CTI-Zusammenfassung: Beenden Sie diese vier häufigen Fehler bei der Passwortvergabe ab sofort

In der Zusammenfassung dieser Woche untersucht CTI, wie Angreifer irreführende Datumsangaben in die Betreffzeilen von „ “-Phishing-E-Mails einfügen, um die Emotionen ihrer Empfänger zu beeinflussen. Im Folgenden stellt CTI die vier häufigsten Fehler vor, die Nutzer bei der Wahl ihrer Passwörter begehen, und erläutert, wie Hacker diese ausnutzen können. Abschließend liefert CTI aktuelle Informationen zur Cyberkriminellen-Gruppe „Earth Estries“ und deren jüngster Cyberspionage-Kampagne.

1. Angreifer verwenden irreführende Datumsangaben in den Betreffzeilen von Phishing-E-Mails

Ein kürzlich veröffentlichter Blogbeitrag von Cofense zeigt auf, wie Angreifer irreführende Datumsangaben in die Betreffzeilen von Phishing-E-Mails mit dem Betreff „ “ einfügen: (wird in einem neuen Tab geöffnet). Die Analyse zeigt zudem einige interessante Trends bei Betreffzeilen, die Datumsangaben enthalten, sowie bei bestimmten Teilbranchen.

Das Verhältnis von Probanden mit Datumsangaben zu denen ohne

Zu Beginn der Analyse wurden Datensätze berücksichtigt, deren Datumsangaben in einem beliebigen Format vorlagen. Dazu gehörten Themen im Zusammenhang mit verspäteten Faxen, verpassten Voicemails, überfälligen Rechnungen, der Gehaltsabrechnung sowie weiteren Angelegenheiten, die einer sofortigen Bearbeitung bedurften. Die Anzahl der E-Mails, deren Betreffzeile ein Datum enthielt, variierte je nach Teilsektor.

Das Fach mit dem höchsten Anteil an veralteten Themen war der Schienenverkehr mit 48 %. Dicht dahinter folgte der Öl- und Gassektor mit 45 %. Die Branchen mit dem niedrigsten Prozentsatz waren die Immobilienbranche und der Großhandel mit jeweils 13 %. In jedem Teilbereich lag für etwa 31 % der Probanden ein Datum vor.

Bei der eingehenden Analyse dieser E-Mails, deren Betreffzeilen Datumsangaben enthielten, hat Cofense diese anhand der Datumsangaben selbst weiter unterteilt. Die Kategorien richteten sich nach dem Datum, zu dem auf die E-Mail zugegriffen wurde.

Zur ersten Kategorie, den frühen E-Mails, gehörten Nachrichten, bei denen das Datum im Betreff nach dem Tag lag, an dem die E-Mail aufgerufen wurde. Die zweite Kategorie, die „pünktlichen E-Mails“, umfasste Nachrichten, bei denen das Datum im Betreff mit dem Tag übereinstimmte, an dem die E-Mail aufgerufen wurde. Die letzte Kategorie, „verspätete E-Mails“, umfasste E-Mails, bei denen das Datum im Betreff vor dem Tag lag, an dem die E-Mail aufgerufen wurde.

• Frühe E-Mails: Nur wenige Angreifer versendeten E-Mails, deren Betreffdatum nach dem Tag lag, an dem auf die E-Mails zugegriffen wurde. Die frühen Probanden machten lediglich 2 % aller Probanden aus, deren Datensätze Datumsangaben enthielten. Laut Cofense sind die meisten dieser E-Mails auf Versehen und Fehlkonfigurationen seitens der Angreifer zurückzuführen.
• E-Mails mit aktuellem Betreff: E-Mails, deren Betreffdatum mit dem Tag übereinstimmte, an dem die E-Mail aufgerufen wurde, waren die zweithäufigste Kategorie. In den Teilsektoren stimmten die Daten bei durchschnittlich 31 % der Probanden mit dem Tag überein, an dem auf die E-Mails zugegriffen wurde. Diese E-Mails waren am stärksten personalisiert: 58 % der Betreffzeilen enthielten entweder personalisierte Inhalte oder personenbezogene Daten, die geschwärzt werden mussten. Das beliebteste Thema waren handlungsorientierte Inhalte, wahrscheinlich in der Hoffnung, eine sofortige Reaktion des Empfängers zu erzielen.
• Verspätete E-Mails: Die häufigste Kategorie von E-Mails sind solche, deren Betreffzeile ein Datum enthält, das vor dem Zeitpunkt des Zugriffs auf die E-Mail liegt. Dies dürfte ein falsches Gefühl der Dringlichkeit hervorrufen, indem den Opfern suggeriert wird, dass eine Frist bereits abgelaufen sei und sie bereits zu spät seien.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Die wichtigste Erkenntnis ist, dass Angreifer Daten in E-Mail-Betreffzeilen nutzen, um ein Gefühl der Dringlichkeit zu erzeugen und eine Reaktion oder Interaktion seitens des Empfängers hervorzurufen. „Das ist nichts Neues.“

„Neu ist die Aufschlüsselung des Datums, das der Angreifer wählt.“ Es ist interessant, dass die meisten dieser Phishing-E-Mails in der Betreffzeile ein Datum angeben, das vor dem Zeitpunkt liegt, zu dem Sie die E-Mail öffnen würden. „Das spielt einem wirklich mit den Nerven, denn die erste Reaktion ist, dass man etwas übersehen oder vergessen hat.“

2. Vier häufige Fehler bei Passwörtern, die Sie vermeiden sollten

Der Anbieter von Passwortsicherheitslösungen Specops hat die seiner Ansicht nach vier häufigsten Passwortfehler aufgeführt, die Nutzer von begehen – und erläutert, wie Hacker diese jeweils ausnutzen können.

Laut Specops treten diese häufigen Passwortfehler auf, weil unser Gehirn Muster gut vervollständigen kann. Dies führt dazu, dass wir eine natürliche Vorliebe für Muster haben, die uns Freude bereiten oder die man sich leicht merken kann.

Fehler 1: Gemeinsame Basisbegriffe

Benutzer neigen dazu, bei der Erstellung eines Passworts nach einem Basiswort zu suchen. Auch wenn ein zufällig ausgewähltes Basiswort harmlos erscheinen mag, sind diese Basiswörter selten wirklich zufällig und von größerer Bedeutung, als uns oft bewusst ist.

Benutzer passen dasselbe Basiswort häufig schrittweise an, wenn sie ihre Passwörter routinemäßig zurücksetzen oder erneuern, um die Standardanforderungen hinsichtlich der Passwortgeschichte oder der Komplexitätseinstellungen zu umgehen. Bei „Specops“ wird häufig beobachtet, dass Nutzer den ersten Buchstaben dieses Grundwortes groß schreiben und/oder am Ende Sonderzeichen hinzufügen.

Angreifer wissen, dass sie nicht das stärkste Passwort knacken müssen, um sich Zugang zu einem Unternehmen zu verschaffen. Stattdessen können sie ein schwaches Passwort knacken und sich lateral ausbreiten. Sie werden bei einem sogenannten Wörterbuchangriff gängige Basisbegriffe ausnutzen, wobei sie eine vordefinierte Liste schwacher Basisbegriffe verwenden, um Passwörter zu erraten. Dieser Angriff ist einfach, aber oft erfolgreich, da Menschen dazu neigen, einfache und vertraute Passwörter zu verwenden.

Eine frühere Analyse von Specops, bei der Millionen von Passwörtern untersucht wurden, ergab, dass der häufigste Grundbegriff „Passwort“ ist. Zu den weiteren gängigen Basisbegriffen zählen unter anderem „admin“ und „welcome“. Da wir häufig Grundbegriffe verwenden, die einen Bezug zu unserem Alltag haben, stellen soziale Medien eine wahre Fundgrube für Angreifer dar. Angreifer können Social-Media-Profile nutzen, um bestimmte Personen gezielt anzusprechen, und dabei problemlos Informationen wie Geburtstage, Familiennamen, Namen von Haustieren und bedeutungsvolle Orte in Erfahrung bringen, die als Basiswort in einem Passwort verwendet werden könnten.

Fehler Nr. 2: Zu kurze Passwortlänge

Angreifer sehen sich nach wie vor mit einer großen Vielfalt konfrontiert, wenn sie versuchen, Passwörter zu erraten – selbst bei solchen mit schwachen Grundbegriffen. Sie können Brute-Force-Verfahren einsetzen, um alle möglichen Passwortkombinationen der Reihe nach zu durchprobieren, bis sie das richtige Passwort gefunden haben. Brute-Force-Angriffe sind besonders wirksam bei kurzen Passwörtern und noch wirksamer bei kurzen Passwörtern, die mit einem gängigen Grundbegriff beginnen.

Specops stellte fest, dass 88 % der in ihrer Untersuchung erfassten kompromittierten Passwörter aus höchstens 12 Zeichen bestanden. Die Vorgabe einer größeren Passwortlänge kann ein wirksamer Schutz gegen diese Angriffe sein.

Fehler Nr. 3: Bewegungsmuster beim Tippen

Ein weniger häufig thematisierter Fehler bei Passwörtern betrifft sogenannte „Keyboard-Walk“-Muster, bei denen es sich im Wesentlichen um Passwörter handelt, die vom Layout einer Tastatur inspiriert sind.

Ein Beispiel hierfür ist das Wort „QWERTY“, das für den Benutzer eine leicht zu merkende „Tastaturfolge“ darstellt. Specops stellte fest, dass das Muster „qwerty“ in Passwörtern über 1 Million Mal identifiziert wurde, was verdeutlicht, wie verbreitet das Erraten von Passwörtern anhand der Tastaturbelegung ist.

Auch wenn Tastatur-Walk-Muster keine echten Wörter sind, können sie dennoch bei Wörterbuchangriffen verwendet werden. Angreifer versuchen stets zu verstehen, wie und warum Menschen bestimmte Handlungen ausführen, um daraus besser Kapital schlagen und ihre Angriffe besser planen zu können. Da „Keyboard-Walks“ vorhersehbar sind, werden sie manchmal in die Liste der wahrscheinlichen Passwörter aufgenommen, die dann bei Wörterbuchangriffen verwendet werden.

Fehler Nr. 4: Wiederverwendung von Passwörtern

Selbst sichere Passwörter können kompromittiert werden, was zu einem noch größeren Problem wird, wenn dasselbe Passwort für verschiedene Anwendungen wiederverwendet wird. Untersuchungen zeigen, dass 65 % der Menschen Passwörter wiederverwenden – eine Tatsache, die Angreifer nur allzu gut kennen.

Die Wiederverwendung von Passwörtern ist ein wesentlicher Grund dafür, dass sich viele Angreifer auf den Diebstahl von Zugangsdaten und den Verkauf dieser Passwörter konzentrieren, da ein aus einer Anwendung gestohlenes Passwort an anderer Stelle ausgenutzt werden könnte.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Eine gute Passwortpraxis war schon immer wichtig, gewinnt jedoch angesichts der sich ständig weiterentwickelnden Bedrohungslage zunehmend an Bedeutung. Und bis die ganze Welt dank neuer Technologien wie Entra ID, Duo oder KelvinZero auf Passwörter verzichten kann, muss jeder von uns seinen Teil dazu beitragen, sich selbst und seine Organisation durch eine gute Passwortpraxis zu schützen.

Die zunehmende Verbreitung von Infostealern ist ein Paradebeispiel dafür, warum wir bei der Wahl unserer Passwörter vorsichtiger denn je sein sollten. Es wird viel darüber gesprochen, dass die Zukunft der Authentifizierung passwortlos sein wird, doch es wird wahrscheinlich noch einige Zeit dauern, bis dieser Wandel eintritt. In der Zwischenzeit können wir uns wahrscheinlich alle verbessern (oder zumindest achtsamer sein), wenn es um die Erstellung und Verwaltung von Passwörtern geht.

3. Earth Estries richtet sich an Regierungen und Technologieunternehmen weltweit

Die Cyberkriminellen-Gruppe „ “ („Earth Estries“) (öffnet in einem neuen Tab) wird mit einer neuen Cyberspionagekampagne in Verbindung gebracht, die sich gegen Regierungsstellen und die Technologiebranche auf den Philippinen, in Taiwan, Malaysia, Südafrika, Deutschland und den USA richtet. Der Angreifer arbeitet aktiv mit hochrangigen Ressourcen und verfügt über ausgefeilte Fähigkeiten und umfangreiche Erfahrung.

Infektionsroutine

• Earth Estries kompromittiert bestehende Konten mit Administratorrechten, nachdem es einen internen Server erfolgreich infiziert hat.
• Im Rahmen der Operation wurden „ “ und „Cobalt Strike“ auf dem System installiert, bevor weitere Malware eingesetzt und laterale Bewegungen durchgeführt wurden. SMB und WMIC wurden genutzt, um verschiedene Backdoors und Hacking-Tools auf andere Rechner in der Umgebung zu übertragen.
• Der Angreifer hatte es auf PDF- und DDF-Dateien abgelegt, die zu Archivierungszwecken bestimmt waren und über „curl.exe“ in Online-Speicherdienste wie AnonFiles oder File.io hochgeladen wurden.
• Earth Estries reinigte regelmäßig seine bestehende Hintertür nach Abschluss jeder Operationsrunde und setzte zu Beginn einer neuen Runde eine neue Malware ein.

Earth Estries – Backdoor und Hacking-Tools

Im Rahmen dieser Kampagne wurde „Earth Estries“ mithilfe verschiedener Tools beobachtet, darunter Infostealer, Browser-Datendiebe, Port-Scanner und weitere.

Trend Micro (wird in einem neuen Tab geöffnet) befasst sich mit den neu entdeckten und bemerkenswerten Tool-Sets dieser Kampagne.

• Zingdoor: Zingdoor ist eine in Go geschriebene HTTP-Backdoor, die erstmals in April 2023 entdeckt wurde, obwohl einige Protokolle darauf hindeuten, dass diese Backdoor bereits seit Mitte 2022 existiert. Diese Backdoor taucht in der Praxis nur selten auf, ist jedoch mit UPX gepackt und stark verschleiert. Im Rahmen dieser Kampagne war die Datei als „mpclient.dll“ getarnt und so konzipiert, dass sie über das Sideloading von DLLs ausgeführt wurde, wobei die Windows Defender-Binärdatei „MsSecEs.exe“ missbraucht wurde. Der aktuelle übergeordnete Prozess wird zur Gewährleistung der Persistenz als Windows-Dienst mit dem Namen „MsSecEsSvc“ registriert. Außerdem wird eine Verbindung hergestellt und auf einen Befehl vom Server C2 gewartet. Es ist in der Lage, Systeminformationen und Informationen zu Windows-Diensten abzurufen, die Datenträgerverwaltung zu nutzen und beliebige Befehle auszuführen.
• TrillClient: TrillClient ist ein Infostealer, der dazu dient, Browserdaten abzugreifen. Es installiert sich selbst als Windows-Dienst namens „Net Connection“, erstellt anhand der eingegebenen Opfer-ID eine Opferliste, startet sich selbst über die Startdienste und beendet den Installationsprozess, indem es den Dienst löscht. Es stellt eine Verbindung zu einem fest programmierten GitHub-Repository her, um den Befehl für seine nächsten Aktionen abzurufen. Es kann Browser-Anmeldedaten erfassen und eine Aufgabe zum Erfassen von Browser-Anmeldedaten planen.
• HemiGate: HemiGate ist eine Hintertür, die über das Sideloading einer DLL ausgeführt wird. Es wird in drei Instanzen ausgeführt. Die erste Instanz wird ohne Parameter gestartet; ihr Hauptzweck besteht darin, Startmechanismen zu installieren und die zweite Instanz auszuführen, bevor sie beendet wird. Die zweite Instanz ist dafür zuständig, die Konfigurationsdatei einzulesen und mit dem C2 -Server zu kommunizieren, bevor sie mit der dritten Instanz kommuniziert. Die dritte Instanz führt einen Keylogger aus und empfängt bzw. führt Befehle aus, die von der zweiten Instanz übermittelt werden.

Viktimologie

Earth Estries richtet seine Angriffe vor allem auf regierungsnahe Organisationen und Technologieunternehmen. Es kam zu Anschlägen auf den Philippinen, in Taiwan, Malaysia, Südafrika, Deutschland und den USA.

Die Forscher beobachteten zudem Netzwerkverkehr zu C2 Servern in Kanada sowie die Erkennung von Tool-Sets in Indien und Singapur.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Diese Kampagne reiht sich in den Trend ein, dass Angreifer öffentliche Dienste wie GitHub, AnonFiles und File.io im Rahmen ihrer Aktivitäten missbrauchen.“

„Die Gruppe scheint recht versiert zu sein und setzt in ihrer jüngsten Kampagne mehrere neue Hintertüren und Hacking-Tools ein.“ Trend Micro weist darauf hin, dass sich Earth Estries auf Cyberspionage-Kampagnen konzentriert. Vor diesem Hintergrund ist die Ausrichtung auf mehrere Länder weltweit sehr breit gefächert.“

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum , um eine Diskussion zu starten.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .