In diesem Bericht untersuchen wir, wie eine chinesischsprachige „Advanced Persistent Threat“ (APT) Angriffe auf industrielle Steuerungssysteme (ICS) durchführt, indem sie eine überarbeitete Variante der ShadowPad-Backdoor einsetzt. Darüber hinaus behauptet das Hacktivisten-Kollektiv DragonForce, sich vom Aktivismus abzuwenden und sich zunehmend der Cyberkriminalität zuzuwenden – vor allem durch den Einsatz von Ransomware.
Und schließlich warnt Microsoft nun vor umfangreichen Erweiterungen des Arsenals der „ 8220 Gang“, die die Kryptodiebstahlaktivitäten der Gruppe unterstützen und aktiv eine Sicherheitslücke in Confluence ausnutzen.
Schauen wir uns diese aktuellen Entwicklungen einmal genauer an.
1. Vermutete chinesische APT-Gruppe nutzt ShadowPad, um industrielle Steuerungssysteme anzugreifen
Ein neuer Bericht von Kaspersky mit dem Titel „ “ ( (wird in einem neuen Tab geöffnet) ) beschreibt eine aktive Kampagne, bei der die ShadowPad-Backdoor bei Angriffen auf mehrere industrielle Steuerungssysteme (ICS) von Telekommunikationsunternehmen im Nahen Osten eingesetzt wird. Diese Angriffswelle, die gezielt auf Steuerungscomputer in Gebäudeautomationssystemen (BAS) abzielt, begann Mitte des JahresOktober 2021.
Im Zuge der Ermittlungen zu dieser Kampagne fanden die Forscher Hinweise auf Aktivitäten in größerem Umfang und identifizierten weitere Opfer. Darüber hinaus behauptet Kaspersky, dass die Kampagne Ähnlichkeiten mit Angriffen der Gruppe „ März 2021 “ aufweise, bei denen eine frühere Version der ShadowPad-Backdoor zum Einsatz kam, sowie mit ähnlichen Taktiken, Techniken und Vorgehensweisen (TTPs), die gegen Logistik- und Transportunternehmen in einem Hafen in Malaysia angewendet wurden.
Wichtige Erkenntnisse
- Einige der betroffenen Organisationen sind Opfer der Sicherheitslücke „ CVE-2021-26855 “ (wird in einem neuen Tab geöffnet) in Microsoft Exchange.
- Von März bis mindestens zum Oktober 2021 wurde die ShadowPad-Backdoor als Datei „mscoree.dll“ auf die Computer der Opfer heruntergeladen und von „AppLaunch.exe“ gestartet – einer legitimen Anwendung, die durch die Erstellung einer Aufgabe im Windows-Aufgabenplaner ausgeführt wurde.
- Später starteten die Angreifer „ShadowPad“ mithilfe von DLL-Hijacking in einer legitimen Anwendung zur Anzeige von OLE-COM-Objekten (OleView).
- Nach der Erstinfektion sendeten die Angreifer zunächst manuell, später dann automatisch Befehle.
- Die Angreifer nutzten bei NameSilo, GoDaddy.com und ENOM registrierte Domains, um mit den Command-and-Control-Servern (C2) zu kommunizieren. Der Großteil der C2 Server wurde auf dedizierten Servern gehostet, die vom Managed-Services-Anbieter (MSP) Choopa gemietet wurden.
Kaspersky behauptet, dass die Gruppe im Rahmen der Kampagne weitere Tools eingesetzt habe. Dazu gehört das nach wie vor sehr beliebte Cobalt-Strike-Framework, das sie mithilfe des Dienstprogramms „certutil.exe“ auf die Rechner der Opfer heruntergeladen haben, sowie kompilierte ASPX-Web-Shells und die Tools „procdump“ und „Mimikatz“. Zu den weiteren Tools, deren Einsatz von den Angreifern beobachtet wurde, gehören die PlugX-Backdoor, BAT-Dateien zum Diebstahl von Anmeldedaten, Web-Shells zum Erlangen des Fernzugriffs auf den Webserver sowie das Nextnet-Dienstprogramm zum Scannen von Netzwerkhosts.
Zu den Aktivitäten nach der Ausnutzung gehört die Verbreitung eines schädlichen Skripts für „cmd.exe“ in den Netzwerken der Opfer. Das Skript wurde dem Taskplaner hinzugefügt, um eine tägliche Ausführung zu gewährleisten. Das Skript enthält mehrere Befehle, doch sein allgemeines Ziel besteht darin, System- und Benutzerinformationen zu erfassen, Dateien zu kopieren und für die Exfiltration vorzubereiten, Netzlaufwerke mithilfe legitimer Domänenkonten einzubinden (was darauf hindeutet, dass die Angreifer Domänen-Anmeldedaten von mindestens einem Konto in jeder angegriffenen Organisation gestohlen haben), den Mimikatz-Credential-Dumper zu starten und vieles mehr. Kaspersky betont, dass dieser letzte Teil der TTP-Strategie der Angreifer einzigartig ist und die Behauptungen der Forscher hinsichtlich einer Beteiligung des chinesischen Staates weiter untermauert.
ShadowPad: Ein kurzer Überblick
ShadowPad ist ein hochentwickelter, modularer Fernzugriffstrojaner (RAT), den verschiedene chinesische Hackergruppen eingesetzt haben – und weiterhin einsetzen –, um Angriffe auf private Netzwerke zu starten. ShadowPad tauchte erstmals im Jahr 2017 auf und ist nach wie vor ein beliebter Angriffsmechanismus.
Im Rahmen der oben genannten Kampagne wurde die ShadowPad-Backdoor unter dem Deckmantel der Datei „mscoree.dll“ auf die angegriffenen Computer heruntergeladen; diese Datei wurde von der legitimen Anwendung „AppLaunch.exe“ gestartet, die sich im selben Ordner wie ShadowPad befand. Die Datei „AppLaunch.exe“ wurde durch die Erstellung einer Aufgabe im Windows-Aufgabenplaner ausgeführt.
Neue Vorgehensweise: Wie oben erwähnt, geht Kaspersky davon aus, dass die Angreifer seit etwa Mitte des JahresOktober 2021 ein einzigartiges neues ShadowPad-Angriffsschema sowie eine neue Malware-Version einsetzen, um dieselben Arten von Organisationen ins Visier zu nehmen. Anstelle der Datei „mscoree.dll“ nutzen die Angreifer nun die DLL-Hijacking-Technik und missbrauchen dabei legitime Software zur Anzeige von OLE-COM-Objekten (OleView).
Die legitime Anwendung „OleView“ lädt die schädliche Bibliothek „IVIEWERS.dll“ herunter, die wiederum die in der Datei „IVIEWERS.dll.dat“ enthaltene „ShadowPad“-Nutzlast herunterlädt und ausführt. Auch der Windows-Aufgabenplaner wurde von der neuen ShadowPad-Version genutzt, um in den Zielsystemen Fuß zu fassen und dort zu verbleiben.
Eine detailliertere Analyse der an der neuen ShadowPad-Variante vorgenommenen Änderungen findet sich in einem kürzlich von PwC veröffentlichten Bericht mit dem Titel „ “. (wird in einem neuen Tab geöffnet)
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Das Auftauchen einer neuen ShadowPad-Variante gibt Anlass zur Sorge, da diese bereits zuvor von verschiedenen chinesischen APTs mit einigem Erfolg eingesetzt wurde – und sich als zuverlässiges Instrument für Angreifer erwiesen hat, die Supply-Chain-Angriffe durchführen wollen.“ CTI ist der Ansicht, dass Kaspersky mit seinen Zuordnungsbehauptungen genau ins Schwarze trifft (obwohl ShadowPad im Laufe der Jahre von einer Vielzahl staatlich geförderter APTs genutzt wurde), da sowohl die Zielregionen als auch die bei diesen Angriffen zu beobachtende Opferauswahl mit den traditionellen Interessen des chinesischen Staates übereinstimmen und diese Regionen häufig Opfer staatlich geförderter Cyberspionageangriffe des Regimes sind.
Es wird vermutet, dass ShadowPad von Angreifern entwickelt wurde, die der chinesischen APT-Gruppe „Bronze Atlas“ angehören, und anschließend an das chinesische Ministerium für Staatssicherheit (MSS) sowie an die Volksbefreiungsarmee (PLA) – und damit auch an deren zahlreiche verbündete Hackergruppen – weitergegeben wurde.“
2. Die Hacktivisten-Gruppe „DragonForce Malaysia“ veröffentlicht einen Windows-LPE-Exploit und gibt Pläne bekannt, sich zu einer Ransomware-Gruppe weiterzuentwickeln
Ein kürzlich veröffentlichter Beitrag zu Bedrohungsinformationen von CloudSEK (wird in einem neuen Tab geöffnet) beschreibt einen neuen Exploit der Hacktivisten-Gruppe „DragonForce Malaysia“, der eine lokale Privilegienerweiterung (LPE) auf Windows-Servern sowie Aktionen auf lokalen Verteilungsroutern (LDR) auf Servern in Indien ermöglichen kann.
Wer ist DragonForce Malaysia?
DragonForce ist eine in Malaysia ansässige Hacktivisten-Gruppe, die einst als vergleichbar mit der bekannteren Organisation „Anonymous“ galt. Dieses Hacktivisten-Kollektiv hat sich sogar selbst als eine Gruppe beschrieben, die „auf Ethik und Prinzipien basiert, die Gutes bewirken“, und betreibt Social-Media-Kanäle, die Zehntausende von Besuchern anziehen.
Die Operation ist dafür bekannt, Organisationen und staatliche Stellen im gesamten Nahen Osten und in Asien anzugreifen. Das bevorzugte Ziel von DragonForce ist Israel, was sich daran zeigt, dass die Gruppe zahlreiche Operationen gegen das Land und seine Bürger gestartet hat. Die Gruppe betreibt zudem ein eigenes Online-Forum, in dem sie Ankündigungen veröffentlicht, ihre jüngsten Aktivitäten erörtert sowie über TikTok und Instagram Mitgliederwerbungs- und Werbekampagnen durchführt.
Bemerkenswerte Aktivitäten
Die jüngste Kampagne der Operation, „OpsPatuk“, traf Indien mit einer Welle von Anschlägen als Reaktion auf umstrittene Äußerungen einiger indischer Politiker. Radware hat einen Sicherheitshinweis veröffentlicht: (wird in einem neuen Tab geöffnet) , in dem die Kampagne detailliert beschrieben wird, einschließlich der ausgenutzten Sicherheitslücken, der IOCs sowie weiterer identifizierter, an der Kampagne beteiligter Bedrohungsgruppen.
DragonForce ist, wie viele andere Hacktivisten-Gruppen auch, dafür bekannt, mit anderen Cyberkriminellen-Gruppen zusammenzuarbeiten, um ihre Ziele zu erreichen. Die Gruppe ist in die Fußstapfen anderer Hacktivisten getreten und ist während des Konflikts zwischen Russland und der Ukraine wieder in Erscheinung getreten.
In der Vergangenheit hat sich DragonForce bei der Durchführung seiner Kampagnen auf öffentlich zugängliche Angriffstools gestützt. Die Umstellung der Gruppe auf nicht öffentlich zugängliche Angriffstools stellt eine erhebliche Abweichung von ihren üblichen Vorgehensweisen dar – und deutet möglicherweise auf eine gewisse Verbesserung der technischen Raffinesse der Gruppe hin. Dieses Wachstum scheint sich jedoch nicht auf die Entscheidungen der Gruppe hinsichtlich der operativen Sicherheit (OPSEC) auszudehnen.
DragonForce hat kürzlich ein Video veröffentlicht, in dem die Band ihren neuesten Exploit detailliert vorstellt und dessen Entwicklung einem Angreifer namens „ ‘impossible1337“ zuschreibt. Der Exploit zielt auf LPE- und LDR-Sicherheitslücken in Windows-Servern ab; weitere technische Informationen zu diesem Exploit sind jedoch bislang noch nicht öffentlich zugänglich.
Das Video nimmt dann eine neue Wendung, als der Angreifer seinen Plan erläutert, sich zu einer Ransomware-Gruppe zu wandeln; dabei geht er sogar so weit, ein Muster einer Lösegeldforderung vorzustellen, um die Ernsthaftigkeit seiner Absichten zu untermauern. Im Anschluss an das Video veröffentlichte die Gruppe auf ihrer Website einen Blogbeitrag, in dem sie ihre Ziele, groß angelegte Ransomware-Angriffe durchzuführen, erneut bekräftigte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Das Bemerkenswerteste an dieser Geschichte ist die Tatsache, dass eine Hacktivisten-Gruppe ihre eigenen Exploits entwickelt und den Sprung vom Hacktivismus zur Ransomware vollzieht – ein Beleg für die bewusste Entscheidung, den Schritt hin zu finanziell motivierter Kriminalität zu vollziehen.“ Diese Veränderung ist von Bedeutung, da die meisten Hacktivisten zumindest versuchen, den Anschein einer wohlmeinenden Mission zu wahren, und in der Regel keinen Wunsch bekunden, sich durch Cyberkriminalität illegal Geld zu verschaffen.
Diese Veränderung in den Beweggründen von DragonForce könnte ein weiterer Beleg dafür sein, dass die unglaublichen (und stetig steigenden) Geldsummen, die die Ransomware-Branche generiert, selbst für diejenigen, die ursprünglich vorgaben, der Welt „Gutes zu tun“ – wie DragonForce einst behauptete –, immer schwerer zu ignorieren sind.
Interessant ist auch, dass die Gruppe ein Video veröffentlicht hat, in dem sie ihren neuesten Exploit detailliert beschreibt und gleichzeitig ihre Pläne bekanntgibt, auf Ransomware umzusteigen. Da diese Gruppe ihre Zielpersonen offen benannt hat, hat sie ihren Opfern (sowie den Strafverfolgungsbehörden) im Grunde genommen einen „Hinweis“ gegeben, was sie in Zukunft von ihr zu erwarten haben. „In diesem Fall bietet DragonForce potenziellen Opfern die Möglichkeit, Windows-Server im Vorfeld eines möglichen Windows-LPE- oder LDR-Angriffs zu patchen.“
3. Microsoft warnt: Malware, die auf Linux abzielt, hat ein umfangreiches Update erhalten
Das Microsoft Threat Intelligence Center (MSTIC) veröffentlichte eine Reihe von Tweets unter dem Hashtag „ “ (wird in einem neuen Tab geöffnet) , in denen wichtige Aktualisierungen der TTPs der „8200 “-Bande hervorgehoben wurden – einem Akteur, der hinter einer seit Langem andauernden Malware-Kampagne steht, die auf Linux-Systeme abzielt.
Der Twitter-Thread beschreibt die jüngsten Aktivitäten der Kampagne sowie Aktualisierungen der TTPs des Angreifers und schließt mit den Indikatoren für eine Kompromittierung (IOCs) im Zusammenhang mit 8220’s aktuellen Angriffen – deren Ziel offenbar finanzieller Natur ist, da sie Kryptomining beinhalten.
Wer ist die „ 8220 “-Bande?
Die „ 8220 Gang“ ist eine chinesischsprachige, Monero-minende Cyberkriminalitätsgruppe, die erstmals im Jahr 2017 beobachtet wurde. Die Bezeichnung „ ‘8220’ “ bezieht sich auf die Vorliebe des Schauspielers, für seine C2 -Kommunikation den Port 8220 zu nutzen.
Diese Gruppe ist dafür bekannt, Hosts über gängige Cloud-Dienste zu infizieren, indem sie einen eigens entwickelten Miner und einen Internet-Relay-Chat-Bot (IRC-Bot) einsetzt, um weitere Angriffe zu unterstützen und sich Fernzugriff auf die Opfer zu verschaffen. Betrachtet man ihre jüngsten Aktivitäten, so scheint sich diese Vorgehensweise als die erfolgreichste erwiesen zu haben, da „ 8220 “ offenbar beschlossen hat, bis heute an ähnlichen TTPs festzuhalten.
Atlassian hat auf 2. Juni 2022 einen kritischen Fehler bekannt gegeben, der seine Produkte „Confluence Server“ und „Data Center“ betrifft (unter der Nummer CVE-2022-26134 erfasst). Innerhalb einer Woche zählte das Sicherheitsunternehmen Check Point die Gruppe „ 8220 “ zu den wenigen Akteuren, die die Zero-Day-Sicherheitslücke ausnutzten, um Kryptomining-Software herunterzuladen. Dies wurde durch Entdeckungen der Forscher von Check Point belegt, denen es im Rahmen einer Untersuchung gelang, aus einem infizierten System eine Domain und eine Krypto-Wallet zu extrahieren, die zuvor mit 8220 in Verbindung standen.
MSTIC berichtet, dass die Gruppe im Laufe des letzten Jahres ihre Techniken und Payloads aktiv weiterentwickelt hat. Die jüngste Kampagne zielt auf die Linux-Systeme i686 sowie x86 und 64 ab und nutzt RCE-Exploits für CVE-2022-26134 (Confluence) und CVE-2019-2725 (WebLogic), um sich einen ersten Zugriff zu verschaffen.
Wichtige Erkenntnisse
Zu den Aktualisierungen von 8220 TTPs und Tools gehören Berichten zufolge folgende Punkte:
- Neue Variante eines Kryptominers
- Neuer IRC-Bot
- Ausnutzung einer kürzlich bekannt gewordenen Sicherheitslücke (CVE-2022-26134)
- Einsatz eines Loaders mit Funktionen zur Umgehung von Erkennungsmechanismen, der die neueste Variante des pwnRig-Kryptominers sowie den oben genannten IRC-Bot herunterlädt, der Befehle von einem C2 -Server ausführt. Der Loader kann Neustarts überstehen, indem er eine geplante Aufgabe über einen Cron-Job oder ein Skript erstellt, das jede Minute als „nohup“-Befehl (no hangup) ausgeführt wird.
Laut Microsoft lädt die „ 8220 “-Gruppe, nachdem sie über „CVE-2022-26134“ einen ersten Zugriff erlangt hat, den oben genannten Loader auf das System herunter, der anschließend die Konfigurationen des Hosts ändert, um Sicherheitsdienste zu deaktivieren, einen Cryptominer herunterlädt, eine Persistenz im Zielnetzwerk herstellt und anschließend das Netzwerk (mithilfe des Port-Scan-Tools „MASSCAN“) scannt, um weitere potenziell anfällige Server zu finden.
Die Ausbreitung erfolgt mithilfe des auf GoLang basierenden SSH-Brute-Force-Tools „Spirit“. Der Loader durchsucht zudem die lokale Festplatte nach SSH-Schlüsseln, mit denen sich der Angreifer möglicherweise seitlich ausbreiten kann, indem er eine Verbindung zu vertrauenswürdigen Hosts herstellt.
Da der Loader Protokolldateien löschen und die Cloud-Überwachung sowie andere Sicherheitstools deaktivieren kann, warnt Microsoft Administratoren, die Manipulationsschutzfunktionen von Defender for Endpoint zu aktivieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Technisch gesehen handelt es sich hierbei nicht um eine neue Bedrohung, sondern vielmehr um eine aktualisierte und wirksamere Version einer bereits bestehenden Bedrohung. Wie dieser Bericht nahelegt, verstärkt Microsoft seine Bemühungen, das Bewusstsein für Malware zu schärfen, die auf Linux abzielt – eine Initiative, die nach Ansicht von CTI lobenswert ist. Was das aktualisierte Arsenal der „ 8220 Gang“ betrifft, so handelt es sich hierbei um das Werk eines Angreifers, der eine Methode gefunden hat, die sich als erfolgreich erwiesen hat, und der daher offenbar das letzte Jahr damit verbracht hat, seine Malware und seine Einsatztechniken zu aktualisieren – was die CTI als Versuch bezeichnen würde, die Erfolgsquote seiner Angriffe noch weiter zu steigern.
This shows a high degree of dedication and is also indicative of a group for which cryptomining is a true occupation, as opposed to a side gig. 8220’s increasing sophistication is a sign that its methods are working, as this kind of development takes time, but more importantly, financial resources. „Unter dem Strich ist 8220 eine aufkommende Bedrohung und sollte auch als solche behandelt werden.“
Entdecken Sie die Tanium-Community
Cyberbedrohungen entwickeln sich ständig weiter, weshalb es wichtig ist, über die neuesten Entwicklungen auf dem Laufenden zu bleiben. Und hier bei Tanium setzen wir uns dafür ein, dass Sie stets auf dem Laufenden und gut vorbereitet bleiben.
Schauen Sie unbedingt bald wieder vorbei, um unseren nächsten Nachrichtenüberblick zu lesen. In der Zwischenzeit können Sie sich in unserer Tanium-Community unter über aktuelle Themen im Bereich Cybersicherheit, Ankündigungen und Diskussionsforen informieren: (wird in einem neuen Tab geöffnet).
