Diese Woche befasst sich CTI mit einer kürzlich entdeckten Malware-Kampagne, bei der gefälschte Google-Sites-Seiten und HTML-Smuggling genutzt werden, um die Azorult-Malware zu verbreiten. Im Folgenden stellt CTI die wichtigsten Erkenntnisse aus dem Bericht „State of API Security“ von Imperva vor, der sich mit der aktuellen Lage im Bereich der API-Sicherheit befasst. CTI analysiert zudem eine derzeit laufende APT-Kampagne (Advanced Persistent Threat), die auf mehrere Regierungsstellen weltweit abzielt.
1. Hacker verbreiten Malware über gefälschte Google Sites-Seiten
Eine kürzlich entdeckte Malware-Kampagne nutzt gefälschte Google-Sites-Seiten unter sowie die HTML-Smuggling-Technik, um eine als „Azorult“ bekannte Malware zu verbreiten.
Bei dieser Kampagne ist die Nutzlast in einer separaten, extern gehosteten JSON-Datei eingebettet. Der dateilose Infostealer „Azorult“ wird anschließend mittels reflektivem Code-Laden ausgeführt, um die Erkennung zu umgehen und Artefakte zu minimieren.
Google Sites zum Einschleusen von HTML-Code
Netskope hat diese jüngsten Aktivitäten aufgedeckt, bei denen gefälschte Google Docs-Seiten unter auf Google Sites zum Einsatz kamen, die von Angreifern zum Einschleusen von HTML-Code genutzt wurden, um schädliche Payloads herunterzuladen.
Der Angreifer, der hinter dieser Aktivität steht, verleitet seine Opfer dazu, gefälschte Google-Docs-Seiten aufzurufen, und bringt sie dazu, eine Datei herunterzuladen, von der sie glauben, dass sie aus Google Docs stammt. Im Rahmen dieser Kampagne bettete der Angreifer die schädliche Nutzlast in eine JSON-Datei ein, sodass die Website beim Aufruf durch das Opfer eine GET-Anfrage zum Herunterladen der JSON-Datei sendete.
Der Angreifer nutzte zudem CAPTCHA, um URL-Scanner zu umgehen. Sobald das Opfer das CAPTCHA überwunden hat, rekonstruiert der HTML-Schmuggelcode die Nutzlast und lädt sie herunter. Bei der heruntergeladenen Nutzlast handelt es sich um eine LNK-Datei, die das PDF-Symbol verwendet, um den Anwendern vorzugaukeln, es handele sich um eine rechtmäßig von Google Docs heruntergeladene Datei. Bei der letztendlich heruntergeladenen Malware handelt es sich um die Azorult-Malware, die Daten stiehlt.
Laden der dateilosen Malware „Azorult“
Die Kampagne führt den Informationsdieb „Azorult“ im Speicher mittels reflektierendem Code-Laden aus, was als zusätzliche Technik zur Umgehung von Abwehrmaßnahmen dient. Mit anderen Worten: Der Code wird in den eigenen Speicher eines laufenden PowerShell-Prozesses geladen und hinterlässt daher nicht so viele Spuren.
Zu diesem Zweck wird ein PowerShell-Skript ausgeführt, um die AMSI (Antimalware-Scan-Schnittstelle) zu umgehen. Anschließend wird ein zweites PowerShell-Skript ausgeführt, um den Azorult-Loader herunterzuladen, einen Shellcode zu definieren und eine Routine auszuführen, die sowohl den Shellcode als auch die ausführbare Datei in den Prozessspeicher lädt.
Was ist die Azorult-Malware?
Azorult gibt es bereits seit dem Jahr 2016. Zunächst wird ein Screenshot des Bildschirms des Geräts erstellt und als JPEG-Datei gespeichert. Anschließend werden Browserdaten erfasst, darunter die Anmeldedaten von Chrome, der lokale Status, Cookies und Webdaten. Diese Vorgehensweise gilt auch für Firefox. Die Malware kopiert Daten aus Krypto-Wallets, bevor sie auf dem Desktop nach sensiblen Dateien sucht. Das Programm sucht nach bestimmten Dateiendungen wie TXT, AXX, DOC, XLS, KDBX, DOCX und XLSX. Außerdem wird nach Dateinamen gesucht, die bestimmte Schlüsselwörter wie „Backup“, „Wallet“, „Ledger“ und „Secret“ enthalten. Sobald es über die benötigten Informationen verfügt, schreibt es die Daten in einen Speicherstrom, der später an den C2 weitergeleitet wird.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
HTML-Smuggling ist eine Technik, die von Angreifern zunehmend zur Verbreitung von Malware eingesetzt wird; daher ist es schwierig, diese Aktivität einem bestimmten Akteur zuzuordnen.
Wie Netskope hervorhebt: „Im Gegensatz zu üblichen Schmuggel-Dateien, bei denen sich der Blob bereits im HTML-Code befindet, kopiert diese Kampagne eine verschlüsselte Nutzlast von einer separaten, kompromittierten Website.“
Dies untermauert die Tatsache, dass Angreifer diese Technik zunehmend einsetzen und sie zudem anpassen, um einer Entdeckung noch besser zu entgehen.
2. Cyberkriminelle machen sich APIs zunutze
Imperva hat kürzlich seinen Bericht „: State of API Security“ veröffentlicht, der sich anhand von Angriffen auf APIs mit der aktuellen Lage im Bereich der API-Sicherheit befasst.
Imperva stellte fest, dass APIs mittlerweile ein beliebter Angriffsvektor für Angreifer sind, da sie einen direkten Zugang zu sensiblen Daten bieten. Der Bericht befasst sich mit Trends bei API-Angriffen und enthält Empfehlungen zur Verbesserung der API-Sicherheit.
Die wichtigsten API-Vektoren, die Sie kennen sollten
Imperva hat die im Laufe des letzten Jahres beobachteten Angriffsvektoren auf APIs analysiert. An der Spitze der Liste stand die Geschäftslogik, auf die 27 % aller Angriffe auf APIs entfielen – ein Anstieg um 10 % gegenüber dem Vorjahr.
Diese Art von Angriff findet statt, wenn ein Angreifer versucht, „die vorgesehene Funktionalität einer API für böswillige Zwecke auszunutzen, beispielsweise zur Entwendung sensibler Daten oder zur Störung einer geschäftskritischen Anwendung“. Das Aufdecken von Missbrauch der API-Geschäftslogik kann schwierig sein, da die Angriffe die legitime Nutzung sehr genau nachahmen.
An zweiter Stelle stehen mit einem Anteil von 19 % Angriffe, die von automatisierten Agenten oder „schädlichen Bots“ ausgehen. Imperva untersuchte zudem die Branchen mit den meisten API-Aufrufen und damit einem hohen Bot-Aufkommen. Sie stellten fest, dass der Banken- und Finanzsektor einen Anteil von 31 % ausmacht, gefolgt vom E-Commerce und Einzelhandel mit 17,9 % sowie dem Technologiesektor mit 7,1 %. Zwar ist nicht der gesamte Bot-Traffic bösartig, doch stellen diese Daten in Verbindung mit der Anzahl der API-Aufrufe ein Muster dar, das es wert ist, näher betrachtet zu werden.
Die Übernahme von API-Konten ist eine weitere häufige Angriffsart. Dies geschieht, wenn ein Angreifer eine Schwachstelle im Authentifizierungsprozess einer API ausnutzt, um Zugriff auf Benutzerkonten zu erlangen. Imperva stellte fest, dass 45,8 % aller von ihnen erfassten Angriffe auf API-Endpunkte abzielten, was einem Anstieg von 11 % gegenüber dem Vorjahr entspricht.
Falsch verwaltete API-Endpunkte
Der Bericht von Imperva befasst sich eingehend mit drei häufigen Arten von unsachgemäß verwalteten API-Endpunkten, die das Risiko solcher Angriffe erhöhen.
- „Shadow-APIs“ sind undokumentierte oder noch unentdeckte APIs. Es handelt sich im Wesentlichen um APIs, die in Vergessenheit geraten sind, und Imperva schätzt, dass diese 4,7 % der aktiven APIs eines Unternehmens ausmachen.
- Veraltete APIs sind API-Endpunkte, die nicht mehr aktualisiert werden und daher anfälliger für Angriffe sind.
- Nicht authentifizierte Endpunkte entstehen in der Regel durch eine Fehlkonfiguration oder ein Versehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Angreifer sind ständig auf der Suche nach neuen Angriffsvektoren und beobachten das gesamte Ökosystem, um potenziell lukrative Ziele zu identifizieren.
Einer der Gründe, warum APIs für Angreifer wahrscheinlich ein attraktives Ziel darstellen, ist die Tatsache, dass Unternehmen nicht immer einen vollständigen Überblick über ihre APIs haben.
Wie Imperva in seinem Bericht immer wieder hervorhebt, sind diese Angriffe schwer zu erkennen. „Die Dynamik der API-Interaktionen und die schiere Menge legitimer Anfragen erschweren es herkömmlichen Sicherheitsmaßnahmen, böswillige Aktivitäten zu erkennen“, heißt es in dem Bericht.
Da Angreifer verschiedene Techniken einsetzen, um APIs anzugreifen, sind unterschiedliche Arten von Abwehrmaßnahmen erforderlich, um einen umfassenden Schutz zu gewährleisten. Imperva gibt in seinem Bericht Tipps zur Risikominderung.
3. APT-Kampagne zielt auf staatliche Stellen weltweit ab
Forscher verfolgen seit 2022 eine APT-Kampagne namens „ “ , die sich gegen mehrere Regierungsstellen weltweit richtet.
Die Kampagne – die Forscher einem Akteur namens „Earth Krahang“ zuschreiben – nutzt öffentliche Infrastruktur, um weitere Angriffe auf andere staatliche Stellen durchzuführen. Der Angreifer nutzt diesen Zugriff, um schädliche Payloads zu hosten, Angriffsverkehr über einen Proxy zu leiten und Spear--Phishing-E-Mails von kompromittierten E-Mail-Konten der Regierung zu versenden. Der Schauspieler hat zudem kürzlich einen VPN-Server auf einem kompromittierten, nach außen zugänglichen Server eingerichtet, um sich dauerhaften Zugriff auf das private Netzwerk des Opfers zu verschaffen.
Erkundung und erster Zugriff
Einer der Infektionswege im Rahmen dieser Kampagne besteht darin, öffentlich zugängliche Server zu scannen. Der Angreifer nutzt Open-Source-Tools, um nach den Dateiendungen .git oder .idea zu suchen. Dieser Akteur führt gelegentlich auch direkt Brute-Force-Angriffe auf Verzeichnisse durch. Der Akteur sucht nach Servern, die möglicherweise nicht gewartet werden, und versucht, Zugriff auf diese Server zu erlangen, um Web-Shells zu platzieren und Hintertüren zu installieren. In einigen Fällen greift der Angreifer zudem auf Spear-Phishing zurück.
Trend Micro hat festgestellt, dass Earth Krahang während der Erkundungsphase Hunderte von E-Mail-Adressen des Ziels erfasst hat. In einem konkreten Fall nutzte der Angreifer ein kompromittiertes E-Mail-Postfach eines Regierungsmitarbeiters, um ein schädliches Dokument an 796 weitere E-Mail-Adressen derselben Regierungsbehörde zu versenden. Der Akteur missbraucht zudem das zwischen staatlichen Stellen aufgebaute Vertrauensverhältnis, um seine Angriffe voranzutreiben.
Maßnahmen nach der Ausnutzung
Es ist bekannt, dass dieser Angreifer das SoftEther-VPN auf den öffentlich zugänglichen Servern installiert, die er kompromittieren kann. Die ausführbare Datei des SoftEther-Servers wird anschließend umbenannt, um sich unauffällig unter die legitimen Dateien auf dem System einzufügen.
Dieses VPN wird anschließend genutzt, um eine Verbindung zum Netzwerk des Opfers herzustellen und weitere Aktivitäten im Rahmen der Nachnutzung durchzuführen. Zu den beobachteten Aktivitäten nach der Ausnutzung gehören unter anderem die Einrichtung einer Backdoor-Persistenz über geplante Aufgaben, die Aktivierung von Remote-Desktop-Verbindungen, der Zugriff auf Anmeldedaten, das Scannen des Netzwerks, die Durchführung lateraler Codeausführung sowie das Ausnutzen von Schwachstellen zur Rechteausweitung und vieles mehr.
Exfiltration von E-Mails
Es wurde beobachtet, dass der Angreifer über die OWA-Portale seiner Opfer Brute-Force-Angriffe auf Exchange-Server durchführte. Der Angreifer nutzt ein eigens erstelltes Python-Skript, das auf den ActiveSync-Dienst des OWA-Servers abzielt, um diesen Angriff durchzuführen. Darüber hinaus hat dieser Akteur das als „Ruler“ bekannte Open-Source-Tool eingesetzt, um E-Mail-Zugangsdaten mittels Brute-Force-Angriffen zu knacken. Zudem wurde ein weiteres Python-Skript verwendet, um E-Mails von einem Zimbra-Server zu entwenden.
Die Malware von Earth Krahang
Earth Krahang hat im Laufe dieser lang andauernden Kampagne eine Reihe von Schadprogrammen verbreitet, darunter Cobalt Strike sowie zwei verschiedene maßgeschneiderte Backdoors, nämlich REDSHELL und XDealer.
REDSHELL wurde vor allem während des Feldzugs im Jahr 2022 eingesetzt. Der Schauspieler nutzt inzwischen hauptsächlich XDealer, das sowohl in einer Windows- als auch in einer Linux-Version verfügbar ist.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Trend Micro gibt an, 48 betroffene staatliche Einrichtungen identifiziert zu haben. Zudem waren weitere 49 staatliche Einrichtungen betroffen. Diese Zahlen sind erschreckend, doch die Kampagne läuft bereits seit mindestens 2022 , sodass der Angreifer reichlich Zeit hatte, Angriffe durchzuführen.
Zwar richtete sich die Kampagne auch gegen andere Sektoren, doch zielt sie überwiegend auf staatliche Stellen ab und nutzt kompromittierte E-Mail-Konten von Behörden aus. Vor diesem Hintergrund ist es wichtig, eine „gesunde Skepsis gegenüber potenziellen Sicherheitsrisiken zu entwickeln und Gewohnheiten zu etablieren, wie beispielsweise darauf zu verzichten, auf Links zu klicken oder Anhänge zu öffnen, ohne zuvor die Identität des Absenders überprüft zu haben.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere „ “ sowie die jüngsten Zusammenfassungen zu Cyber-Bedrohungen unter.
