Eine der wirksamsten Methoden, Malware in eine Zielorganisation einzuschleusen, besteht darin, eine der zahlreichen Vertrauensbeziehungen auszunutzen, die diese Organisation zu Softwareanbietern unterhält. Auf diese Weise haben russische Hacker im Rahmen der berüchtigten „ “-Kampagne mehrere US-Regierungsbehörden kompromittiert: (wird in einem neuen Tab geöffnet). Und genau aus diesem Grund sollten Nutzer der beliebten Desktop-Anwendung „ 3CX “ für Sprach- und Videoanrufe nun besonders wachsam sein.
Einer mutmaßlichen nordkoreanischen Hackergruppe gelang es, digital signierte Updates für die Anwendung mit einer Hintertür zu versehen und anschließend Malware der zweiten Stufe zu aktivieren, um Daten von bestimmten Zielen zu stehlen. Wie immer ist Eile geboten: Die Kundenunternehmen sollten betroffene Softwareversionen so schnell wie möglich ausfindig machen und die entsprechenden Maßnahmen ergreifen.
Was ist 3CX?
3CX (wird in einem neuen Tab geöffnet) ist ein VoIP- und PBX-Dienstleister, der nach eigenen Angaben über 12 Millionen Nutzer und mehr als 600 000 Firmenkunden in 190 Ländern weltweit zählt – darunter namhafte Marken wie Mercedes-Benz und PwC.
Die Desktop-App „ 3CX “ des Unternehmens wurde von Angreifern ins Visier genommen – , insbesondere die Electron-Windows-App-Versionen 18,12,407 und 18,12,416 unter (öffnet in einem neuen Tab) sowie die Electron-Mac-App-Versionen 18,11,1213, 18,12,402, 18,12,407 und 18,12,416.
Was war die Ursache des Vorfalls?
Laut 3CX wurden die schädlichen Payloads in gebündelte Bibliotheken eingeschleust, die über Git kompiliert wurden. Dies lässt vermuten, dass ein kompromittiertes Open-Source-Repository, das von den Entwicklern des Unternehmens genutzt wurde, die Ursache war. Berichten zufolge (wird in einem neuen Tab geöffnet) hätte dieses Problem bereits während der Entwicklung entdeckt werden können, da es eindeutige Anzeichen für Manipulationen gab.
Jedenfalls wurde die Bedrohung zu diesem frühen Zeitpunkt nicht bereits im Vorfeld erkannt, und sowohl die von der Bedrohung betroffenen Windows- als auch die macOS-Versionen der App waren mit dem offiziellen 3CX -Signaturschlüssel digital signiert. Die macOS-Versionen wurden sogar von Apple beglaubigt, was bedeutet, dass der Technologieriese aus Cupertino keine böswilligen Aktivitäten festgestellt hat.
Was ist passiert?
Da sie digital signiert waren, konnten die mit einem Trojaner versehenen Apps die meisten Perimeter-Abwehrmaßnahmen umgehen. Die Angreifer ergriffen zudem weitere Maßnahmen, um zu verhindern, dass Alarm ausgelöst wurde. Die manipulierten Installationsdateien für die Windows- und macOS-Versionen enthielten Berichten zufolge die unmanipulierten Versionen (wird in einem neuen Tab geöffnet), also voll funktionsfähige Versionen der App. Die Angreifer nutzten anschließend eine DLL-Sideloading-Technik, um bei ausgewählten Opfern eine zusätzliche Schadlast einzuschleusen. Diese Nutzlast wurde verschlüsselt, um eine Entdeckung zu verhindern, und veranlasste einen infizierten Rechner, Kontakt zu einem vom Angreifer kontrollierten Server aufzunehmen, um Malware der zweiten Stufe abzurufen.
Ursprünglich ging man davon aus, dass die endgültige Schadsoftware darauf ausgelegt war, wichtige Informationen aus dem Browser eines infizierten Computers zu stehlen, was darauf hindeutete, dass es sich um eine gezielte Cyberspionagekampagne handelte. Berichten zufolge (wird in einem neuen Tab geöffnet) stimmt ein Teil des in der Malware gefundenen Codes „Byte für Byte“ mit dem überein, der von der berüchtigten Lazarus-Gruppe verwendet wird, die mit dem nordkoreanischen Regime in Verbindung steht. Neuere Erkenntnisse deuten jedoch darauf hin, dass das eigentliche Ziel darin bestanden haben könnte, eine modulare Hintertür namens „Gopuram“ auf einer kleinen Anzahl von Rechnern zu installieren. Zum Zeitpunkt der Erstellung dieses Artikels waren weniger als 10 Kryptowährungsunternehmen auf diese Weise ins Visier genommen worden. Dies könnte auf ein finanzielles Motiv für die Anschläge hindeuten.
Wie Tanium Ihnen helfen kann
3CX hat alle betroffenen Kunden unter (wird in einem neuen Tab geöffnet) dazu aufgefordert, Folgendes zu tun:
- Deinstallieren Sie die 3CX Electron-Desktopanwendung von allen Windows- oder macOS-Computern
- Führen Sie den AV/EDR-Scan auf mögliche Schadsoftware fort und verwenden Sie dabei die neuesten verfügbaren Signaturen.
- Wechseln Sie zur PWA-Web-Client-App 3CX’s
Tanium kann Unternehmen dabei unterstützen, betroffene Versionen der App „ 3CX “ sowie Anzeichen für eine Kompromittierung schnell zu identifizieren. Dafür gibt es mehrere Möglichkeiten:
Tanium Interact (wird in einem neuen Tab geöffnet) kann 3CX Desktop-Anwendungen in einer Windows-Umgebung anhand der folgenden Abfrage identifizieren: „Ermitteln Sie installierte Anwendungen, deren Name ‚ 3CX Desktop-Anwendung‘ enthält, auf allen Rechnern, auf denen der Name ‚ 3CX Desktop-Anwendung‘ enthalten ist.“
Tanium Threat Response (wird in einem neuen Tab geöffnet) kann YARA-Regeln importieren, um die bei diesem Angriff verwendete Malware zu identifizieren. Sobald sie entdeckt werden, können anfällige Datei-Hashes ebenfalls zu Tanium Threat Response hinzugefügt werden.
