In der Zusammenfassung dieser Woche untersucht CTI, wie Angreifer alten Proof-of-Concept-Code (PoC) umfunktionieren, um einen gefälschten PoC für neue Sicherheitslücken zu erstellen. Als Nächstes berichtet CTI über eine gemeinsame Cybersicherheitswarnung des Federal Bureau of Investigation (FBI) und der Cybersecurity and Infrastructure Security Agency (CISA) bezüglich der Ransomware „Snatch“. Schließlich untersucht CTI einen chinesischen Akteur im Bereich der Spionage, der unter dem Namen „Earth Lusca“ bekannt ist und mit einer neuen Linux-Backdoor namens „SprySOCKS“ Regierungsorganisationen in mehreren Ländern ins Visier nimmt.
1. Angreifer verwenden alten Code in gefälschten Proof-of-Concept-Beispielen für Sicherheitslücken wieder
In einer Warnung an Forscher enthüllt Palo Alto, wie ein Angreifer kurz nach der öffentlichen Bekanntgabe der Sicherheitslücke ein gefälschtes PoC-Skript „ “ (wird in einem neuen Tab geöffnet) in ein GitHub-Repository hochgeladen hat, was zum Download von Venom RAT führte.
Am 17. August meldete die Zero Day Initiative öffentlich eine Sicherheitslücke in WinRAR, die eine Remote-Code-Ausführung (RCE) ermöglicht und unter der Nummer CVE-2023-40477 erfasst wurde. Nur vier Tage später hat ein Akteur unter dem Pseudonym „whalersplonk“ ein gefälschtes PoC-Skript in sein GitHub-Repository eingecheckt. Dieser gefälschte PoC basiert auf einem öffentlich zugänglichen PoC-Skript, das eine SQL-Injection-Sicherheitslücke ausnutzte.
Das gefälschte PoC-Skript nutzt die beabsichtigte Sicherheitslücke nicht aus, sondern basiert stattdessen auf einem öffentlich zugänglichen PoC-Code für eine Sicherheitslücke in GeoServer. Anstatt die WinRAR-Sicherheitslücke auszunutzen, wie man es vom PoC-Code erwarten würde, löst dieser eine Infektionskette aus, die zur Installation von VenomRAT führt.
Der gefälschte PoC ist ein Python-Skript, das in einem ZIP-Archiv mit dem Namen „ CVE-2023-40477-main.zip“ auf VirusTotal hochgeladen wurde, genauer gesagt die Datei „poc.py“.
Social-Engineering-Komponente
Die Datei „README.md“ im ZIP-Archiv versucht, Nutzer dazu zu verleiten, ihr eigenes System zu kompromittieren, indem sie eine Zusammenfassung der Sicherheitslücke sowie eine Anleitung zur Verwendung des vermeintlichen PoC-Skripts enthält. Die Anleitung enthält zudem einen Link zu einem Video. Das Video ist jedoch nicht mehr unter dieser URL verfügbar, da die Gültigkeitsdauer abgelaufen ist.
Die Forscher stellten fest, dass das in der README-Datei erwähnte Video über 100 Mal angesehen wurde. Es gelang ihnen, zwei Screenshots zu erhalten, die als Vorschaubilder zur Darstellung von Ausschnitten des Videos verwendet wurden.
- Das erste Bild wird angezeigt, bevor der Benutzer auf die Wiedergabetaste klickt, und zeigt den Desktop sowie den Task-Manager des Angreifers, einschließlich eines Prozesses mit dem Namen „Windows.Gaming.Preview“. Dies ist derselbe Name der ausführbaren Datei wie der der VenomRAT-Nutzlast.
- Der zweite Screenshot stammt vermutlich aus der Mitte des Videos und zeigt ein Archiv von Burp Suite, ein Passwort im Notepad sowie den PuTTY-Client. Außerdem werden Datum und Uhrzeit der Windows-Uhr angezeigt, was bei der Ermittlung eines zeitlichen Ablaufs hilfreich war.
Der gefälschte PoC
Das gefälschte PoC-Python-Skript im Archiv trug den Namen „poc.py“ und basierte auf dem Open-Source-PoC „ CVE-2023-25157 “, wobei einige Änderungen vorgenommen worden waren.
Zu den Änderungen gehören:
- Entfernung von Kommentaren zu Einzelheiten bezüglich der Sicherheitslücke CVE-2023-25157
- Entfernung von Codezeilen, die darauf hindeuten könnten, dass es sich um eine netzwerkbezogene Sicherheitslücke handelt, wie beispielsweise die Festlegung von Variablen mit den Namen PROXY und PROXY_ENABLED
- Modifizierte Zeichenfolgen aus Geoserver zur Ausnutzung einer Sicherheitslücke
- Einfügen von zusätzlichem Code, der ein Batch-Skript mit dem Kommentar „Abhängigkeit prüfen“ herunterlädt und ausführt
Ein Batch-Skript führt ein verschlüsseltes PowerShell-Skript aus, um ein weiteres PowerShell-Skript herunterzuladen, das unter %TEMP%\c.ps1 gespeichert wird. Dieses heruntergeladene Skript lädt eine weitere ausführbare Datei herunter und führt sie aus, bevor es eine geplante Aufgabe (Windows.Gaming.Preview.exe) erstellt, die diese ausführbare Datei alle drei Minuten ausführt.
„Windows.Gaming.Preview.exe“ ist eine Variante von VenomRAT. Diese Variante startet eine Keylogger-Funktion, um Tastenanschläge zu protokollieren, bevor die Kommunikation mit dem C2 aufgenommen wird.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Motivation hinter diesem Angriff ist interessant, da es den Anschein hat, dass die Zielauswahl zwar eher opportunistisch erfolgt, sich aber dennoch auf Sicherheitsforscher konzentriert.“
„Diese Vorgehensweise verdeutlicht, dass Angreifer ständig nach neuen Angriffswegen suchen und die Interessen ihrer Ziele ausnutzen werden.“ „Dies macht uns zudem deutlich, wie wichtig es ist, zuverlässige Quellen zu nutzen, insbesondere beim Herunterladen von PoC-Code.“
2. Das FBI und die CISA veröffentlichen eine gemeinsame Warnmeldung zu „Snatch RaaS“
Das FBI und die CISA haben eine gemeinsame Cybersicherheitsempfehlung veröffentlicht, um die neuesten Indikatoren für Kompromittierung (IOCs) und Taktiken, Verfahren und Praktiken (TTPs) im Zusammenhang mit der Ransomware „ Snatch“ bekannt zu machen. (wird in einem neuen Tab geöffnet)
Die Ransomware „Snatch“ tauchte erstmals im Jahr 2018 auf und wurde nach dem „Ransomware-as-a-Service“-Modell (RaaS) betrieben. Die Gruppe hieß ursprünglich „Team Truniger“, benannt nach dem Spitznamen eines wichtigen Mitglieds der Gruppe. Die Angreifer setzten eine maßgeschneiderte Ransomware-Variante ein, die sich vor allem dadurch auszeichnete, dass sie Geräte im abgesicherten Modus neu startete, wodurch die Ransomware die Erkennung umgehen und Dateien verschlüsseln konnte, während weniger Dienste ausgeführt wurden.
Es ist bekannt, dass die Angreifer von anderen Ransomware-Varianten gestohlene Daten erwerben, um diese Opfer weiter auszubeuten. Wie wir bereits erwähnt haben, hat die Ransomware-Gruppe „Snatch“ die Verantwortung für mehrere Angriffe auf Bildungseinrichtungen übernommen, die zur Exfiltration personenbezogener Daten von Studierenden und Mitarbeitern ins Dark Web führten. Seit Mitte 2021 entwickeln die Hintermänner der Ransomware „Snatch“ ihre TTPs kontinuierlich weiter, um die sich wandelnde Bedrohungslandschaft auszunutzen. Die Angreifer haben in der Vergangenheit eine Vielzahl von Sektoren kritischer Infrastruktur ins Visier genommen, darunter die Verteidigungsindustrie (DIB), die Lebensmittel- und Agrarwirtschaft sowie den IT-Sektor.
Die hinter der Ransomware „Snatch“ stehenden Akteure führen Operationen durch, die Datenexfiltration und doppelte Erpressung umfassen. Oft nehmen sie direkt Kontakt zu den Opfern auf, um Lösegeld zu fordern, und drohen damit, gestohlene Daten auf ihrem Erpressungsblog zu veröffentlichen.
Erstzugang und Persistenz
Angreifer, die „Snatch“ einsetzen, verfügen über verschiedene Methoden, um sich Zugriff zu verschaffen und ihre Persistenz aufrechtzuerhalten. Die Angreifer nutzen in der Regel Schwachstellen im RDP aus, um mittels Brute-Force-Angriffen Administratorzugangsdaten für das Netzwerk zu erlangen. In einigen Fällen haben Partner kompromittierte Zugangsdaten in Untergrundforen von Cyberkriminellen erworben.
Die Angreifer sichern sich einen dauerhaften Zugriff, indem sie ein Administratorkonto kompromittieren und über Port 443 Verbindungen zu einem C2 -Server herstellen. Der Server „ C2 “ befindet sich bei einem russischen, absolut sicheren Hosting-Anbieter.
Datenermittlung und laterale Bewegung
Die Angreifer nutzen verschiedene TTPs, um Daten aufzuspüren, sich lateral zu bewegen und nach Daten zu suchen, die sie abziehen können. Mit „sc.exe“ können Sie Systemdienste über die Windows-Befehlszeile konfigurieren, abfragen, beenden, starten, löschen und hinzufügen. Die Angreifer setzten zudem Metasploit und Cobalt Strike ein.
Bevor sie die Ransomware einsetzen, halten sich die Angreifer bis zu drei Monate lang auf dem System des Opfers auf. Während dieser Zeit nutzen die Angreifer das Netzwerk aus und bewegen sich über RDP lateral, um die Ransomware in größtmöglichem Umfang zu verbreiten.
Vermeidung und Durchführung von Verteidigungsmaßnahmen
In den frühen Phasen der Angriffskette versuchen die „Snatch“-Angreifer, Antivirensoftware zu deaktivieren und eine ausführbare Datei mit dem Namen „safe.exe“ auszuführen. In jüngeren Fällen bestand der Name der ausführbaren Datei der Ransomware aus einer Folge hexadezimaler Zeichen, die mit dem SHA-256-Hash der Dateien übereinstimmte.
Nach dem Start fragt die Ransomware-Nutzlast Registrierungsschlüssel ab und ändert diese, nutzt verschiedene native Windows-Tools, um das System zu erfassen, Prozesse zu ermitteln und harmlose Prozesse zu erstellen, um Windows-Batch-Dateien auszuführen. In einigen Fällen löscht die Ransomware Volume-Schattenkopien. Nach der Ausführung der Batch-Dateien löscht die Ransomware diese aus dem System.
Die ausführbare Ransomware-Datei fügt jedem Dateinamen und Ordnernamen, den sie verschlüsselt, eine Reihe von Hexadezimalzeichen an. Dies ist bei jeder Infektion unterschiedlich. Außerdem wird in jedem Ordner eine Datei mit dem Namen „HOW TO RESTORE YOUR FILES.txt“ abgelegt. Die Angreifer kommunizieren mit ihren Opfern per E-Mail und über die Kommunikationsplattform „Tox“, je nachdem, welche Identifikatoren in den Lösegeldforderungen hinterlassen wurden.
Einige Opfer haben berichtet, dass sie einen gefälschten Anruf von einer unbekannten Frau erhalten haben, die behauptete, mit der Ransomware-Gruppe „Snatch“ in Verbindung zu stehen, und sie auf die Erpressungswebsite der Gruppe weiterleitete. In einigen Fällen war auf den Systemen der Opfer zwar eine andere Ransomware-Variante installiert, dennoch erhielten sie die „Snatch“-Lösegeldforderung.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Das Besondere an dieser Ransomware-Gruppe sind ihre gelegentlichen gefälschten Telefonanrufe, die direkt an das Opfer gerichtet sind und dieses auf die Erpressungsseite weiterleiten.“ Auch wenn diese Taktik nicht bei allen Angriffen der Ransomware „Snatch“ zum Einsatz kommt, wirft sie dennoch die Frage auf, warum dies so ist – und ob sich dieser Trend auch bei anderen Ransomware-Familien durchsetzen wird.“
„Die letzten drei Seiten der gemeinsamen Empfehlung enthalten detaillierte Empfehlungen des FBI und der CISA zur Risikominderung. Zu ihren wichtigsten Empfehlungen zählen die Absicherung und genaue Überwachung von RDP, die Erstellung von Offline-Datensicherungen sowie die Aktivierung und Durchsetzung einer gegen Phishing geschützten MFA.“
3. Cyberangreifer setzen bei Cyberspionage-Angriffen die neue Linux-Malware „SprySOCKS“ ein
Ein chinesischer Akteur im Bereich der Spionage, bekannt als „ “, Earth Lusca (öffnet in einem neuen Tab) , greift nun Regierungsorganisationen in mehreren Ländern mit einer neuen Linux-Backdoor namens „SprySOCKS“ an. Die Backdoor stammt ursprünglich von der Open-Source-Windows-Malware „ “ (Trochilus) (wird in einem neuen Tab geöffnet), wobei viele ihrer Funktionen so angepasst wurden, dass sie auf Linux-Systemen funktionieren.
Jüngste Aktivitäten von Earth Lusca
„Earth Lusca“ ist weiterhin in 2023 aktiv und führt Angriffe durch, die auf Regierungsbehörden in den Bereichen Außenpolitik, Technologie und Telekommunikation abzielen.
Earth Lusca nutzt mittlerweile häufiger serverbasierte Zero-Day-Schwachstellen, um sich einen ersten Zugriff zu verschaffen. Anschließend wird eine Web-Shell bereitgestellt und Cobalt Strike unter installiert, um eine laterale Bewegung durchzuführen. Die Gruppe wird Dokumente und Zugangsdaten für E-Mail-Konten abgreifen und weitere hochentwickelte Hintertüren wie ShadowPad und die Linux-Version von Winnti einsetzen.
Komponente des Unterkieferladers
Trend Micro hat eine Datei mit dem Namen „libmonitor.so.2 “ entdeckt, die auf dem Auslieferungsserver von Earth Lusca gehostet wurde. Sie stellten fest, dass der Loader nicht von Grund auf neu entwickelt worden war. Der Entwickler nutzte einen öffentlich zugänglichen Linux-ELF-Injektor namens „mandibule“.
Das ursprüngliche ELF-Injector-Projekt ist ein Befehlszeilentool, mit dem sich eine Nutzlast in das Projekt selbst oder in ein anderes Projekt einfügen lässt. Dies diente als Grundlage für den Malware-Loader. Der Entwickler hat den Nutzungsbildschirm sowie die Möglichkeit, andere Prozesse zu manipulieren, entfernt und stattdessen eine Funktion hinzugefügt, mit der die zweite Stufe geladen und entschlüsselt wird. Forscher weisen darauf hin, dass es sich hierbei um eine recht schlampige Arbeit handelte, da der Entwickler weder die Debug-Meldungen entfernt noch den Loader bereinigt hat.
Der Name des Prozesses wird mittels des Befehls „prctl“ auf „kworker/0:22 “ festgelegt. Kwoker ist in der Regel ein Platzhalterprozess für Kernel-Worker-Threads. Dieser Name wurde wahrscheinlich gewählt, um keinen Verdacht zu erregen. Der Loader akzeptiert zwei Befehlszeilenparameter: den Pfad zur verschlüsselten Datei der zweiten Stufe und das Flag für die Selbstlöschung. Die zweite Stufe wird mit einer AES-ECB-Verschlüsselung verschlüsselt, wobei das Passwort fest im Loader hinterlegt ist. Der Loader sorgt zudem für Persistenz, indem er sich selbst und die verschlüsselte zweite Stufe in das Verzeichnis /usr/sbin/ kopiert und dort umbenennt. Anschließend startet es den Loader als Dienst und löscht sich selbst.
SprySOCKS-Komponente
Die Forscher untersuchten die entschlüsselte zweite Stufe und stellten fest, dass diese mithilfe des „HP-Socket“-Projekts, eines aus China stammenden Hochleistungs-Netzwerk-Frameworks, statisch kompiliert worden war. Bei der Initialisierung wurde ein fest codiertes, verschlüsseltes Passwort entdeckt, das zur Verschlüsselung der Kommunikation mit dem C2 -Server verwendet wurde. Die Adresse C2 und der Port sind ebenfalls fest codiert, allerdings im Klartext.
Die Malware scheint eine Mischung aus mehreren Malware-Programmen zu sein. Das Kommunikationsprotokoll „SprySOCKS C2 “ ähnelt der Windows-Backdoor „RedLeaves“. Im Gegensatz dazu scheint die Implementierung der interaktiven Shell auf der als „Derusbi“ bekannten Linux-Malware zu beruhen. Die RAT unterstützt verschiedene Standard-Backdoor-Befehle, wie beispielsweise das Erfassen von Systeminformationen, das Starten einer interaktiven Shell, das Auflisten von Netzwerkverbindungen, das Einrichten eines SOCKS-Proxys, das Hoch- und Herunterladen von Dateien und vieles mehr.
Quellenangabe
Die verschlüsselte SprySOCKS-Nutzlast wurde Anfang Juni 2023 auf einem Verteilungsserver gehostet. Dieser Server wurde vom Cyberangreifer „Earth Lusca“ betrieben und lieferte ausführbare Dateien von Cobalt Strike sowie die Linux-Version von Winnti an seine Ziele. Die SprySOCKS-Nutzlast enthält die Versionsnummer 1,3,6 und nutzt eine bestimmte C2 -Domain. Forscher entdeckten auf VirusTotal eine weitere SprySOCKS-Payload mit der Versionsnummer 1,1, die eine Verbindung zu einer anderen C2 -Domäne herstellte. Diese C2 -Domäne wies mehrere Überschneidungen mit einer Domäne auf, von der bekannt ist, dass es sich um eine C2 von Earth Lusca handelt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Trend Micro hat bislang lediglich festgestellt, dass die Malware ‚SprySOCKS‘ von Earth Lusca eingesetzt wird.“ Angesichts der Tatsache, dass chinesische Angreifer häufig maßgeschneiderte Malware untereinander austauschen, wäre es jedoch nicht überraschend, wenn in Zukunft weitere chinesische Angreifer SprySOCKS nutzen würden.“
„Die Malware scheint derzeit noch nicht besonders komplex zu sein, doch ihre zahlreichen Varianten deuten darauf hin, dass sie sich wahrscheinlich noch in der Entwicklung befindet und weiterentwickelt wird.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
