Als Erstes in unserem Wochenüberblick befasst sich CTI mit einer neuen Familie von Infostealern namens „MetaStealer“, die auf die macOS-Plattform abzielt. Als Nächstes werfen wir einen Blick auf eine neue Ransomware-Familie namens „ 03 UHR “, die kürzlich in freier Wildbahn entdeckt wurde. Ebenfalls enthalten ist ein Überblick über die Malware-Familien „RedLine“ und „Vidar“ sowie darüber, wie die dahinter stehenden Angreifer Ransomware-Payloads mit denselben Verbreitungsmethoden verbreiten, die sie auch zur Verbreitung von Infostealern nutzen.
1. Neue Familie von Go-Infostealern verbreitet sich im Rahmen gezielter Angriffe
Sentinel One hat eine neue Familie von macOS-Infostealern namens „ “ verfolgt und analysiert. MetaStealer (wird in einem neuen Tab geöffnet) – erfahren Sie, wie sich diese von anderen aktuellen Stealern unterscheidet.
Laut SentinelOne werden viele der MetaStealer-Beispiele in bösartigen Anwendungsbündeln innerhalb einer dmg-Datei verbreitet. Die Dateinamen deuten darauf hin, dass es sich bei den Zielpersonen um geschäftliche Nutzer von Mac-Geräten handelte. Zu den Dateinamen gehören unter anderem „Leistungsbeschreibung für Werbung (MacOS-Präsentation).dmg“, „CONCEPT A3 – Vollständiges Menü mit Gerichten und Übersetzungen ins Englische.dmg“, „AnimatedPoster.dmg“ und „Kurzpräsentation – Aufgabenübersicht (SOW) – PlayersClub.dmg“.
Eine Version von MetaStealer trug den Namen „Conract for paymen & confidentiality agreement Lucasprod.dmg“ (die Rechtschreibfehler sind im tatsächlichen Dateinamen enthalten). Diese Datei wurde bei VirusTotal hochgeladen, zusammen mit einem Kommentar des Opfers, in dem detailliert beschrieben wird, wie es in die Falle gelockt wurde. Das Opfer gibt an, dass es von einer Person geködert wurde, die sich als Design-Auftraggeber ausgab und ihm eine passwortgeschützte ZIP-Datei mit der schädlichen DMG-Datei zusandte. Andere Versionen von MetaStealer haben Namen verwendet, die den Anschein erweckten, es handele sich um Adobe-Dateien oder -Software.
Schädliche Anwendungsbündel
Die in den Disk-Images enthaltenen Anwendungen erfüllen die Mindestanforderungen für die Erstellung eines macOS-Bundles. Das Paket enthält eine „Info.plsit“-Datei, einen Ordner „resources“ mit einem Symbolbild sowie einen Ordner „macOS“ mit der schädlichen ausführbaren Datei. Keine der von SentinelOne untersuchten Proben wies eine Codesignatur auf oder nutzte Ad-hoc-Signierung, was bedeutet, dass der Angreifer das Opfer wahrscheinlich dazu überreden müsste, Schutzmaßnahmen wie Gatekeeper zu umgehen.
Bei den gesammelten Beispielen handelt es sich um Binärdateien der Architektur x86_64 , die ausschließlich auf Apple-Silicon-Geräten M1 und M2 mithilfe von Rosetta ausgeführt werden können. Proben von MetaStealer wurden regelmäßig auf VirusTotal hochgeladen.
Verschleierte Go-Ausführungsdatei
Die Hauptausführungsdatei ist eine Intel- x86 -Mach-O-Datei, die kompilierten und stark verschleierten Go-Quellcode enthält.
Die Verschleierungsmethode ähnelt derjenigen, die in verschleierten Sliver- und Poseidon-Malware-Binärdateien verwendet wird. Trotz der Verschleierung konnten die Forscher Funktionen zur Exfiltration des Schlüsselbunds, zum Extrahieren gespeicherter Passwörter und zum Abrufen von Dateien identifizieren. Einige der Versionen enthalten Methoden, die auf Telegram- und Meta-Dienste abzielen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Das Auftauchen von MetaStealer trägt zu dem aktuellen Trend bei, dass Infostealer gezielt auf Mac-Nutzer abzielen. „MetaStealer zielt gezielt auf geschäftliche Nutzer von macOS-Geräten ab, was für Mac-Malware, die üblicherweise über geknackte Software oder Malvertising verbreitet wird, historisch gesehen ungewöhnlich ist.“
„MetaStealer stützt sich in hohem Maße auf Social Engineering, um Opfer dazu zu verleiten, schädliche Payloads selbst auszuführen.“ „Dies ist etwas, worin die Angreifer offenbar immer besser werden, weshalb wir alle wachsamer denn je sein müssen.“
2. Forscher entdecken die Ransomware „ 03 UHR “ in freier Wildbahn
Symantec hat eine neue Ransomware-Familie namens „ “ entdeckt, die unter den Bezeichnungen „ 03 UHR“, „ “ (öffnet in einem neuen Tab), „“ und „ “ im Umlauf ist. „03 UHR “ wurde in einem einzelnen Vorfall entdeckt, bei dem ein Partner die Ransomware einsetzte, nachdem ein Versuch, „LockBit“ im Netzwerk zu installieren, fehlgeschlagen war.
Hintergrundinformationen zur Ransomware „ 03 UHR “
03 UHR Dies ist der Name, den Symantec dieser Ransomware-Familie gegeben hat, da in der Lösegeldforderung auf 03 UHR verwiesen wird und verschlüsselte Dateien die Endung .threeamtime erhalten.
Die Ransomware ist in Rust programmiert und versucht, mehrere Dienste zu beenden, bevor sie Dateien verschlüsselt. Sobald die Verschlüsselung abgeschlossen ist, wird versucht, die Volume-Shadow-Kopien zu löschen.
Bislang wurde die Ransomware „ 03 UHR “ nur sehr selten beobachtet. Es wurde lediglich bei einem einzigen Angriff nach einem fehlgeschlagenen Einsatz von LockBit beobachtet. Derzeit ist unklar, ob die Urheber mit bekannten Akteuren oder Gruppen aus dem Bereich der Cyberkriminalität in Verbindung stehen.
Vorbereitung des Angriffs
Die erste identifizierte Aktivität des Angreifers bestand darin, mithilfe des Befehls „gpresult“ die auf dem Computer für einen bestimmten Benutzer erzwungenen Richtlinieneinstellungen auszulesen. Der Angreifer führte anschließend verschiedene Cobalt-Strike-Komponenten aus, bevor er versuchte, mithilfe von PsExec seine Berechtigungen zu erweitern. Er führte Erkundungsbefehle aus (whoami, netstat, quser, netshare) und versuchte, andere Server im Netzwerk zu ermitteln, um sich seitlich im Netzwerk zu bewegen. Anschließend wurde ein neuer Benutzer hinzugefügt, um die Persistenz zu gewährleisten, bevor mithilfe des Wput-Tools Dateien auf einen FTP-Server exfiltriert wurden.
Der Angreifer versuchte zunächst, die LockBit-Ransomware zu installieren, doch diese wurde im Netzwerk blockiert. Dies zwang den Angreifer dazu, stattdessen auf „ 03 UHR “ zurückzugreifen. Der Einsatz von „ 03 UHR “ war nur teilweise erfolgreich, da es den Angreifern lediglich gelang, die Software auf drei Rechnern zu installieren, von denen zwei die Installation blockierten.
03 UHR Analyse
Bei der Ransomware handelt es sich um eine in Rust geschriebene 64-Bit-Ausführungsdatei. Es erkennt die folgenden Befehlszeilenparameter:
- „-k“ – 32 Base64 Zeichen, in der Lösegeldforderung als „Zugriffsschlüssel“ bezeichnet
- „-p“ – Unbekannt
- „-h“ – Unbekannt
- „-m“ – Methode, bei der der Code vor der Ausführung der Verschlüsselungslogik einen von zwei Werten überprüft:
- „lokal“
- „net“
- „-s“ – Legt Offsets innerhalb der Dateien für die Verschlüsselung fest, um die Verschlüsselungsgeschwindigkeit zu steuern. Dies wird in Form von Dezimalziffern ausgedrückt.
Die Befehlszeilenparameter „-m“ und „-h“ schließen sich gegenseitig aus. Die Verwendung der Parameter „-h“ und „-m“ sowie deren Werte „local“ und „net“ ähnelt stark den von Conti verwendeten Argumenten. Bei der Ausführung wird versucht, eine lange Liste von Befehlen auszuführen, von denen viele darauf abzielen, verschiedene Sicherheits- und Backup-Programme zu beenden.
Die Ransomware durchsucht anschließend die Festplatte nach Dateien, die einem vordefinierten Kriterium entsprechen, verschlüsselt diese Dateien und löscht die Originale. „ 03 UHR “ erstellt daraufhin in jedem durchsuchten Ordner die Datei „RECOVER-FILES.txt“. Diese Datei enthält die Lösegeldforderung.
Die verschlüsselten Dateien enthalten eine Markierungszeichenfolge aus den Ziffern 0x666 , gefolgt von den von der Ransomware angehängten Daten. Nach Abschluss der Verschlüsselungsroutine wird versucht, die Schattenkopien der Datenträger zu löschen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es gibt kaum Berichte über Angreifer, die versucht haben, eine bestimmte Ransomware einzusetzen, dann aber auf eine andere umgestiegen sind, als die erste blockiert wurde.“ „Und wir sehen noch weniger Berichte darüber, dass Angreifer auf bisher unbekannte Ransomware umsteigen.“
„Es scheint ein interessanter Zeitpunkt zu sein, eine neue Ransomware auszuprobieren – und zwar als Notfallplan und nicht mit der Absicht, sie tatsächlich einzusetzen.“ Da die Ransomware „ 03 UHR “ nur teilweise erfolgreich war, könnte es sein, dass dieser Angreifer „03 UHR “ noch in der Entwicklung hat und nur deshalb auf diese umgestiegen ist, weil er keine andere Wahl hatte. „Angesichts der Tatsache, dass es von einem mutmaßlichen LockBit-Partner als Ausweichlösung genutzt wurde, wäre es keine Überraschung, wenn man in Zukunft noch öfter von 03 UHR hören würde.“
3. Die Angreifer der Gruppen „RedLine“ und „Vidar“ wechseln zu Ransomware
Trend Micro verfolgt die Malware-Familien „ “, „RedLine“ und „Vidar“ (wird in einem neuen Tab geöffnet) seit Mitte des Jahres 2022. Beide Familien wurden dazu genutzt, Opfer mittels Spear--Phishing gezielt anzugreifen. Jüngste Untersuchungen zeigen jedoch, dass die Angreifer hinter diesen Malware-Familien mittlerweile Ransomware-Payloads mit denselben Verbreitungsmethoden verbreiten, die sie auch zur Verbreitung von Infostealern nutzen.
Es wurde nun beobachtet, dass die Angreifer zunächst eine Infostealer-Malware mit EV-Code-Signaturzertifikaten versenden, bevor sie über denselben Weg Ransomware-Payloads verbreiten.
Hintergrund
Organisationen erhalten Zertifikate zur Code-Signierung mit erweiterter Validierung, sobald sie ihre rechtliche und physische Existenz in einem Land nachgewiesen haben. Im Vergleich zu herkömmlichen Zertifikaten für die Codesignierung gibt es hier ein Ausstellungsverfahren mit einer erweiterten Identitätsprüfung. Der Vorgang umfasst auch die Generierung eines privaten Schlüssels, wofür ein Hardware-Token erforderlich ist.
Obwohl bereits zu Beginn dieses Jahres zusätzliche Sicherheitsmaßnahmen eingeführt worden waren, wurden zwischen Juli undAugust 2023 , im Zusammenhang mit dieser Kampagne bzw. dieser Aktivität über 30 EV-codepassierte Samples verwendet. Der mit dieser Aktivität in Verbindung stehende Vidar-Infostealer war polymorph, da jede Probe einen anderen Hash-Wert aufwies. Zwar gab es bereits Fälle, in denen Angreifer EV-Zertifikate für ihre Malware nutzten, doch Trend Micro stellt fest, dass dies das erste Mal ist, dass ein Angreifer mit einer derart großen Anzahl von Beispielen beobachtet wurde. Es ist bislang nicht bekannt, wie der Angreifer Zugriff auf den privaten Schlüssel erlangt hat.
Technische Analyse
Angreifer, die RedLine und Vidar einsetzen, nutzen gängige Techniken, um ihre Opfer dazu zu verleiten, schädliche Dateien auszuführen. Dazu gehören häufig Spear-Phishing, die Verwendung doppelter Dateiendungen und von LNK-Dateien sowie die Übertragung schädlicher Dateien über Google Drive.
In einem von Trend Micro untersuchten Fall erhielt das Opfer Mitte Juli dieses Jahres im Rahmen einer Reihe von Kampagnen Malware zum Diebstahl von Daten. Am 9. August erhielten sie dann eine Ransomware-Nutzlast, nachdem sie dazu verleitet worden waren, den Anhang einer gefälschten Beschwerde-E-Mail von TripAdvisor herunterzuladen bzw. zu öffnen. Der Anhang nutzte die gängige Technik der doppelten Dateiendung – .pdf.htm –, um den Nutzer glauben zu machen, es handele sich um eine PDF-Datei.
Nachdem der Nutzer diesen Anhang geöffnet und auf „Beschwerde lesen“ geklickt hatte, führte er unwissentlich mehrere JavaScript-Dateien aus. Dadurch wurde wiederum die Datei „TripAdvisor Complaint-Possible Suspension.exe“ heruntergeladen und ausgeführt. Diese ausführbare Datei stellte eine Verbindung zu zwei URLs her, las den Inhalt einer PNG-Datei aus und wandelte ihn in verschlüsselten Shellcode um. Der Shellcode wurde entschlüsselt, um einen weiteren Shellcode für die Injektion zu generieren.
Die Ransomware-Nutzlast wurde schließlich als „Ransom.Win64“ erkannt.CYCLOPS.A wurde in die Datei „ rgb9rast.exe“ eingeschleust – eine legitime eigenständige 7-Zip-Konsolenanwendung. Daraufhin hinterließ das Programm die Lösegeldforderung, verschlüsselte Dateien mit der Endung .knight_l und stellte eine ausgehende SMB-Verbindung her, um Dateien im Netzwerk zu verschlüsseln.
Weitere Indikatoren
Die Angreifer verwendeten für ihre schädlichen Dateien, die nicht mit EV-Code signiert waren, auch andere Dateinamen, wie beispielsweise „Additional informatoin about the reservation.exe“ – wobei „informatoin“ anstelle von „information“ geschrieben wurde – und „TripAdvisor Complaint - Possible Suspension.exe ransomware“. Auch diese zusätzlichen Dateinamen wiesen doppelte Dateiendungen auf, wie beispielsweise „jpg.exe“ und „pdf.exe“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Obwohl zusätzliche Sicherheitsmaßnahmen umgesetzt wurden, gelang es den Angreifern dennoch irgendwie, mit EV-Zertifikaten signierten Malware-Code zur Datenerfassung zu verbreiten.“
„Es ist bislang nicht bekannt, wie es dem Angreifer gelungen ist, an den für die Durchführung dieser Aktion erforderlichen privaten Schlüssel zu gelangen.“ Dies ist ein Thema, über das CTI in Zukunft mehr erfahren möchte. Von größerem Interesse ist die Verlagerung, die sie im Rahmen dieser Kampagne vollzogen haben: von der reinen Verbreitung von Malware hin zur anschließenden Auslieferung von Ransomware-Nutzlasten.“
„Angesichts der Beliebtheit von Ransomware im vergangenen Jahr (wenn nicht sogar schon länger) kommt es immer häufiger vor, dass Angreifer auf den Ransomware-Zug aufspringen.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
