Im Roundup dieser Woche untersucht CTI einen Fall, der einen externen Benutzer betrifft, der unaufgeforderte Microsoft Teams-Chats an mehrere Mitarbeiter sendet. Als nächstes untersucht CTI einen Bericht von Guardio Labs darüber, wie sich das Phishing-Ökosystem entwickelt hat, um demokratisiert zu werden. Zum Schluss schließt CTI mit einem Blick auf eine Ransomware-Gruppe namens BianLian ab, die auf der Grundlage der erfassten Daten an der Leckstelle in den 10 aktivsten Gruppen geblieben ist.
1. DarkGate-Malware verbreitet sich über Teams-Gruppenchats
Das Team von AT&T für Cybersecurity Managed Detection and Response (MDR) hat kürzlich mit einem seiner Kunden zusammengearbeitet, um einen externen Benutzer zu befragen, der unaufgeforderte Microsoft Teams-Chats an mehrere ihrer Mitarbeiter sendet.
AT&T (jetzt LevelBlue) stellte fest, dass der Bedrohungsakteur mit DarkGate-Malware verbunden war und wollte Malware über Teams-Gruppenchats an Mitglieder der Organisation weiterleiten.
Das erste Ereignis
Die Untersuchung von AT&T begann, als der Kunde einen Screenshot einer externen Entität zur Verfügung stellte, die ihn zu einem Gruppenchat in Microsoft Teams einlud, von dem er glaubte, dass es sich um Phishing handelte.
Die Domain des Absenders war „.onmicrosoft[.]com“, was einigen Benutzern auf den ersten Blick legitim erscheinen könnte. Die Untersuchung von AT&T zu dieser Domain ergab keine Berichte über verdächtige Aktivitäten. Daher ist es wahrscheinlich, dass der Benutzername und/oder die gesamte Domain vor dem Angriff kompromittiert wurde.
Die Untersuchung
AT&T führte eine Suche nach dem externen Benutzernamen in der Umgebung seines Kunden durch und fand mehr als 1 000 „MessageSent“-Ereignisse in Microsoft Teams, die von diesem Benutzernamen generiert wurden. Während die Ereignisse die IDs der Empfänger nicht enthielten, enthielt sie die Mandanten-ID des externen Benutzers.
Von hier aus haben sie sich speziell „MitgliederHinzugefügte“ Ereignisse angesehen, um herauszufinden, wie viele Benutzer einem Chat mit diesem Benutzer beigetreten sind. AT&T konnte drei Benutzer identifizieren, die einen Chat mit diesem Benutzer eingegeben und eine doppelte Erweiterungsdatei namens „Navigating Future Changes Oktober 2023.pdf.msi“ heruntergeladen haben.
AT&T hat die zugehörigen Hashes erhalten und diese an den Kunden zur Sperrung weitergegeben. Nachdem sie die bösartige Datei in einer Sandbox-Umgebung detoniert hatten, konnten sie sie beobachten, wie sie auf eine Domain zuwanderte, die zuvor mit der DarkGate C2 -Aktivität verknüpft war.
Empfehlung Aktion
Um zu verhindern, dass diese Arten von Angriffen den Betrieb beeinträchtigen, empfiehlt AT&T, den externen Zugriff innerhalb von Microsoft Teams zu deaktivieren, es sei denn, dies ist für das Tagesgeschäft erforderlich.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dieser Angriff ist so einfach, aber dennoch so effektiv, dass es kein Wunder ist, dass Hacker gesehen haben, dass sie Microsoft Teams verwenden, um DarkGate zu verbreiten . Es gibt keine komplexe benutzerdefinierte Malware oder langwindige Zugriffsmittel. Sie setzt einfach auf Social Engineering und nutzt das Vertrauen der Mitarbeiter in ihre interne Kommunikationsplattform.
Wenn überhaupt, ist dieser Angriff eine Erinnerung daran, dass Phishing und Social Engineering nicht ausschließlich per E-Mail stattfinden und dass wir auf allen Plattformen wachsam sein sollten.
2. Telegram-Marktplätze tragen zu Phishing-Angriffen bei
Forscher bei Guardio Labs berichteten kürzlich darüber, wie sich das Phishing-Ökosystem entwickelt hat, um demokratisiert zu werden.
Diese Entwicklung ist hauptsächlich auf Telegram zurückzuführen und darauf, wie die Plattform Cyberkriminellen ermöglicht, leicht das zu erhalten, was für einen Angriff benötigt wird – eine Aufgabe, die zuvor nur denjenigen im Dark Web und hinter Tor Onion-Netzwerken zur Verfügung stand.
Phishing-Märkte von Telegram
Guardio Labs hat einen tiefen Einblick in das Telegram Phishing-Ökosystem genommen und eine bösartige Kampagne für nur 230 USD rekonstruiert, um zu zeigen, wie einfach sie ist.
Da Telegram viele öffentliche Kanäle und Gruppen hostet, ist eine einfache Suche alles, was ein Cyberkrimineller braucht, um zu beginnen, was genau die Art von Phishing-Betrug ist, der von nordkoreanischen Gruppen – auch über Telegram – durchgeführt wird , über die wir letztes Jahr berichtet haben.
Eine Phishing-Website finden
Guardio Labs begann damit, Telegram nach Betrugsseiten oder Phishing-Seiten zu durchsuchen, die sie als Landingpage ihres Phishing-Angriffs verwenden könnten. Die Seiten, die sie auf Telegram gefunden haben, wurden mit Anti-Erkennungs- und Code-Verschleierungstechniken zusammen mit anderen optionalen Techniken wie Multi-Faktor-Authentifizierung (MFA) -Bypass ausgestattet. Diese Seiten reichten von etwa 10 USD für eine einfache Seite bis zu 800 USD oder mehr für diejenigen mit fortschrittlichen Techniken.
Nachdem sie eine Seite gefunden hatten, kontaktierten sie den Verkäufer und verhandelten den Preis auf 30 USD. Als nächstes mussten sie einen Ort finden, an dem sie die Seite hosten konnten. Sie begannen einfach und entschieden sich für eine kostenlose Web-Shell-Probe einer zufällig kompromittierten WordPress-Website, die sie in einer der öffentlichen Gruppen gefunden hatten. Aus Gründen der Persistenz ersetzten sie die Web Shell durch ihre eigene passwortgeschützte Datei. Sie gingen dann mit ihrer Seite live.
Verbreitung/Botschaft
Nachdem sie ihre Phishing-Website eingerichtet hatten, mussten sie die zugehörigen Phishing-E-Mails senden. Viele der Methoden dafür sind ziemlich teuer. Sie entschieden sich für die Nutzung einer PHP-Mailermethode, da ihnen eine Reihe kostenloser Proben zur Verfügung standen. Sie konnten Proben finden, die zuvor nicht verwendet wurden und daher zuvor nicht auf der schwarzen Liste standen. Sie stellten fest, dass sie etwa 25 000 E-Mails pro kostenlosem Beispiel senden konnten.
Mit drei bis vier Mailern könnten sie potenziell etwa 100 000 Phishing-E-Mails senden. Sie mussten dann bestimmen, was die E-Mails sagen sollten, um Spamfilter zu umgehen und die Leute dazu zu bringen, auf den Link zu klicken.
Leads
Mit ihrer Phishing-Seite und Phishing-E-Mail mussten sie bestimmen, an wen sie die E-Mails senden sollen. Listen aktiver E-Mail-Adressen werden als „Leads“ bezeichnet. Diese Leads sind gelegentlich kostenlos verfügbar, variieren aber im Preis, je nachdem, wie detailliert die Informationen sind. Sie konnten über Telegram eine Liste von 100 000 Bank of America-Kunden für nur 200 US-Dollar erwerben.
Simulieren von Einnahmen
Guardio Labs hat mehrere Annahmen getroffen, um ihre Darstellung unten zu erstellen. Sie gingen davon aus, dass sie von 100 000 E-Mails die Zugangsdaten von 50 Personen erhalten würden.
Diese Bankkontodaten könnten dann hypothetisch an das Cyberkriminal-Ökosystem zu einem Preis zurückverkauft werden. Wenn sie zusätzliche Annahmen darüber treffen, für wie viel sie diese verkaufen könnten, glauben sie, dass ein ähnlicher Phishing-Betrug mehr als 2 000 USD ausmachen könnte, wobei nur 230 USD im Voraus ausgegeben werden.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Guardio Labs beschreibt sehr klar, wie einfach es für Cyberkriminelle aller Raffinessestufen ist, Phishing-Kampagnen durchzuführen. Ihre Recherche belegt weiter, dass selbst einfache Phishing-Kits einen Gewinn für Cyberkriminelle erzielen können, was Sie fragen lässt, wie viel Bedrohungsakteure tatsächlich aus einigen der raffinierteren Phishing-Kits auf dem Markt machen.
Was vielleicht am interessantesten an der Entwicklung des Phishing-Ökosystems ist, ist, dass alles, was für einen Angriff benötigt wird, jetzt öffentlich verfügbar ist, als es sich früher hinter „Nur-Einladungs“-Dunkel-Webforen versteckte.
3. BianLian zielt auf mehrere Branchen ab
Palo Alto verfolgt eine Gruppe namens BianLian, die auf der Grundlage der gesammelten Daten an der Leckstelle in den 10 aktivsten Ransomware-Gruppen geblieben ist.
Ihre Recherche ergab ein kleines, angepasstes Tool, das auch von der Makop-Ransomware-Gruppe verwendet wird, was auf eine mögliche Verbindung zwischen den beiden Operationen hindeutet.
Was ist BianLian?
BianLian kam im Jahr 2022 heraus und behauptete fast wöchentlich neue Opfer an ihrer Datenleckstelle.
Die Gruppe tendiert dazu, sich auf die Sektoren Gesundheitswesen, Fertigung, professionelle Dienstleistungen und Rechtsdienstleistungen in Nordamerika, der EU und Indien zu konzentrieren. BianLian ist kürzlich von doppelter Erpressung zu Erpressung ohne Verschlüsselung übergegangen.
Es wird davon ausgegangen, dass sich der Betrieb aktiv erweitert, basierend auf der Leckagestelle der Gruppe, die anzeigt, dass sie neue Entwickler und Partner einstellen.
Die mögliche Verbindung von BianLian zu Makop
Palo Alto hat während dieser Analyse eine kleine benutzerdefinierte .NET-Ausführung entdeckt. Diese ausführbare Datei wird sowohl mit den Ransomware-Gruppen BianLian als auch Makop gemeinsam gefunden, die beide auch den gleichen Hash des öffentlich verfügbaren Advanced Port Scanner-Tools verwendeten.
Diese benutzerdefinierte ausführbare Datei ruft Dateiaufzählungs-, Registrierungs- und Zwischenablagedaten ab und enthält einige Wörter in der russischen Sprache. Obwohl die Erklärung für diese Überschneidung noch nicht bestätigt ist, weist sie darauf hin, dass die Gruppen über ein gemeinsames Toolset verfügen oder die Dienste derselben Entwickler verwenden können.
Technische Analyse
- Palo Alto ordnete verschiedene Angriffsstufen dem MITRE ATT&CK-Framework zu. Für den ersten Zugriff verwenden die Ransomware-Operatoren normalerweise gestohlene RDP-Zugangsdaten, nutzen die ProxyShell-Schwachstelle aus, zielen auf VPN-Anbieter ab oder verwenden andere zuvor gemeldete Techniken wie die Bereitstellung von Web-Shells. Für die Berechtigungsausblendung gibt die Gruppe den SAM-Registry-Hive in eine temporäre Datei aus.
- Durch die Angriffskette zur Persistenz lässt BianLian ihre Hintertür-DLL-Komponente fallen und führt sie über eine geplante Aufgabe aus, die von Impacket erstellt wurde. Die geplante Aufgabe führt regelmäßig die Hintertür-DLL aus.
- Der Vorgang nutzt die gleiche Advanced Port Scanner-Datei, die der Makop-Ransomware-Vorgang für die Aufklärung nutzt. BianLian verwendet dann zwei Hauptkomponenten für die endgültigen Nutzlasten – einen Verschlüsselungs- und eine Hintertür – bevor sie seine Lösegeldnotiz ablegt. Die Hintertür funktioniert mehr wie ein Lader als eine herkömmliche Hintertür und ist für das Herunterladen und Ausführen zusätzlicher Nutzlasten verantwortlich.
- Anfang 2023 wurde ein Entschlüsseler für BianLians Verschlüsselung freigegeben. Dies zwingte die Gruppe, den Großteil ihrer Verschlüsselungsaktivität zu stoppen und ist der Hauptgrund für ihren Pivot zur Erpressung ohne Verschlüsselung.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
BianLian wird nicht annähernd so angesprochen wie Ransomware-Operationen wie LockBit oder BlackCat, ist aber immer noch eine prominente Bedrohung.
Die Operation ist seit ihrer Entstehung konsistent geblieben und reagierte schnell auf die Freigabe eines Entschlüsselers, wodurch die gesamte Struktur ihrer Operation als Reaktion geändert wurde.
Abgesehen von ihrer Anpassungsfähigkeit ist die potenzielle Überschneidung mit einem anderen Ransomware-Betrieb – obwohl unbestätigt – etwas, auf das man achten muss.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium , um ein Gespräch zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
