In der Zusammenfassung dieser Woche befasst sich CTI erneut mit einigen der wichtigsten Cyberbedrohungen der letzten Monate. Zunächst erhalten Sie einen Überblick über die jüngste Aktion des FBI zur Bekämpfung der Qakbot-Malware, gefolgt von einem Blick auf die Machine-Learning-Modelle von „ “ als neuen Angriffsvektor. Ebenfalls enthalten sind aktuelle Informationen zu ESXiArgs, Bumblebee, den Gruppen „Andariel“ und „ APT29 “ sowie zum aktuellen Stand der Ransomware.
1. Das FBI zerschlägt das Qakbot-Botnetz
In dem Bericht „ Dezember 2022“ warnte CTI vor einem Anstieg der Qakbot-Infektionen in Kundenumgebungen, die überwiegend zu in den USA ansässigen Unternehmen gehören.
Damals führten die Forscher den Anstieg auf eine groß angelegte Ransomware-Kampagne der Gruppe „Black Basta“ zurück – einer relativ neuen Ransomware-Gruppe, die im Jahr April 2022 in Erscheinung trat. Damals nutzte Black Basta Qakbot, um in Zielnetzwerke einzudringen und sich dort lateral zu bewegen.
Qakbot – auch bekannt als Quackbot, Qbot, Pinkslipbot und TA570 – ist eines der berüchtigtsten Botnetze und für Tausende von Malware-Infektionen weltweit verantwortlich. Es wurde erstmals im Jahr 2008 entdeckt und zählt damit zu den am längsten bestehenden Botnetzen.
Die Operation „Duck Hunt“ ist ein Erfolg
Ende August gelang es im Rahmen einer weltweiten polizeilichen Aktion, das Qakbot-Botnetz zu zerschlagen. Die Kampagne mit dem Namen „ “ („Operation Duck Hunt“) (wird in einem neuen Tab geöffnet) gilt Berichten zufolge als die bislang größte von den USA geleitete Aktion zur Zerschlagung von Finanznetzwerken und Botnetzen.
Im Rahmen der Operation „Duck Hunt“ wurde der Datenverkehr auf staatlich kontrollierte Server umgeleitet, wodurch die Ermittler die Kontrolle über das Botnetz erlangen konnten. Das FBI wies die mit Qakbot infizierten Rechner an, ein eigens entwickeltes Deinstallationsprogramm herunterzuladen, das die Rechner der Opfer isolierte und weitere Malware-Installationen verhinderte.
Security Boulevard erläutert, dass die Strategie des FBI bei der Zerschlagung des Qakbot-Netzwerks „ “ (öffnet in einem neuen Tab) dem „Hacking Back“ sehr ähnlich ist – einer Taktik, von deren Anwendung die Behörden Organisationen in der Regel abraten, da die Ausführung von Befehlen auf Remote-Systemen mit potenziellen Risiken verbunden ist.
Im Rahmen der Operation beschlagnahmten das FBI und seine internationalen Partner die Infrastruktur von Qakbot in Europa und den USA. Das US-Justizministerium stellte zudem gestohlene Kryptowährung im Wert von über 8,6 Millionen US-Dollar aus dem Besitz der Qakbot-Gruppe sicher. Im Rahmen der Aktion wurden etwa 700 000 Geräte mit Qakbot-Infektionen aufgedeckt, davon mehr als 200 000 in den USA. Das FBI geht jedoch davon aus, dass es Millionen von Qakbot-Opfern geben könnte.
Zwar versetzte das FBI Qakbot einen schweren Schlag, doch bestand die Möglichkeit, dass das Botnetz möglicherweise wieder auftauchen könnte. Seit der Abschaltung wurden mit Qakbot in Verbindung stehende Angreifer dabei beobachtet, wie sie unter , (öffnet in einem neuen Tab),und die Ransomware „Ransom Knight“ sowie die Malware „Remcos“ verbreiteten. Zwar verbreiten die Angreifer Qakbot selbst nicht, doch sind sie nach wie vor aktiv, was bedeutet, dass die Möglichkeit besteht, dass sie sich dazu entschließen, die Qakbot-Infrastruktur wieder aufzubauen.
CTI wird die Lage weiterhin im Hinblick auf etwaige Entwicklungen beobachten.
2. Maschinelles Lernen: Ein neu aufkommender Angriffsvektor
Im Laufe des letzten Jahres hat es einen regelrechten Boom bei leistungsstarken KI- und ML-Chatdiensten gegeben – und dies ist erst der Anfang dessen, was noch kommen wird. Eine aktuelle Studie von Gartner zeigt, dass sich mittlerweile 70 % der Unternehmen in der „Explorationsphase“ der Forschung und Untersuchung im Bereich generativer KI ( ) befinden. (wird in einem neuen Tab geöffnet)
ChatGPT – das die Modelle „ GPT-3,5 “ und „GPT-4“ von OpenAI nutzt – zählt nach wie vor zu den beliebtesten KI-Tools auf dem Markt, vor allem aufgrund seiner Vielseitigkeit und Benutzerfreundlichkeit. Die Akzeptanz in der Wirtschaft könnte in den kommenden Monaten noch weiter zunehmen, nachdem ChatGPT Enterprise angekündigt wurde, das laut OpenAI die bislang leistungsstärkste Version von ChatGPT darstellt. ChatGPT Enterprise (wird in einem neuen Tab geöffnet) bietet zudem Sicherheit und Datenschutz auf Unternehmensniveau.
Zu den weiteren KI-Chatbots, die Sie kennen sollten, gehören:
- Bing Chat, das das GPT-4-Modell von OpenAI nutzt. Das neue Bing verfügt über einen Internetzugang und funktioniert wie eine Suchmaschine.
- Google Bard, basierend auf PaLM 2 und einer schlanken Version von LaMDA.
- Claude, ein von Anthropic entwickelter LLM, der auf „Constitutional AI“ basiert.
- Perplexity AI, ein mit dem Internet verbundener Chatbot, der auf GPT-3 und GPT-4 basiert.
- Jasper, ein beliebter Chatbot zum Verfassen von Texten, der auf GPT-3,5 basiert.
Die anhaltende Debatte zur Cybersicherheit im Zusammenhang mit maschinellem Lernen
Wie CTI nach dem Aufkommen von ChatGPT Ende 2022 hervorhob, ist die Sicherheitsgemeinschaft „ “ ( ) hinsichtlich der Rolle des maschinellen Lernens in der Cybersicherheit nach wie vor gespalten. Die einen bezeichnen es als Retter der Cybersicherheit, während andere große Bedenken hinsichtlich seiner Rolle als gefährlicher neuer Angriffsvektor hegen.
Einerseits erleichtern die jüngsten Fortschritte in diesem Bereich es Unternehmen, neue Bedrohungen zu bewältigen und darauf zu reagieren. So hat Exabeam beispielsweise generative KI-Funktionen von „ “ (wird in einem neuen Tab geöffnet) in seine „New-Scale“-Plattform für Sicherheitsinformations- und Ereignismanagement (SIEM) integriert – damit können Anwender Bedrohungen schnell klassifizieren, Risiken zusammenfassen und Empfehlungen zur Behebung von Problemen erhalten. Es gibt heute viele weitere generative KI-Sicherheitsdienste (wird in einem neuen Tab geöffnet) , darunter Google Cloud Security AI Workbench, Microsoft Security Copilot und CrowdStrike Charlotte AI.
Doch obwohl maschinelles Lernen und künstliche Intelligenz vielversprechend sind, handelt es sich dabei nach wie vor um Technologien, die sich erst in der Entwicklung befinden. Es kommt häufig vor, dass ML-basierte Warnsysteme übermäßig viele Fehlalarme und Benachrichtigungen generieren, was die Einsatzkräfte bei der Bewältigung von Vorfällen vor Herausforderungen stellt. Zudem kann es schwierig sein, die Bedeutung und Tragweite dieser Warnmeldungen zu deuten.
Darüber hinaus nehmen Cyberkriminelle zunehmend KI-Modelle ins Visier (öffnet in einem neuen Tab) und setzen dabei auf Taktiken wie Datenvergiftung, Modelldiebstahl, Kompromittierung der Lieferkette und KI-Hintertüren. Rund 20 % der Unternehmen waren im letzten Jahr von Angriffen auf KI-Modelle oder Sicherheitsvorfällen betroffen, während 49 % der Sicherheitsverantwortlichen befürchten, dass Angreifer KI- und ML-Modelle manipulieren könnten, um Sicherheitsvorkehrungen zu umgehen.
Vor diesem Hintergrund sollten Unternehmen und Sicherheitsexperten den Einsatz von KI und ML in Betracht ziehen und dabei berücksichtigen, dass deren Umsetzung einen sorgfältigen und strategischen Ansatz erfordert.
Die NSA kündigt ein neues KI-Sicherheitszentrum an
Am 28. September kündigte die National Security Agency (NSA) die Einrichtung eines neuen KI-Sicherheitszentrums an, das die Entwicklung und Integration von KI-Fähigkeiten in die nationalen Sicherheitssysteme der USA überwachen soll.
Nach Angaben des US-Verteidigungsministeriums wird das AI Security Center zur zentralen Anlaufstelle für die Entwicklung von Best Practices im Bereich der künstlichen Intelligenz, von Bewertungsmethoden und von Risikokonzeptionen.
Das Zentrum wird den sicheren Einsatz neuer KI-Fähigkeiten im gesamten Bereich der nationalen Sicherheit sowie in der Verteidigungsindustrie fördern. Außerdem werden dadurch die Aktivitäten der Behörde in den Bereichen KI und Sicherheit gebündelt.
3. ESXiArgs: Nach wie vor im Umlauf
Bereits im Februar schlug CTI Alarm hinsichtlich der sich rasch ausbreitenden Ransomware-Kampagne „ “ (ESXiArgs) . Zu jenem Zeitpunkt hatten es Angreifer gezielt auf VMware-ESXi-Server abgesehen – insbesondere auf solche, die nicht gepatcht und für die Sicherheitslücke CVE-2021-21974 anfällig waren.
Bis Mitte Februar waren mehr als 500 Hosts von der ESXiArgs-Variante der „ “ betroffen (wird in einem neuen Tab geöffnet), wobei die meisten Opfer in Frankreich, den Niederlanden, Deutschland, dem Vereinigten Königreich und der Ukraine zu verzeichnen waren.
Was gibt es Neues bei ESXiARGS?
ESXiArgs ist nach wie vor aktiv und breitet sich weiter aus, weshalb Sie dies weiterhin im Auge behalten sollten. Unternehmen, die ihre ESXi-Server noch nicht gepatcht haben, sind weiterhin dem Risiko ausgesetzt, Opfer eines Angriffs zu werden.
VMware empfiehlt seinen Kunden, ein Upgrade auf die neueste unterstützte Version von vSphere (wird in einem neuen Tab geöffnet) durchzuführen, um alle bekannt gewordenen Sicherheitslücken zu beheben. VMware empfiehlt außerdem, den OpenSLP-Dienst in ESXi zu deaktivieren.
4. Die Malware „Bumblebee“ taucht nach einer zweimonatigen Pause wieder auf
Im Mai warnte CTI davor, dass Google Ads die neue Malware „ “ namens „Bumblebee“ verbreitet:. Angreifer nutzen Google Ads, um mit Trojanern infizierte Installationsprogramme für beliebte Anwendungen zu bewerben und den „Bumblebee“-Malware-Loader an die Opfer zu übermitteln.
Das Conti-Team hat „Bumblebee“ höchstwahrscheinlich als Ersatz für die Backdoor „BazarLoader“ entwickelt, um es Angreifern zu erleichtern, auf Netzwerke zuzugreifen und Ransomware sowie andere sekundäre Payloads zu verbreiten. Bei jüngsten Kampagnen wurde die auf Unternehmen abzielende Malware „Bumblebee“ über Google Ads verbreitet, wobei SEO-Poisoning eingesetzt wurde, um Werbeanzeigen zu erstellen, die Nutzer ansprechen sollten, die daran interessiert sind, beliebte Software wie Zoom, Citrix Workspace und Cisco AnyConnect auf einfache Weise herunterzuladen.
Die neueste Kampagne von Bumblebee
Nach einer Sommerpause kehrte Bumblebee im September mit einer Kampagne zurück, bei der neue Vertriebsmethoden zum Einsatz kommen.
Laut Bleeping Computer missbraucht Bumblebee derzeit 4shared WebDAV-Dienste von : (wird in einem neuen Tab geöffnet),und . WebDAV ist eine Erweiterung des HTTP-Protokolls und ermöglicht es Clients, Remote-Bearbeitungsvorgänge wie das Erstellen, Aufrufen, Aktualisieren und Löschen von Webserver-Inhalten durchzuführen.
Bleeping Computer berichtet, dass die jüngste „Bumblebee“-Kampagne auf Spam-E-Mails setzt, die vorgeben, Scans, Rechnungen und Benachrichtigungen zu sein. Die Kampagne zielt darauf ab, die Empfänger dazu zu verleiten, schädliche Anhänge herunterzuladen. Bei den meisten Anhängen handelt es sich um Windows-Verknüpfungsdateien (LNK-Dateien). Es gibt jedoch auch einige ZIP-Archive mit LNK-Dateien – was bedeutet, dass die Betreiber von Bumblebee höchstwahrscheinlich verschiedene Ansätze ausprobieren, um die beste Vorgehensweise zu finden.
Analysten haben im Rahmen dieser Kampagne zudem eine aktualisierte Version des Bumblebee-Malware-Loaders entdeckt. Der Loader ist für die Kommunikation über Port C2 vom WebSocket-Protokoll auf TCP umgestiegen. Zudem verwendet der neue Loader keine fest programmierten C2 -Adressen mehr. Stattdessen nutzt es einen Algorithmus zur Domain-Generierung, um nach der Ausführung 100 Domains im TLD-Bereich „.life“ zu erstellen.
Aus „Bleeping Computer“:
Die Domains werden unter Verwendung eines statischen 64-Bit-Startwerts generiert, und Bumblebee stellt eine Verbindung zu ihnen her, indem es die erstellte Liste durchläuft, bis es eine Domain findet, die zu einer aktiven IP-Adresse eines C2 -Servers führt.
Da „Bumblebee“ bereits zuvor mit der Verbreitung von Ransomware-Payloads in Verbindung gebracht wurde – darunter „Conti“ und „Akira“ –, stellt die Nutzung eines effizienteren und schwerer aufzuspürenden Verbreitungskanals eine besorgniserregende Entwicklung dar.
Zudem erschwert der Einsatz von DGA die Erfassung der Infrastruktur von Bumblebee, die Sperrung seiner Domains und die erhebliche Beeinträchtigung seines Betriebs, was die Umsetzung von Präventivmaßnahmen gegen den Malware-Loader zusätzlich erschwert.
5. Andariel setzt bei seinen Angriffen zahlreiche Malware-Varianten ein
A July CTI update explained how the North Korea-backed threat actor tracked as Andariel deployed EarlyRat malware during 2022 in a series of cyberattacks exploiting the Log4j vulnerability.
Andariel – auch bekannt als „Silent Chollima“ und „Stonefly“ – ist eine Untergruppe des nordkoreanischen APT-Akteurs „Lazarus Group“. Die Gruppe führt regelmäßig Cyberspionageoperationen durch, die sich gegen ausländische Regierungs- und Militärstellen richten, die für Nordkorea von strategischem Interesse sind. Andariel erwirtschaftet in erster Linie Einnahmen und unterstützt die militärischen Operationen der nordkoreanischen Regierung.
Zu den Hauptzielen von Andariel zählen Finanzinstitute, Rüstungsunternehmen, Universitäten, Regierungsbehörden, Energieunternehmen und Anbieter von Cybersicherheitslösungen.
Forscher geben eine neue Warnung vor Andariel heraus
Andariel wurde kürzlich dabei beobachtet, wie es bei Cyberangriffen vom Typ „ “ gegen Zielorganisationen verschiedene bösartige Tools und Taktiken einsetzte. (wird in einem neuen Tab geöffnet)
So nutzt die Gruppe beispielsweise Spear-Phishing, Angriffe auf die Lieferkette und Watering-Hole-Angriffe, um Schadcode zu verbreiten. Andariel nutzt zudem eine Kombination verschiedener Malware-Familien wie Gh0st RAT, NukeSped, DTrack, YamaBot, Phandoor, Rifdoor, Andarat, TigerRAT (zusammen mit dessen Nachfolger MagicRAT) und Andaratm. Zudem setzt die Gruppe neue Varianten wie Black RAT, Goat RAT, AndarLoader und DurianBeacon ein. Black RAT und Goat RAT sind in Go programmiert, während AndarLoader in .NET programmiert ist. DurianBeacon nutzt Go und Rust.
Aus dem AhnLab Security Emergency Response Center (ASEC):
Die Andariel-Gruppe gehört neben Kimsuky und Lazarus zu den besonders aktiven Hackergruppen, die es auf Korea abgesehen haben. Die Gruppe führte anfangs Angriffe durch, um Informationen im Zusammenhang mit der nationalen Sicherheit zu erlangen, verfolgt nun jedoch finanzielle Ziele.
Für einen detaillierten Einblick in die jüngsten Angriffsaktivitäten von Andariel, lesen Sie den vollständigen Bericht von ASEC unter (wird in einem neuen Tab geöffnet).
6. Ransomware stellt nach wie vor eine der größten Bedrohungen für Unternehmen dar
In einem Bericht vom Juli legte CTI offen, wie die Zahl der Ransomware- -Angriffe und -Zahlungen sprunghaft ansteigt . Die Forscher stellten dabei einen allgemeinen Anstieg der Zahl erfolgreicher Zahlungen fest, sowohl bei großen als auch bei kleinen Beträgen. Laut Chainalysis ist Ransomware auf dem besten Weg, bisherige Rekorde zu brechen.
Aus: BleepingComputer (wird in einem neuen Tab geöffnet):
„Ransomware ist die einzige Form der Kryptowährungs-Kriminalität, die im Jahr 2023 bislang zugenommen hat“, heißt es in dem Bericht von Chainalysis. „Tatsächlich sind die Ransomware-Angreifer auf dem besten Weg zu ihrem zweitstärksten Jahr aller Zeiten, da sie bis Juni bereits mindestens 449,1 Millionen US-Dollar erpresst haben.“
Ransomware breitet sich weiterhin immer schneller aus
Eine Untersuchung des Cyber-Versicherers Coalition zeigt, dass die Zahlungen im Zusammenhang mit der Ransomware „ “ (wird in einem neuen Tab geöffnet) im Jahr 2023 im Vergleich zum Vorjahr um 12 % gestiegen sind.
Ransomware-Forderungen machen mittlerweile etwa ein Fünftel aller Schadensfälle aus und sind damit der mit Abstand bedeutendste Faktor bei der Einreichung von Schadensmeldungen. Auch die Zahl der Ransomware-Fälle stieg im ersten Halbjahr 2023 um 27 %. Die Schadenkosten stiegen im ersten Halbjahr um 42 %, wobei die Geschädigten einen durchschnittlichen Schaden von mehr als 115 000 Dollar angaben.
Hier sind einige bemerkenswerte Ransomware-Angriffe aus jüngster Zeit:
- Johnson Controls (wird in einem neuen Tab geöffnet) wurde kürzlich Opfer eines schwerwiegenden Cyberangriffs, bei dem die Ransomware-Gruppe „Dark Angels“ 27 TB an Daten erbeutete.
- Bei einem Ransomware-Angriff der „ “ (wird in einem neuen Tab geöffnet) wurden die Daten von Tausenden von Patienten gestohlen; der Angriff führte zur Außerbetriebnahme der Computer in zwei Krankenhäusern in Connecticut, darunter Waterbury Health und Prospect Medical Holdings.
- Rock County, Wisconsin (wird in einem neuen Tab geöffnet) war gezwungen, einige seiner Systeme nach einem Ransomware-Angriff auf das Gesundheitsamt vorübergehend außer Betrieb zu nehmen.
Aktueller Trend: Doppelte Ransomware-Angriffe
Das FBI warnt nun vor einem zunehmenden Trend, der als „ “ (doppelte Ransomware-Angriffe) bekannt ist: (öffnet in einem neuen Tab). Dabei führen Angreifer separate Angriffe im Abstand von nur wenigen Stunden oder Tagen durch.
Aus „Dark Reading“:
Diese Ransomware-Angriffe richten sich innerhalb kurzer Zeit gegen dasselbe Opfer; in der Praxis kam es bereits vor, dass Angreifer für jede Phase der Angriffe unterschiedliche Ransomware-Varianten einsetzten, darunter AvosLocker, Diamond, Hive Karakurt, LockBit, Quantum und Royal. Diese Varianten werden in verschiedenen Kombinationen veröffentlicht, was letztlich zu einer Mischung aus Datenverschlüsselung, Datenexfiltration und Erpressung führt.
Unternehmen haben Schwierigkeiten bei der Entscheidung über die Zahlung von Lösegeld
Die meisten Cybersicherheitsexperten raten davon ab, Lösegeld zu zahlen, da Unternehmen, die Lösegeld zahlen, mit höherer Wahrscheinlichkeit weiteren Angriffen ausgesetzt sind. Darüber hinaus können Zahlungen an Ransomware-Erpresser kriminelle Organisationen und Erpressergruppen unterstützen und ihnen die Arbeit ermöglichen.
Allerdings ist es für Unternehmen nicht immer möglich, Zahlungen zu vermeiden. Wie Lorraine Dryland, CISO bei First Sentier Investors, kürzlich auf dem Gartner Security & Risk Management Summit erläuterte, haben CISOs oft Schwierigkeiten, Führungskräfte davon abzuhalten, Lösegeld zu zahlen.
„Eine Führungskraft in diese Richtung zu drängen, kann nur zu negativen Ergebnissen und schlechten Erfahrungen führen, denn es handelt sich um sehr eigenwillige Personen – sie sind nicht dort angekommen, wo sie sind, weil sie vor Dingen zurückschrecken, sondern weil sie Entscheidungen treffen wollen“, erklärte Dryland.
Dryland empfiehlt die Verwendung eines Bewertungsmechanismus nach dem „ “-Ansatz (wird in einem neuen Tab geöffnet) , der es Führungskräften ermöglicht, die mit ihrer Entscheidung verbundenen Risiken zu berechnen. Eine Zahlung sollte jedoch stets nur als letztes Mittel in Betracht gezogen werden.
Das Weiße Haus erwägt ein Verbot von Zahlungen an Ransomware-Erpresser
Mehrere Bundesländer haben den Gerichtsbarkeiten bereits untersagt, den Angreifern bei Ransomware-Angriffen Geld zu zahlen. Derzeit erwägt das Weiße Haus die Einführung eines bundesweiten Verbots von Zahlungen an Ransomware-Erpresser (öffnet in einem neuen Tab) , um die finanziellen Anreize für Cyberkriminelle zu verringern. Sollte diese Richtlinie in Kraft treten, würde sie Unternehmen daran hindern, Lösegeld an Ransomware-Betreiber zu zahlen, um verschlüsselte Daten wiederherzustellen.
Befürworter argumentieren, dass dies den Druck auf die oberste Führungsebene erhöhen würde, Datenverstöße zu verhindern und darauf zu reagieren, und dass die Cybersicherheit dadurch stärker zu einer gemeinsamen Verantwortung würde. Ein landesweites Verbot von Ransomware-Zahlungen durch das „ “ (öffnet in einem neuen Tab) könnte jedoch auch bei Kleinunternehmern für Verwirrung sorgen und Cyberkriminellen einen Hebel an die Hand geben, um Unternehmen, die gegen die Vorschriften verstoßen, weiterhin zu erpressen. Gleichzeitig könnten Angreifer ihren Fokus auf Opfer verlagern, die sich zur Zahlung gezwungen sehen.
Derzeit ist unklar, ob die Bundesregierung einen Plan zur Eindämmung von Lösegeldzahlungen vorantreiben wird. Dies ist eine Entwicklung, die man in den kommenden Monaten im Auge behalten sollte.
7. APT29 stellt nach wie vor eine wachsende Bedrohung dar
Im Juli berichtete CTI, dass die von Russland unterstützte Advanced Persistent Threat-Gruppe „ “ APT29 (auch bekannt als „Nobelium“ und „Cozy Bear“) nun vertrauenswürdige Dienste wie Google Drive und Dropbox nutzt, um der Entdeckung zu entgehen, Malware und Hacking-Tools zu verbreiten sowie Daten zu entwenden.
„APT29 “ agiert höchstwahrscheinlich im Auftrag des russischen Auslandsgeheimdienstes (SVR). Die Motivation der Gruppe besteht in erster Linie in Spionage; ihr werden ausgeklügelte und wirksame Spear-Phishing-Kampagnen zugeschrieben, die sich gegen Regierungs-, Militär- und diplomatische Einrichtungen richten, die offenbar mit dem Staat und den Interessen der russischen Regierung in Verbindung stehen.
Die Gruppe ist dafür bekannt, Phishing-E-Mails und Dokumente zu außenpolitischen Themen zu verbreiten und die Opfer auf gefälschte Websites weiterzuleiten, um sie mit Hintertüren zu infizieren. Forscher haben zudem kürzlich beobachtet, wie die Gruppe eine BMW-Autowerbung nutzte, um Diplomaten der „ “ in Kiew anzusprechen: (wird in einem neuen Tab geöffnet).
Das Neueste auf APT29
APT29 hat im Jahr 2023 den Umfang und die Häufigkeit seiner Spionageangriffe verstärkt, wobei der Kreml nach weiteren Informationen sucht, um seinen „ “-Krieg gegen die Ukraine zu unterstützen (wird in einem neuen Tab geöffnet).
Die Cyber Risk Alliance berichtet, dass APT29 wesentliche Änderungen vorgenommen hat, um die Effizienz zu steigern und einer Entdeckung zu entgehen. Darüber hinaus hat die Einheit APT29 ihre routinemäßigen Spionageoperationen gegen diplomatische Einrichtungen weltweit verstärkt. Die Gruppe konzentriert sich nun vorrangig auf europäische Außenministerien und Botschaften und führt gleichzeitig Operationen durch, die den globalen Interessen Russlands dienen.
Laut Mandiant setzt die Gruppe „ APT29 “ ihre „Initial Access“-Kampagne „“ fort, die auf die cloudbasierten Dienste von Microsoft abzielt: (wird in einem neuen Tab geöffnet),und , und entwickelt dabei ihre TTPs weiter. So hat beispielsweise „ APT29 “ in diesem Jahr darauf umgestellt, Nutzlasten der ersten Stufe auf kompromittierten Webdiensten zu hosten.
„Die serverseitige Migration der Nutzlast der ersten Stufe hat der Gruppe ‚ APT29 ‘ wahrscheinlich ein höheres Maß an Kontrolle über ihre Malware-Verbreitungskette verschafft und es ihr ermöglicht, bei der Offenlegung ihrer Fähigkeiten in späteren Phasen umsichtiger vorzugehen“, erklärten die Forscher von Mandiant.
Die Gruppe hat im März eine Kampagne um eine weitere Ebene der Verschleierung erweitert, indem sie TinyURL nutzte, um bösartige Phishing-Links unter zu erstellen. Die Forscher beobachteten zudem APT29 Fälle, in denen Rootsaw erstmals in eine PDF-Datei eingebettet wurde.
APT29 ist nach wie vor auf freiem Fuß und wird immer gefährlicher. Da sich der Krieg in der Ukraine weiter zuspitzt, ist es möglich, dass „ APT29 “ und ähnliche Gruppen ihre Bemühungen noch weiter verstärken könnten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
