Im Roundup dieser Woche untersucht CTI, wie Bedrohungsakteure irreführende Daten in die Betreffzeilen von Phishing-E-Mails eingeben, um die Emotionen ihrer Empfänger zu beeinflussen. Als nächstes stellt CTI die vier häufigsten Passwortfehler vor, die Benutzer machen, und wie Hacker sie nutzen können. Schließlich stellt CTI ein Update zur Cyberkriminalgruppe Earth Estries und ihrer neuesten Cyberspionagekampagne bereit.
1. Bedrohungsakteure verwenden irreführende Daten in Phishing-Betreffzeilen
Ein kürzlich veröffentlichter Cofense-Blog zeigt, wie Bedrohungsakteure irreführende Daten in die Betreffzeilen von Phishing-E-Mails einfügen (öffnet sich in einer neuen Registerkarte). Die Analyse zeigt auch einige interessante Trends in Betreffzeilen mit Daten in ihnen und gezielten Subsektoren auf.
Die Verhältnisse der Probanden, die Daten enthalten, im Vergleich zu denen ohne
Die Analyse begann mit der Untersuchung von Probanden, die Daten in jedem Format hatten. Dies umfasste Themen im Zusammenhang mit verspäteten Faxen, verpassten Voicemails, überfälligen Rechnungen, Gehaltsabrechnung und anderen Elementen, die sofortige Aufmerksamkeit erforderten. Die Anzahl der E-Mails mit Daten in der Betreffzeile variierte je nach Teilsektor.
Der Proband mit dem höchsten Prozentsatz an datierten Probanden war der Schienentransport mit 48 %. Darauf folgten Öl und Gas zu 45 %. Die Sektoren mit dem niedrigsten Prozentsatz waren Immobilien- und Großhandel mit je 13 %. Jeder Teilsektor hatte ein Datum in etwa 31 % seiner Themen.
Cofense hat diese E-Mails mit Daten in ihren Betreffzeilen weiter getrennt, basierend auf den Daten selbst. Die Kategorien basierten auf dem Datum, an dem auf die E-Mail zugegriffen wurde.
Die erste Kategorie, frühe E-Mails, enthielt Nachrichten, bei denen das Datum im Betreff nach dem Tag lag, an dem auf die E-Mail zugegriffen wurde. Die zweite Kategorie, pünktliche E-Mails, enthielt Nachrichten, bei denen das Datum im Betreff mit dem Tag übereinstimmte, an dem auf die E-Mail zugegriffen wurde. Die letzte Kategorie, späte E-Mails, umfasste E-Mails, bei denen das Datum im Betreff vor dem Tag lag, an dem auf die E-Mail zugegriffen wurde.
- Frühe E-Mails: Wenige Bedrohungsakteure haben E-Mails mit Betreffdaten gesendet, die später als am Tag des Zugriffs waren. Frühe Probanden machten nur 2 % aller Probanden mit Daten aus. Laut Cofense stammen die meisten dieser E-Mails aus Unfällen und Fehlkonfigurationen von Bedrohungsakteuren.
- Pünktliche E-Mails: E-Mails mit Betreffdaten, die mit dem Tag übereinstimmen, an dem auf die E-Mail zugegriffen wurde, waren die zweithäufigsten. Die Subsektoren hatten im Durchschnitt 31 % ihrer Themen mit Daten, die mit dem Tag des Zugriffs auf die E-Mails übereinstimmten. Diese E-Mails waren die am meisten angepassten, wobei 58 % der Betreffe eine Art von benutzerdefinierten Inhalten oder PII hatten, die eine Bearbeitung erforderten. Das beliebteste Thema waren handlungsorientierte Themen, wahrscheinlich in dem Versuch, sofortige Maßnahmen vom Empfänger zu erhalten.
- Späte E-Mails: Die häufigste Kategorie von E-Mails sind diejenigen mit Daten in ihrer Betreffzeile, von bevor auf die E-Mail zugegriffen wird. Dies wird wahrscheinlich ein falsches Gefühl der Dringlichkeit vermitteln und die Opfer warnen, dass eine Frist bereits verstrichen ist und sie bereits verspätet sind.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Die wichtigste Erkenntnis ist, dass Bedrohungsakteure Termine in E-Mail-Betreffzeilen nutzen, um ein Gefühl der Dringlichkeit zu schaffen und eine Reaktion oder Interaktion vom Empfänger herbeizuführen. Das ist keine neue Tatsache.“
„Neu ist die Aufschlüsselung des Datums, das der Bedrohungsakteur verwenden möchte. Interessant ist, dass die meisten dieser Phishing-E-Mails ein Datum in der Betreffzeile verwenden, von bevor Sie die E-Mail öffnen würden. Das spielt wirklich mit Ihrer Mentalität, denn Ihre unmittelbare Reaktion ist, dass Sie etwas verpasst oder vergessen haben, etwas zu tun.“
2. Vier häufige Passwortfehler, die vermieden werden sollten
Der Passwortsicherheitsanbieter Specops hat detailliert angegeben, was ihrer Meinung nach die vier häufigsten Passwortfehler sind, die Benutzer machen – und wie Hacker die einzelnen nutzen können.
Laut Specops treten diese häufigen Passwortfehler auf, weil unser Gehirn gut in der Musterausführung ist. Dies gibt uns eine natürliche Affinität für Muster, die befriedigend oder leicht zu merken sind.
Fehler 1: Allgemeine Grundbegriffe
Benutzer neigen dazu, beim Erstellen eines Passworts nach einem Basiswort zu suchen. Während ein zufälliges Basiswort harmlos erscheinen mag, sind diese Basiswörter selten wirklich zufällig und haben eine größere Relevanz, als wir oft erkennen.
Benutzer werden häufig das gleiche Basiswort während routinemäßiger Passwortrücksetzungen/-aufgaben schrittweise anpassen, um Standardanforderungen an den Passwortverlauf oder Komplexitätseinstellungen zu umgehen. Bei Specops sehen Benutzer häufig den ersten Buchstaben dieses Basisworts und/oder fügen Sonderzeichen zum Ende hinzu.
Bedrohungsakteure wissen, dass sie nicht das stärkste Passwort als Weg in eine Organisation knacken müssen. Stattdessen können sie ein schwaches Passwort knacken und sich seitlich bewegen. Sie nutzen gemeinsame Basisbegriffe in einem Angriff aus, der als Wörterbuchangriff bekannt ist, wobei sie eine vordefinierte Liste mit schwachen Basisbegriffen verwenden, um Passwörter zu erraten. Dieser Angriff ist einfach, aber oft erfolgreich, da Menschen dazu neigen, einfache und vertraute Passwörter zu verwenden.
Eine frühere Analyse von Millionen von Passwörtern durch Specops zeigt den häufigsten Basisbegriff als „Passwort“. Einige der anderen häufigen Grundbegriffe sind „admin“ und „willkommen“. Da wir häufig Grundwörter verwenden, die eine gewisse Relevanz für unser tägliches Leben haben, bieten soziale Medien eine Goldmine für Bedrohungsakteure. Bedrohungsakteure können Social-Media-Profile verwenden, um bestimmte Personen anzusprechen, und können leicht Fakten wie Geburtstage, Familiennamen, Haustiernamen und Stellen von Bedeutung lernen, die als Basiswort in einem Passwort verwendet werden können.
Fehler 2: Kurze Passwortlänge
Bedrohungsakteure sehen sich immer noch einer großen Variation ausgesetzt, wenn sie versuchen, Passwörter zu erraten – auch solche mit schwachen Basisbedingungen. Sie können Brute-Force-Techniken verwenden, um potenzielle Passwortkombinationen zu iterieren, bis sie das richtige Passwort finden. Brute-Force-Angriffe sind besonders effektiv gegen kurze Passwörter und noch effektiver bei kurzen Passwörtern, die mit einem gemeinsamen Basisbegriff beginnen.
Specops stellte fest, dass 88 % der kompromittierten Passwörter aus ihrer Recherche 12 Zeichen oder weniger betrugen. Die Durchsetzung einer längeren Passwortlänge kann eine effektive Verteidigung gegen diese Angriffe sein.
Fehler 3: Tastatur-Gehmuster
Ein weniger häufig über Passwortfehler gesprochenes Passwort bezieht sich auf Tastatur-Gehmuster, die im Wesentlichen Passwörter sind, die vom Layout einer Tastatur inspiriert sind.
Ein Beispiel dafür ist mit dem Wort QWERTY zu sehen, das ein leicht zu merkender „Tastatur-Walk“ für den Benutzer ist. Die Specops stellten fest, dass das Muster qwerty mehr als 1 Million Mal in Passwörtern identifiziert wurde, wobei betont wurde, wie häufig Tastatur-Walks sind.
Auch wenn Tastatur-Gehmuster keine echten Wörter sind, können sie dennoch in Wörterbuchangriffen verwendet werden. Bedrohungsakteure versuchen immer zu verstehen, wie und warum Menschen bestimmte Dinge tun, damit sie ihre Angriffe besser kapitalisieren und planen können. Da Tastatur-Walks vorhersehbar sind, werden sie manchmal in die Liste wahrscheinlicher Passwörter aufgenommen, die dann bei Wörterbuchangriffen verwendet werden.
Fehler 4: Passwortwiederverwendung
Selbst starke Passwörter können gefährdet werden, was zu einem noch größeren Problem wird, wenn dasselbe Passwort für verschiedene Anwendungen wiederverwendet wird. Untersuchungen zeigen, dass 65 % der Menschen Passwörter wiederverwenden – eine Tatsache, die Bedrohungsakteure allzu gut wissen.
Die Wiederverwendung von Passwörtern ist ein großer Teil davon, warum sich viele Bedrohungsakteure auf den Diebstahl von Anmeldedaten und den Verkauf dieser Passwörter konzentrieren, da ein gestohlenes Passwort aus einer Anwendung anderswo ausgenutzt werden könnte.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
Eine gute Passworthygiene war schon immer wichtig, aber sie wird immer wichtiger, da sich die Bedrohungslandschaft weiter entwickelt. Und bis die ganze Welt durch neue Technologien wie Entra ID, Duo oder KelvinZero passwortlos wird, spielt jeder von uns eine Rolle beim Schutz von uns und unseren Organisationen durch Passworthygiene.
Die zunehmende Popularität von Infostealern ist ein gutes Beispiel dafür, warum wir bei der Auswahl unserer Passwörter vorsichtiger denn je sein sollten. Die Zukunft der kennwortlosen Authentifizierung ist sehr belebt, aber es wird wahrscheinlich einige Zeit dauern, bis diese Verschiebung stattfindet. In der Zwischenzeit können wir wahrscheinlich alle bei der Erstellung und Verwaltung von Passwörtern verbessern (oder zumindest achtsamer sein).
3. Earth Estries zielt auf globale Regierungen und Technologieunternehmen ab
Die Cyberkriminalgruppe Earth Estries (eröffnet in einer neuen Registerkarte) wurde einer neuen Cyberspionage-Kampagne zugeschrieben, die sich an staatliche und Technologiebranchen auf den Philippinen, Taiwan, Malaysia, Südafrika, Deutschland und den USA richtet. Der Bedrohungsakteur arbeitet aktiv mit hochrangigen Ressourcen und Funktionen mit ausgeklügelten Fähigkeiten und Erfahrungen zusammen.
Infektionsroutine
- Earth Estries kompromittiert bestehende Konten mit administrativen Berechtigungen, nachdem ein interner Server erfolgreich infiziert wurde.
- Der Vorgang installierte Cobalt Strike auf dem System, bevor zusätzliche Malware bereitgestellt und seitliche Bewegungen durchgeführt wurden. SMB und WMIC wurden verwendet, um verschiedene Hintertüren und Hacking-Tools an andere Maschinen in der Umgebung zu verbreiten.
- Der Bedrohungsakteur zielte auf PDF- und DDF-Dateien für die Archivierung ab, die über curl.exe in Online-Speicher-Repositorys wie AnonFiles oder File.io hochgeladen wurden.
- Earth Estries reinigte regelmäßig ihre bestehende Hintertür, nachdem sie jede Runde des Vorgangs abgeschlossen hatte, und setzte ein neues Stück Malware neu ein, wenn sie eine weitere Runde begann.
Earth Estries Backdoor- und Hacking-Tools
Earth Estries wurde mit verschiedenen Tools in dieser Kampagne beobachtet, darunter Infostealer, Browserdatenstealer, Portscanner und mehr.
Trend Micro (wird in einer neuen Registerkarte geöffnet) behandelt die neu entdeckten und bemerkenswerten Toolsets aus dieser Kampagne.
- Zingdoor: Zingdoor ist eine HTTP-Backdoor, die in Go geschrieben wurde und erstmals im Jahr angetroffen wurde April 2023, obwohl einige Protokolle darauf hinweisen, dass diese Backdoor seit Mitte 2022 existiert. Diese Hintertür wird selten in der Wildnis gesehen, ist aber mit UPX verpackt und stark verschleiert. In dieser Kampagne wurde sie als mpclient.dll getarnt und so konzipiert, dass sie über DLL-Sideloading ausgeführt wird, indem sie die Windows-Verteidiger-Binärdatei MsSecEs.exe missbraucht. Der aktuelle übergeordnete Prozess wird als Windows-Dienst mit dem Namen MsSecEsSvc für die Persistenz registriert. Es verbindet sich auch und wartet auf einen Befehl vom C2 -Server. Es kann Systeminformationen, Windows-Dienstinformationen, Festplattenverwaltung und beliebige Befehle abrufen.
- TrillClient: TrillClient ist ein Infostealer, der Browserdaten erfasst. Er installiert sich selbst als Windows-Dienst Net Connection, erstellt eine Opferliste basierend auf der eingegebenen Opfer-ID, startet sich selbst durch das Starten von Diensten und bereinigt den Installationsprozess durch Löschen des Dienstes. Es stellt eine Verbindung zu einem festcodierten GitHub-Repo her, um den Befehl für seine nächsten Aktionen abzurufen. Es kann Browser-Anmeldedaten erfassen und eine Aufgabe planen, um Browser-Anmeldedaten zu erfassen.
- HemiGate: HemiGate ist eine Hintertür, die über DLL-Seitenladung ausgeführt wird. Sie wird in drei Fällen ausgeführt. Die erste Instanz wird ohne Parameter gestartet und ihr Hauptzweck ist die Installation von Startmechanismen und die Ausführung der zweiten Instanz vor dem Beenden. Die zweite Instanz ist dafür verantwortlich, die Konfigurationsdatei zu lesen und mit dem C2 -Server zu kommunizieren, bevor sie mit der dritten Instanz kommuniziert. Die dritte Instanz führt einen Keylogger aus und empfängt/führt Befehle aus, die von der zweiten Instanz übergeben werden.
Viktimologie
Earth Estries richtet seine Angriffe auf regierungsnahe Organisationen und Technologieunternehmen. Angriffe fanden auf den Philippinen, Taiwan, Malaysia, Südafrika, Deutschland und den USA statt.
Forscher beobachteten auch den Netzwerkverkehr zu C2 Servern in Kanada und Toolset-Erkennungen in Indien und Singapur.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Diese Kampagne trägt zum Trend bei, dass Bedrohungsakteure öffentliche Dienste wie GitHub, AnonFiles und File.io im Rahmen ihres Betriebs missbrauchen.“
„Die Gruppe scheint ziemlich ausgeklügelt zu sein und nutzt mehrere neue Hintertüren und Hack-Tools in ihrer neuesten Kampagne. Trend Micro stellt fest, dass Earth Estries sich auf Cyber-Spionage-Kampagnen konzentriert. Vor diesem Hintergrund ist seine Ausrichtung auf mehrere Länder auf der ganzen Welt sehr breit.“
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium , um ein Gespräch zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
