In der Zusammenfassung dieser Woche befasst sich CTI mit einem Fall, in dem ein externer Nutzer unaufgefordert Microsoft-Teams-Chatnachrichten an mehrere Mitarbeiter gesendet hat. Anschließend befasst sich CTI mit einem Bericht von Guardio Labs darüber, wie sich das Phishing-Ökosystem weiterentwickelt hat und zunehmend für jedermann zugänglich geworden ist. Abschließend wirft CTI einen Blick auf eine als „BianLian“ bekannte Ransomware-Gruppe, die laut den gesammelten Daten von Leak-Seiten weiterhin zu den 10 aktivsten Gruppen zählt.
1. Die Malware „DarkGate“ verbreitet sich über Teams-Gruppenchats
Das MDR-Team (Managed Detection and Response) für Cybersicherheit von AT&T arbeitete kürzlich mit einem seiner Kunden zusammen, nachdem ein externer Nutzer unaufgeforderte „ “-Nachrichten in Microsoft Teams-Chats an mehrere Mitarbeiter des Unternehmens gesendet hatte.
AT&T (jetzt LevelBlue) stellte fest, dass der Angreifer mit der DarkGate-Malware von in Verbindung stand und versuchte, Malware über Teams-Gruppenchats an Mitglieder der Organisation zu verbreiten.
Das erste Ereignis
Die Untersuchung von AT&T begann, als ein Kunde einen Screenshot vorlegte, auf dem zu sehen war, dass er von einem externen Anbieter zu einem Gruppenchat auf Microsoft Teams eingeladen wurde, den er für eine Phishing- unter hielt.
Die Domain des Absenders lautete „.onmicrosoft[.]com“, was auf den ersten Blick für manche Nutzer seriös erscheinen könnte. Die Untersuchungen von AT&T zu diesem Bereich ergaben keine Hinweise auf verdächtige Aktivitäten. Daher ist es wahrscheinlich, dass der Benutzername und/oder die gesamte Domain bereits vor dem Angriff kompromittiert wurden.
Die Untersuchung
AT&T führte eine Suche nach dem externen Benutzernamen in der Umgebung seines Kunden durch und fand in Microsoft Teams über 1 000 „MessageSent“-Ereignisse, die von diesem Benutzernamen generiert worden waren. Zwar enthielten die Ereignisse nicht die IDs der Empfänger, jedoch die Mandanten-ID des externen Benutzers.
An dieser Stelle beschlossen sie, sich gezielt die „MemberAdded“-Ereignisse anzusehen, um herauszufinden, wie viele Nutzer einem Chat mit diesem Nutzer beigetreten sind. AT&T konnte drei Nutzer identifizieren, die einen Chat mit diesem Nutzer begonnen und eine Datei mit doppelter Dateiendung namens „Navigating Future Changes Oktober 2023.pdf.msi“ heruntergeladen hatten.
AT&T hat die entsprechenden Hash-Werte ermittelt und diese dem Kunden zur Sperrung übermittelt. Nachdem sie die schädliche Datei in einer Sandbox-Umgebung ausgeführt hatten, konnten sie beobachten, wie diese eine Verbindung zu einer Domain herstellte, die zuvor mit Aktivitäten im Zusammenhang mit DarkGate C2 in Verbindung gebracht worden war.
Empfohlene Maßnahme
Um zu verhindern, dass sich solche Angriffe auf den Betriebsablauf auswirken, empfiehlt AT&T, den externen Zugriff in Microsoft Teams zu deaktivieren, sofern dies nicht für den täglichen Geschäftsbetrieb erforderlich ist.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Angriff ist so einfach und dennoch so effektiv, dass es kein Wunder ist, dass wir bereits beobachtet haben, wie Hacker der „ “ Microsoft Teams nutzten, um DarkGate zu verbreiten. Es gibt weder komplexe, maßgeschneiderte Malware noch umständliche Zugangswege. Es stützt sich lediglich auf Social Engineering und nutzt das Vertrauen aus, das die Mitarbeiter in ihre interne Kommunikationsplattform setzen.
Wenn überhaupt, dann macht dieser Angriff deutlich, dass Phishing und Social Engineering nicht ausschließlich per E-Mail stattfinden und dass wir auf allen Plattformen wachsam sein sollten.
2. Telegram-Marktplätze tragen zu Phishing-Angriffen bei
Forscher von Guardio Labs berichteten kürzlich darüber, wie sich das Phishing-Ökosystem weiterentwickelt hat und zunehmend für jedermann zugänglich geworden ist.
Diese Entwicklung ist größtenteils auf Telegram zurückzuführen und darauf, wie die Plattform es Cyberkriminellen ermöglicht, problemlos alles zu beschaffen, was für einen Angriff benötigt wird – eine Aufgabe, die zuvor nur denjenigen vorbehalten war, die im Dark Web und hinter Tor-Onion-Netzwerken agierten.
Die Phishing-Märkte auf Telegram
Guardio Labs hat das Telegram-Phishing-Ökosystem eingehend untersucht und eine böswillige Kampagne für nur 230 US-Dollar nachgestellt, um zu zeigen, wie einfach dies ist.
Da Telegram zahlreiche öffentliche Kanäle und Gruppen beherbergt, genügt eine einfache Suche, damit ein Cyberkrimineller seine Aktivitäten aufnehmen kann. Genau diese Art von Phishing-Betrug unter dem Namen „ “, der von nordkoreanischen Gruppen – ebenfalls über Telegram – begangen wird, haben wir bereits im vergangenen Jahr thematisiert.
Eine Phishing-Website finden
Guardio Labs begann damit, Telegram nach Betrugs- oder Phishing-Seiten zu durchsuchen, die sie als Zielseite für ihren Phishing-Angriff nutzen konnten. Die Seiten, die sie auf Telegram fanden, waren mit Techniken zur Erkennungsvermeidung und zur Code-Verschleierung ausgestattet, ebenso wie mit weiteren optionalen Techniken wie Multi-Faktor-Authentifizierung (MFA) Umgehung. Die Preise für diese Seiten reichten von etwa 10 Dollar für eine einfache Seite bis zu 800 Dollar oder mehr für Seiten mit fortgeschrittenen Techniken.
Nachdem sie eine Seite gefunden hatten, nahmen sie Kontakt zum Verkäufer auf und handelten den Preis auf 30 Dollar herunter. Als Nächstes mussten sie einen Host für die Seite finden. Sie begannen ganz einfach und entschieden sich dafür, eine kostenlose Webshell-Vorlage einer zufällig kompromittierten WordPress-Website zu verwenden, die sie in einer der öffentlichen Gruppen gefunden hatten. Um die Persistenz zu gewährleisten, ersetzten sie die Web-Shell durch eine eigene, passwortgeschützte Datei. Anschließend haben sie ihre Seite online gestellt.
Verbreitung/Kommunikation
Nachdem sie ihre Phishing-Website eingerichtet hatten, mussten sie die dazugehörigen Phishing-E-Mails versenden. Viele der dafür in Frage kommenden Verfahren sind recht kostspielig. Sie entschieden sich dafür, eine PHP-Mailer-Methode zu nutzen, da ihnen eine Reihe kostenloser Beispiele zur Verfügung stand. Es gelang ihnen, Proben zu finden, die zuvor noch nicht verwendet worden waren und daher auch noch nicht auf der schwarzen Liste standen. Sie stellten fest, dass sie pro kostenlosem Muster etwa 25 000 E-Mails versenden konnten.
Mit drei bis vier E-Mail-Konten könnten sie potenziell etwa 100 000 Phishing-E-Mails versenden. Anschließend mussten sie festlegen, welchen Inhalt die E-Mails haben sollten, um Spamfilter zu umgehen und die Empfänger dazu zu bewegen, auf den Link zu klicken.
Leads
Nachdem sie ihre Phishing-Seite und ihre Phishing-E-Mail fertiggestellt hatten, mussten sie festlegen, an wen sie die E-Mails versenden sollten. Listen mit aktiven E-Mail-Adressen werden als „Leads“ bezeichnet. Diese Leads sind gelegentlich kostenlos erhältlich, ihr Preis variiert jedoch je nach Detaillierungsgrad der Informationen. Es gelang ihnen, über Telegram eine Liste mit 100 000 Kunden der Bank of America für nur 200 Dollar zu erwerben.
Simulation von Umsätzen
Guardio Labs ist von mehreren Annahmen ausgegangen, um die nachstehende Darstellung zu erstellen. Sie gingen davon aus, dass sie aus 100 000 E-Mails die Zugangsdaten von 50 Personen erhalten würden.
Diese Bankkontodaten könnten dann hypothetisch gegen Bezahlung wieder in das Ökosystem der Cyberkriminalität verkauft werden. Ausgehend von weiteren Annahmen darüber, zu welchem Preis sie diese verkaufen könnten, gehen sie davon aus, dass sie mit einem ähnlichen Phishing-Betrug über 2 000 Dollar erlösen könnten, wobei im Vorfeld lediglich 230 Dollar aufgewendet werden müssten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Guardio Labs macht sehr deutlich, wie einfach es für Cyberkriminelle – unabhängig von ihrem Kenntnisstand – ist, Phishing-Kampagnen durchzuführen. Ihre Untersuchungen belegen zudem, dass selbst einfache Phishing-Kits Cyberkriminellen Gewinne einbringen können, was die Frage aufwirft, wie viel die Angreifer tatsächlich mit einigen der ausgefeilteren Phishing-Kits auf dem Markt verdienen.
Das vielleicht Interessanteste an der Entwicklung des Phishing-Ökosystems ist, dass alles, was für einen Angriff benötigt wird, mittlerweile öffentlich zugänglich ist, während es früher hinter Dark-Web-Foren verborgen war, zu denen man nur auf Einladung Zugang hatte.
3. BianLian richtet sich an verschiedene Branchen
Palo Alto verfolgt eine Gruppe namens „BianLian“, die auf der Grundlage der gesammelten Daten von Leak-Websites weiterhin in den Top 10 der aktivsten Ransomware-Gruppen des „ “ vertreten ist.
Ihre Untersuchungen brachten ein kleines, maßgeschneidertes Tool ans Licht, das auch von der Ransomware-Gruppe „Makop“ verwendet wird, was auf eine mögliche Verbindung zwischen den beiden Operationen hindeutet.
Was ist BianLian?
BianLian tauchte im Jahr 2022 auf und vermeldet auf seiner Website für Datenlecks fast wöchentlich neue Opfer.
Die Gruppe konzentriert sich in der Regel auf die Branchen Gesundheitswesen, Fertigung, professionelle Dienstleistungen und Rechtsberatung in Nordamerika, der EU und Indien. BianLian ist kürzlich von der doppelten Erpressung zur Erpressung ohne Verschlüsselung übergegangen.
Aufgrund der Leak-Seite der Gruppe, aus der hervorgeht, dass sie neue Entwickler und Partner einstellen, wird davon ausgegangen, dass der Betrieb aktiv expandiert.
Die mögliche Verbindung zwischen BianLian und Makop
Palo Alto hat im Rahmen dieser Analyse eine kleine, benutzerdefinierte .NET-Ausführungsdatei entdeckt. Diese ausführbare Datei kommt sowohl bei der Ransomware-Gruppe „BianLian“ als auch bei der Gruppe „Makop“ vor; beide nutzten zudem denselben Hashwert des öffentlich zugänglichen Tools „Advanced Port Scanner“.
Diese benutzerdefinierte ausführbare Datei ruft Daten zur Dateiauflistung, zur Registrierung und zur Zwischenablage ab und enthält einige Wörter in russischer Sprache. Zwar ist die Ursache für diese Überschneidung noch nicht bestätigt, doch deutet dies darauf hin, dass die Gruppen möglicherweise über einen gemeinsamen Werkzeugsatz verfügen oder die Dienste derselben Entwickler in Anspruch nehmen.
Technische Analyse
- Palo Alto hat verschiedene Angriffsphasen dem MITRE ATT&CK-Framework „ “ zugeordnet. Um sich zunächst Zugang zu verschaffen, nutzen die Ransomware-Betreiber in der Regel gestohlene RDP-Anmeldedaten, nutzen die ProxyShell-Sicherheitslücke aus, greifen VPN-Anbieter an oder wenden andere bereits bekannte Techniken an, wie beispielsweise das Einsetzen von Web-Shells. Zum Auslesen von Anmeldedaten speichert die Gruppe den SAM-Registrierungszweig in einer temporären Datei.
- Im weiteren Verlauf der Angriffskette bis hin zur Persistenz platziert BianLian seine Backdoor-DLL-Komponente und führt diese über eine von Impacket erstellte geplante Aufgabe aus. Die geplante Aufgabe führt die Backdoor-DLL in regelmäßigen Abständen aus.
- Bei dieser Operation wird dieselbe „Advanced Port Scanner“-Datei verwendet, die auch die Makop-Ransomware-Operation zur Erkundung nutzt. BianLian setzt anschließend zwei Hauptkomponenten für die endgültigen Nutzlasten ein – einen Verschlüsseler und eine Hintertür –, bevor es seine Lösegeldforderung hinterlässt. Die Backdoor funktioniert eher wie ein Loader als wie eine herkömmliche Backdoor und ist für das Herunterladen und Ausführen zusätzlicher Payloads zuständig.
- Anfang 2023 wurde ein Entschlüsselungsprogramm für den Verschlüsseler von BianLian veröffentlicht. Dies zwang die Gruppe dazu, den Großteil ihrer Verschlüsselungsaktivitäten einzustellen, und ist der Hauptgrund für ihre Umstellung auf Erpressung ohne Verschlüsselung.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Über BianLian wird bei weitem nicht so viel gesprochen wie über Ransomware-Operationen wie , LockBit oder BlackCat, dennoch stellt es eine erhebliche Bedrohung dar.
Die Vorgehensweise der Gruppe ist seit ihrem Auftreten unverändert geblieben; sie reagierte umgehend auf die Veröffentlichung eines Entschlüsselungsprogramms und passte daraufhin die gesamte Struktur ihrer Vorgehensweise an.
Abgesehen von ihrer Anpassungsfähigkeit ist die mögliche Überschneidung mit einer anderen Ransomware-Aktion – auch wenn diese noch nicht bestätigt ist – ein Aspekt, den man im Auge behalten sollte.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
