Den Auftakt der aktuellen CTI-Zusammenfassung bildet ein Blick auf das Wiederaufleben der berüchtigten Emotet-Malware und ihres Botnetzes nach deren 2021 . Zerschlagung durch internationale Strafverfolgungsbehörden. Als Nächstes untersuchen wir die verschiedenen Methoden, mit denen die Betreiber der IcedID-Malware mit Verbreitungsstrategien experimentieren. Abschließend möchten wir Ihnen eine Zusammenfassung der jüngsten Berichte von Cisco Talos präsentieren, in denen die Entdeckung eines neuen Angriffsframeworks beschrieben wird, das das Tool „Alchimist C2 “ sowie die neue Malware „Insekt“ umfasst.
1. Die Malware „Emotet“ steht erneut im Rampenlicht
Einem neuen Bericht von VMware zufolge sollen die Angreifer hinter dem Botnetz „ “, das die Emotet-Malware verbreitet ( ), ihr berüchtigtes „Malware-as-a-Service“-Angebot (MaaS) neu aufgelegt und mit fortschrittlichen Tarnmechanismen sowie weiteren Funktionen ausgestattet haben.
Das Wiederauftauchen der Malware, das Forscher ab Januar 2022 beobachteten – – nach der koordinierten Zerschlagung von Emotet Anfang 2021 durch internationale Strafverfolgungsbehörden, signalisiert deren Rückkehr als anhaltende globale Bedrohung – gestärkt durch die Lehren, die aus dem Kampf gegen die Behörden gezogen wurden.
Neben anderen bemerkenswerten Erkenntnissen hebt die Untersuchung von VMware die technologischen Verbesserungen von Emotet hervor, die im Anschluss an die Phase der erzwungenen Inaktivität vorgenommen wurden. Dazu gehören:
- Bessere Infrastruktur
- Verbesserte Maßnahmen zur Verhinderung von Analysen
- Fähigkeit, verschiedene Angriffsziele zu unterstützen
- Sich ständig weiterentwickelnde Angriffsmuster
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es ist schon eine Weile her, dass Emotet für Schlagzeilen gesorgt hat.“ Zwar wurden die meisten der von der Threat Analysis Unit von VMware analysierten Aktivitäten bereits seit Anfang 2022 beobachtet, doch sollte die Bedeutung des Wiederauftretens von Emotet nicht unterschätzt werden. „Wenn bereits die Bildung einer internationalen Task Force aus zahlreichen Strafverfolgungsbehörden weltweit, deren einziges Ziel darin bestand, Emotet und dessen Botnetz zu zerschlagen, kein Beweis für dessen Status als weltweite Cyberbedrohung war, dann ist die Tatsache, dass es die Bemühungen der Task Force überstanden hat und gestärkt – und schwerer zu fassen denn je – zurückgekehrt ist, dies sicherlich.“
„Der Twitter-Account von ESET Research veröffentlichte kürzlich einen Thread, in dem der Verfasser einräumte, dass es sich bei dem Tweet um das erste Emotet-Update des Unternehmens nach drei Monaten der Inaktivität handelte.“ Der Thread enthält neue Indikatoren für Kompromittierung (IoC) für eines der aktualisierten Module von Emotet. Es ist unklar, ob Emotet tatsächlich schon so lange inaktiv ist, wie die Branche anzunehmen scheint. „Die Betreiber haben vielleicht nicht ständig Angriffe gestartet, doch angesichts der zahlreichen Fortschritte bei den Ausweichmechanismen waren sie höchstwahrscheinlich damit beschäftigt, ihr Produkt zu aktualisieren.“
#BREAKING Ein weiterer Tag bei #ESETresearch, ein weiterer #Emotet -Kampagne mit einer neuen Technik. Anstelle der üblichen Office-Makros verwenden die Bediener PowerShell in LNK-Anhängen – Dateiname „form.lnk“. Wenn das Opfer die Datei ausführt, wird die Emotet-Binärdatei (.DLL) heruntergeladen und ausgeführt. 4.1.
2. Die Hacker hinter den IcedID-Malware-Angriffen diversifizieren ihre Verbreitungsmethoden
Laut Team Cymru nutzen die Angreifer hinter den IcedID-Malware-Phishing-Kampagnen „ “ mittlerweile eine Vielzahl von Verbreitungsmethoden.
In jüngster Zeit wurden mehrere IcedID-Kampagnen beobachtet, bei denen leicht unterschiedliche Infektionswege zum Einsatz kamen; Forscher gehen davon aus, dass die Angreifer damit versuchen, herauszufinden, welche Methode bei verschiedenen Zielen am besten funktioniert.
Was ist die IcedID-Malware-Familie?
Die Malware „IcedID“, auch bekannt als „BokBot“, wurde erstmals Anfang 2017 als einfacher Banking-Trojaner entdeckt. Die Malware entwickelte sich später – wie es bei solcher Malware häufig der Fall ist – weiter und wurde um Funktionen zum Ablegen von Malware erweitert, die es ihr ermöglichen, zusätzliche schädliche Payloads herunterzuladen und zu installieren. IcedID wird in der Regel über Phishing-Kampagnen unter verbreitet oder von anderer Malware, insbesondere Emotet, als sekundäre Nutzlast eingeschleust.
Aktuelle IcedID-Kampagnen nutzen eine Vielzahl unterschiedlicher Ködertypen und Vorgehensweisen. Die Forscher von Team Cymru verglichen die verschiedenen Kampagnen (alle aus dem September 2022), um zu verstehen, welche Kennzahlen die Angreifer möglicherweise selbst zu erfassen versuchen – d. h., welche Methoden in den einzelnen Kampagnen den größten Ertrag bringen oder am besten funktionieren.
Wie wird die IcedID-Malware verbreitet?
Bei den in „ September 2022“ analysierten Kampagnen wurden verschiedene Methoden zur Verbreitung von Malware festgestellt, darunter:
- Passwortgeschützte ZIP-Datei mit LNK-Datei
- Passwortgeschützte ZIP-Datei ohne LNK-Datei
- Maldoc
- PrivateLoader
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Team Cymru stellte fest, dass die Kampagnen zahlreiche grammatikalische Fehler enthielten, was zu einer geringeren Anzahl von Opfern geführt hat. Diese Beobachtung dient als weiterer Beleg für den Nutzen fundierter Phishing-Schulungen und Sensibilisierungsprogramme, die den Nutzern beibringen, solche Anzeichen für Unechtheit in E-Mails zu erkennen, und belegt, dass dieses Wissen die Wahrscheinlichkeit deutlich verringert, dass Empfänger auf Phishing-Kampagnen hereinfallen.“
„Die Kehrseite der Medaille ist, dass sich auch die Angreifer dessen bewusst sind; daher haben viele der versierteren Angreifer beschlossen, ihre Angriffsmethoden innerhalb kurzer Zeit zu diversifizieren und die Wirksamkeit der einzelnen Methoden zu bewerten.“
„Forscher gehen davon aus, dass die Methode ‚ZIP-Datei – ISO-Datei – LNK-Datei‘ die erfolgreichste von den Angreifern erprobte Verbreitungsmethode war.“ Ist dies die Methode, auf die sich die Angreifer künftig am meisten verlassen werden, um die IcedID-Malware zu verbreiten? Vielleicht. Oder vielleicht versuchen sie etwas völlig anderes, um Forscher und Sicherheitsexperten zu überraschen. Die Zeit wird es zeigen, doch es wäre nicht überraschend, wenn sich das letztgenannte Szenario bewahrheiten würde.“
„Die einzige Frage, die noch offen bleibt, lautet: Was werden wir aus all dem lernen, und wie werden wir diese Erkenntnisse nutzen?“
3. Neues „Alchimist“-Angriffs-Framework zielt auf Windows, macOS und Linux ab
Ein aktueller Bericht von Cisco Talos beschreibt die Entdeckung eines neuen Angriffsframeworks, darunter ein „ “-Command-and-Control-Tool (C2) namens „Alchimist“ sowie eine neue Malware namens „Insekt“.
Das All-inclusive-Framework wird aktiv bei Angriffen auf Windows-, macOS- und Linux-Systeme eingesetzt. Diese Entdeckung erfolgt nur wenige Monate nach der Entdeckung des Manjusaka-Frameworks, das, wie Forscher feststellten, Ähnlichkeiten mit Alchimist aufweist.
Was ist „Alchimist“?
„Alchimist“ ist eine 64-Bit-Linux-Ausführungsdatei, die in der allseits beliebten Programmiersprache GoLang geschrieben wurde. Alchimist C2 verfügt über eine Weboberfläche in vereinfachtem Chinesisch und kann eine konfigurierte Payload generieren, Fernsitzungen herstellen, Payloads auf den Remote-Rechnern bereitstellen, Screenshots aufnehmen, Shellcode aus der Ferne ausführen sowie beliebige Befehle ausführen.
Über das Insekt-Implantat
„Insekt“ ist ein in GoLang geschriebener 64-Bit-Implant, der für Windows- und Linux-Umgebungen kompiliert wurde und über zahlreiche RAT-Funktionen verfügt – die alle vom Alchimist- C2 -Server gesteuert werden. Das Implantat richtet mehrere Handler für sieben Hauptfunktionen ein:
- Dateigrößen abrufen.
- Informationen zum Betriebssystem abrufen.
- Führen Sie beliebige Befehle über „cmd[.]exe“ aus.
- Rüsten Sie das derzeitige Insekt-Implantat auf.
- Führen Sie beliebige Befehle als anderer Benutzer aus.
- Schlafen Sie für Zeiträume, die durch die C2 festgelegt sind.
- Die Erstellung von Screenshots starten bzw. beenden.
Insekt verfügt über weitere Funktionen, wie beispielsweise die Ausführung von Shellcode, das Scannen von Ports und IP-Adressen, die Manipulation von SSH-Schlüsseln, das Proxying von Verbindungen usw. Die Linux-Variante von Insekt ist in der Lage, den Inhalt des Verzeichnisses „.ssh“ im Home-Verzeichnis des Opfers aufzulisten und neue SSH-Schlüssel hinzuzufügen, sodass der Angreifer über SSH vom Rechner C2 aus mit dem Rechner des Opfers kommunizieren kann. Insekt umfasst ein Modul, das die verschiedenen Befehle ausführen kann, die von den Betreibern erteilt werden, sowie ein Modul, das bestimmte RAT-Aktionen auf dem infizierten Endgerät durchführen kann.
Weitere Tools, die Sie beachten sollten
Cisco Talos stellte einige weitere Tools vor, die zur Ausweitung von Berechtigungen und schließlich zur Ausnutzung von Schwachstellen auf macOS-Plattformen dienen. Der Quellcode von zwei dieser Tools ist auf GitHub zu finden, darunter „Fast Reverse Proxy“ (frp), das zur Datenexfiltration verwendet wird, sowie „Fscan“, ein Tool zum Scannen von Intranets.
- MacOSX-Exploit: Die im Verzeichnis „open“ entdeckte Mach-O-Datei ist eine weitere GoLang-ausführbare Datei, in die ein Exploit und eine Bind-Shell-Backdoor eingebettet sind. Der Dropper nutzt eine Sicherheitslücke im pkexec-Dienstprogramm von polkit aus, um eine Rechteausweitung zu erreichen. Dieses Dienstprogramm ist jedoch unter macOSX standardmäßig nicht installiert, was bedeutet, dass die Rechteausweitung nicht garantiert ist.
- Scriptlet: Alchimist kann zudem Skripte generieren, die in der ersten Phase einer Infektion zum Einsatz kommen. Ein von den Forschern entdecktes Skript trug den Namen „down[.]sct“ und lädt das Insekt-Implantat von einer bestimmten URL herunter.
- Shellcode: Forscher haben einen Meterpreter-Shellcode in einer Datei mit dem Namen „shell[.]msi“ entdeckt. Es enthält die bösartige Konfiguration mit den Host- und Port-Angaben, die es dem Shellcode ermöglichen, eine Verbindung zu einer bestimmten IP-Adresse herzustellen.
Alchimist weist Ähnlichkeiten mit Manjusaka auf, einem weiteren Angriffs-Framework
Cisco Talos hat einen eigenständigen C2 -Server entdeckt, den die Autoren „Alchimist“ nennen, sowie die dazugehörigen Implantate, die von den Autoren als „Insekt RAT“-Familie bezeichnet werden. Und erst vor wenigen Monaten entdeckte Cisco Talos ein weiteres eigenständiges Framework namens „ “, das den Namen „Manjusaka“ trägt:. Beide Frameworks folgen, obwohl sie auf unterschiedliche Weise umgesetzt wurden, derselben übergeordneten Designphilosophie und scheinen dieselben Anforderungen zu erfüllen. Die Frameworks wurden so konzipiert und implementiert, dass sie als eigenständige, auf GoLang basierende ausführbare Dateien fungieren, die sich relativ einfach verbreiten lassen; beide nutzen eine Weboberfläche in vereinfachtem Chinesisch und beide verweisen auf das selten verwendete „ “-Protokoll (SNI).
Die größten Unterschiede zwischen Manjusaka und Alchimist liegen in der Herangehensweise bei der Umsetzung der Web-Benutzeroberfläche und in der Art und Weise, wie die Ein-Datei-Funktion implementiert wird. Manjusaka-Entwickler nutzen das Gin-Web-Framework, und verwendet „packr“, ein Framework zur Bündelung von Assets, um die Implantate einzubetten und zu speichern. Die Autoren von „Alchimist“ verfolgten einen grundlegenderen Ansatz und nutzten ausschließlich die grundlegenden Funktionen von GoLang, um dieselben Funktionen zu implementieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die zahlreichen Ähnlichkeiten zwischen Manjusaka und Alchimist sowie der kurze Zeitraum zwischen der Entstehung der beiden Frameworks könnten auf einen neuen Trend hindeuten, nämlich den Einsatz von umfassenden oder einsatzbereiten C2 -Frameworks.“
„Diese Frameworks sind für Cyberkriminelle attraktiv, da sie für eine Vielzahl von Funktionen genutzt werden können, darunter sowohl die Fernverwaltung als auch die Befehls- und Kontrollfunktionen.“
„Cisco Talos fasst es treffend zusammen: ‚Wenn sich ein Angreifer privilegierten Shell-Zugriff auf den Rechner eines Opfers verschafft, ist das so, als hätte er ein Schweizer Taschenmesser – es ermöglicht die Ausführung beliebiger Befehle oder Shellcodes in der Umgebung des Opfers, was erhebliche Auswirkungen auf die Zielorganisation hat.‘“
„Hinweise darauf, dass solche umfassenden Rahmenwerke für Angreifer attraktiv sind, lassen sich in verschiedenen Berichten erkennen, die in der vergangenen Woche oder so veröffentlicht wurden.“ CTI berichtete zudem über einen Artikel von Trend Micro unter mit dem Titel „“, in dem beschrieben wird, wie QAKBOT – ein effektiver Malware-Loader bzw. -Dropper – mittlerweile die Auslieferung von Payloads der zweiten Stufe ermöglicht, darunter „Brute Ratel“, ein im Handel erhältliches Framework zur Emulation von Angreifern, sowie das allgegenwärtige „Cobalt Strike“, ein etablierteres Framework, die alle den späteren Einsatz der Ransomware „Black Basta“ unterstützen.
„Da die verschiedenen durchgesickerten Versionen von Cobalt Strike unweigerlich zu weniger erfolgreichen Angriffskampagnen geführt haben (eine hohe Erkennungsrate von Cobalt Strike ist die unvermeidliche Folge davon, dass ein überstrapaziertes und übermäßig bekannt gemachtes Tool wiederholt von Angreifern eingesetzt wird), haben Angreifer begonnen, auf neuere Frameworks mit erweiterten Funktionen zurückzugreifen.“ Neue Akteure wie Alchimist und Brute Ratel entwickeln sich zunehmend zu attraktiven Optionen für Angriffe, bei denen die Angreifer darauf abzielen, über längere Zeiträume unentdeckt zu bleiben. „Wir gehen davon aus, dass solche Frameworks weiterhin einen steigenden Anteil am Markt für C2-/Angreifer-Emulations-Frameworks gewinnen werden.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Diskussionsforum von Tanium unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungen.
