugriffs, und diese Kampagne scheint keine Ausnahme zu sein. Die Angriffe beginnen typischerweise damit, dass der Schauspieler Phishing-E-Mails an Ziele in ausländischen Botschaften sendet, die als Einladungen zu Meetings mit Botschaftern maskiert werden. Die E-Mails enthalten bewaffnete PDFs, die die Tagesordnungen der vermeintlichen Meetings enthalten, die ein Drobox-Konto unter der Kontrolle der Angreifer aufrufen und eine Cobalt Strike-Payload auf das Gerät des Opfers liefern.
Laut einer kürzlichen Mitteilung von ZDNet über die zunehmende Einführung von vertrauenswürdigen Cloud-Diensten durch Hacker (öffnet sich in einer neuen Registerkarte) für verschiedene bösartige Zwecke waren diese anfänglichen Aufrufe erfolglos – etwas, das der Autor des Artikels sagt, Forscher kreiden sich an restriktive Richtlinien in Unternehmensnetzwerken an und verhindern die Nutzung bestimmter Dienste von Drittanbietern. Der gleiche Artikel besagt, dass sich die Angreifer schnell angepasst haben; das Senden ähnlicher Phishing-E-Mails als zweite Verlockung, aber diesmal nutzten sie Google Drive-Konten, um ihre Aktionen zu verbergen und Cobalt Strike und andere Malware-Payloads in Zielumgebungen bereitzustellen. Diese zweite Welle von Streiks scheint mit einem höheren Erfolg erreicht worden zu sein, wahrscheinlich aufgrund der weit verbreiteten Beschäftigung von Google-Anwendungen an Arbeitsplätzen zur Unterstützung des täglichen Betriebs.
Wie viele andere Kampagnen dieser Art besteht das ultimative Ziel von APT29’s darin, zusätzliche Malware wie EnvyScout (öffnet sich in einer neuen Registerkarte) bereitzustellen, um als Hintertüren in Netzwerke zu dienen, die sensible Informationen enthalten, oder für die potenzielle Verwendung bei zukünftigen Angriffen.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Während die Nutzung dieser beiden spezifischen Cloud-Speicherdienste zur Bereitstellung von Malware und zur Verschleierung ihrer Bereitstellung technisch eine neue Taktik für APT29 sein kann, zeigt die vorherige Berichterstattung, dass diese Gruppe zuvor mit der Nutzung solcher legitimen Dienste für andere Zwecke experimentiert hat. Wenn Angriffe weiterhin erfolgreich sind, wird APT29 wahrscheinlich weiterhin solche Methoden einsetzen. Und wenn eine kürzliche Studie des Ponemon Institute angenommen werden soll, kommen APT29’s Angriffe zu einer Zeit, zu der 60 % der IT- und Sicherheitsleiter nicht zuversichtlich sind, dass sie Cloud -Umgebungen sichern können (öffnet sich in einer neuen Registerkarte).
Darüber hinaus ist die Aktivität dieser Gruppe nicht nur ein Hinweis auf den Anstieg der russischen Hacking-Operationen, die nach geopolitischen Turbulenzen in Osteuropa beobachtet wurden (öffnet sich in einer neuen Registerkarte) – diese Kampagnen dienen auch als Erinnerung an die Anpassungsfähigkeit und Raffinesse von APT29’s .
Unit 42 ermutigt alle Organisationen, ihre E-Mail-Richtlinien und die in diesem Bericht bereitgestellten IOCs zu überprüfen, um diese Bedrohung zu beheben. CTI stimmt zu und hat einen proaktiven Ansatz für die Geheimdienstbemühungen vor jeder möglichen Verschüttung von staatlich gesponserten Cyberangriffen verfolgt (die Agenturen wie CISA (öffnet in einer neuen Registerkarte) wiederholt gewarnt haben, dass sie die Form destruktiver Malware-Angriffe annehmen können, die westliche Entitäten betreffen), die von russischen Bedrohungsakteuren stammen.“
2. Experten entdecken neue CloudMensis-Spyware für Apple macOS-Benutzer
Ein kürzlich veröffentlichter Bericht von WeLiveSecurity beschreibt die Entdeckung einer bisher unbekannten macOS-Backdoor (öffnet sich in einer neuen Registerkarte), die auf Benutzer von kompromittierten Geräten spioniert.
Die Malware namens CloudMensis nutzt die Methodik, die an die vorherige Geschichte erinnert, und verwendet ausschließlich öffentliche Cloud-Speicherdienste wie pCloud, Yandex Disk und Dropbox, um Angreiferbefehle zu empfangen und Dateien zu exfiltrieren.
CloudMensis: Eine Übersicht
Die Malware, die Anfang 2022 erstmals beobachtet wurde, ermöglicht es Betreibern, Informationen von den macOS-Geräten der Opfer zu sammeln, indem Dokumente exfiltriert, Tastenanschläge protokolliert und Bildschirmaufnahmen gemacht werden. Sobald die Code-Ausführung und die administrativen Berechtigungen erreicht sind, startet ein zweistufiger Prozess – die erste Phase lädt die zweite Phase herunter und führt sie aus. Forscher können derzeit den anfänglichen Infektionsvektor für die Attacken nicht bestimmen.
Die Malware der ersten Stufe lädt die Malware der zweiten Stufe herunter und installiert sie als systemweite Daemon (ein Computerprogramm, das als Hintergrundprozess läuft, anstatt unter direkter Kontrolle eines Benutzers zu sein). Zu diesem Zeitpunkt haben die Angreifer bereits administrative Berechtigungen erhalten, da beide Verzeichnisse, in denen Dateien auf die Festplatte geschrieben werden, nur vom Root-Benutzer geändert werden können.
Die zweite Stufe der Malware ist eine größere Komponente, die mehrere Funktionen enthält, die dazu dienen, Informationen von kompromittierten Geräten zu sammeln. Der Zweck dieser Phase ist es, die erfassten Dokumente, Screenshots, E-Mail-Anhänge usw. zu exfiltrieren. CloudMensis verwendet Cloud-Speicher sowohl zum Empfangen von Befehlen von seinen Bedienern als auch zum Exfiltrieren von Dateien. Die Malware unterstützt derzeit drei Anbieter: pCloud, Yandex und Dropbox.
Neue CloudMensis-Malware, die verwendet wird, um Macs bei gezielten Angriffen auszuspionieren – @sergheihttps://t.co/Q193eg6vkh
– BleepingComputer (@BleepinComputer) 19. Juli 2022
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Forscher stellen fest, dass die „allgemeine Qualität des Codes und die fehlende Verschleierung zeigen, dass die Autoren möglicherweise nicht sehr vertraut mit der Mac-Entwicklung sind und nicht so fortgeschritten sind.“ Auch wenn die Qualität des Codes unterdurchschnittlich ist, sollte CloudMensis nicht ignoriert werden. Tatsächlich wären wir angesichts der Tatsache, dass die Malware vertrauenswürdige öffentliche Speicherdienste zum Empfangen von Angreiferbefehlen und Exfiltratieren von Dateien verwendet (ein zunehmender Trend bei fortgeschrittenen Cyberkriminellen und APTs), klug, CloudMensis und seine Entwicklungen genau zu beobachten.“
3. Neue Lightning Framework Linux-Malware installiert Rootkits, Backdoors
CTI verfolgt aktiv das neu entwickelte „Lightning Framework (öffnet sich in einer neuen Registerkarte)“, eine gefährliche neue Art von Malware, die auf Linux-Systeme abzielt.
Laut Bedrohungsforschungsblog Intezer kann die „Swiss Army Messer“-ähnliche Malware verwendet werden, um infizierte Geräte (öffnet sich in einer neuen Registerkarte) zu hintertürieren und mehrere Arten von Rootkits bereitzustellen.
Lightning Framework besteht aus einem Downloader und einem Kernmodul mit mehreren verfügbaren Plug-ins, von denen viele Open-Source-Tools sind. Das Framework nutzt auch stark Tippfehler-Squatting und Maskierung, um unentdeckt zu bleiben.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Lightning Framework ist die neueste Linux-Malware-Familie, die in den letzten Monaten nach dem Aufkommen von BPFDoor (öffnet sich in einer neuen Registerkarte), Symbiote (öffnet in einer neuen Registerkarte), Syslogk (öffnet in einer neuen Registerkarte) und OrBit (öffnet in einer neuen Registerkarte) (alles, über die CTI in irgendeiner Weise berichtet hat) auftaucht. Wenn dies nicht nur zeigt, wie interessiert Bedrohungsakteure an Linux-Umgebungen sind, bin ich mir nicht sicher, was sie tun werden. Lightning Framework ist im Vergleich zu den meisten zuvor gemeldeten Linux-Malware mit einer unglaublichen Anzahl von Funktionen ausgestattet. Malware mit solch einer Fülle von Funktionen in einem so frühen Stadium ihrer Erstellung macht Lightning Framework zu einem Element von extremem Interesse.
Forscher von Intezer stellten fest, dass mehrere Lightning Framework-Dateien nicht zur Analyse gefunden werden konnten. CTI wird weiterhin Lightning Framework verfolgen und Updates als zusätzliche Details bereitstellen.“
Schließen Sie Angriffe frühzeitig mit Tanium
Neue Bedrohungen wie Lightning Framework müssen schnell erkannt und beseitigt werden, bevor sie Ihrem Unternehmen schaden können.
Um Ihnen dabei zu helfen, bieten wir eine leistungsstarke Threat Hunting-Lösung, die eine schnelle und genaue Bedrohungsberichterstattung bietet. Sehen Sie sich diese Demo an, um zu erfahren, wie Tanium Threat Hunting dazu beitragen kann, Ihre Organisation zu schützen (wird in einer neuen Registerkarte geöffnet).
