In dieser Woche untersucht CTI die neueste Aktivität der nordkoreanischen Lazarus Group, die wiederholt die Kompromittierung eines unbenannten Softwareanbieters und die Bereitstellung mehrerer Malware-Familien umfasst. Next CTI beleuchtet Prolific Puma, einen DNS-Bedrohungsakteur, der seit mehreren Jahren im Schatten arbeitet. CTI schließt die Sache mit einem Blick auf einen nordkoreanischen Bedrohungsakteur ab, der sich mit der Lazarus Group überschneidet und jetzt auf Blockchain-Ingenieure auf einer Kryptoaustauschplattform mit einer neuen macOS-Malware abzielt.
1. Lazarus Group zielt auf einen Softwareanbieter ab
Die nordkoreanische Lazarus Group (eröffnet in einer neuen Registerkarte) wurde wiederholt beobachtet, dass sie einen nicht benannten Softwareanbieter kompromittiert hat. Die Gruppe konnte Schwachstellen trotz der Verfügbarkeit mehrerer Patches und Warnungen ausnutzen. Die Angreifer verwendeten mehrere Umgehungstechniken und setzten mehrere Malware-Familien ein.
Überblick über Angriffe
Laut SecureList (öffnet sich in einer neuen Registerkarte) war der Anbieter zuvor mehrmals Opfer der Lazarus Group geworden. Der wiederkehrende Verstoß weist auf einen dauerhaften Bedrohungsakteur hin, der einen potenziellen Lieferkettenangriff im Auge hat.
Die bei dem Angriff verwendete SIGNBT-Malware verwendete eine vielfältige Infektionskette und ausgeklügelte Techniken. Der Bedrohungsakteur nutzte auch LPEClient, um eine Reihe gezielter Angriffe auszuführen.
Über den SIGNBT-Lader
Im hat SecureList eine Reihe von Angriffen auf mehrere Opfer entdeckt Juli 2023, die über eine legitime Sicherheitssoftware zum Verschlüsseln von Webkommunikation über digitale Zertifikate anvisiert wurden.
In einem Fall entdeckte SecureList die SIGNBT-Malware und den Shellcode, die für das Starten einer ausführbaren Windows-Datei direkt im Speicher verantwortlich waren. Der Bedrohungsakteur verwendete verschiedene Taktiken für die Persistenz während des Angriffs und mehrere Methoden zum Laden der endgültigen SIGNBT-Nutzlast. Der Bedrohungsakteur verwendete hauptsächlich DLL-Sideloading, um SIGNBT bereitzustellen.
SIGNBT-Malware: Eine Übersicht
Die meisten SIGNBT-Malware-Instanzen werden vom Malware-Loader gestartet, der im Speicher arbeitet.
Sobald sie ausgeführt wurde, beginnt sie mit der Kommunikation mit dem C2 -Server und sendet nach der Initialisierung ihrer Konfigurationsdaten ein Beacon. Seine Kommunikation verwendet eindeutige Zeichenfolgen, die mit SIGNBT beginnen, daher den Namen der Malware. Die Malware erstellt einen 24-Byte-Wert und generiert zusätzliche 24 Byte an Zufallsdaten, die zusammen XORed sind. Die codierten Werte werden entweder mit drei oder sieben zufällig generierten HTTP-Parameternamen kombiniert, was die Erkennung und Analyse ihrer Kommunikation erschwert. Die Malware enthält einen umfangreichen Satz von Funktionalitäten, die basierend auf Anweisungen von C2 ausgeführt werden können.
Einige der von SIGNBT unterstützten Befehle sind:
- CCBrush: Bewältigt Funktionen wie das Abrufen von Informationen über das System, das Testen der Konnektivität und das Konfigurieren von Einstellungen.
- CCList: Verwaltet Prozesse, einschließlich des Abrufens einer Liste von laufenden Prozessen, des Abtötens von Prozessen, des Ausführens von Dateien und DLL-Manipulationen.
- CCComboBox: Funktioniert mit dem Dateisystem, wie z. B. Abrufen von Festplattenlisten, Ändern von Dateieigenschaften und Erstellen neuer Ordner.
- CCButton: Lädt Dateien herunter und lädt sie hoch, lädt sie in den Speicher und erfasst den Bildschirm.
- CCBitmap: Implementiert häufig verwendete Windows-Befehle und -Dienstprogramme.
LPEClient
Der Akteur wurde beobachtet, der Tools wie LPEClient und Anmeldedaten-Dumping-Dienstprogramme bereitstellt. Die LPEClient-Malware ist nicht neu, nachdem sie in 2020 entdeckt wurde. Er sammelt Informationen über Opfer und lädt zusätzliche Nutzdaten von einem Remote-Server herunter, um im Speicher ausgeführt zu werden.
Laut SecureList hat sich diese Malware seit ihrer Entdeckung erheblich weiterentwickelt. Es nutzt jetzt fortschrittliche Techniken, um seine Tarn- und Umgehungserkennung zu verbessern, wie z. B. Deaktivieren des Benutzermodus-Syscall-Hooking und Wiederherstellen von Speicherabschnitten der Systembibliothek.
LPEClient wurde zuvor bei Lazarus Group-Angriffen verwendet. Diese Malware dient wiederholt als erster Infektionsvektor, um das Profiling von Opfern zu ermöglichen und zusätzliche Nutzlasten bereitzustellen.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Der aktuelle Bericht wiederholt, wie entschlossen und dauerhaft die Lazarus Group sein kann, und greift dasselbe Unternehmen wiederholt an, um einen Lieferkettenangriff zu erleichtern.
Es ist klar, dass die Gruppe sich verpflichtet hat, einer der Top-Bedrohungsakteure zu bleiben. Während ihrer wiederholten Versuche, das gleiche Softwareunternehmen zu gefährden, stützten sie sich stark auf die Ausnutzung von Schwachstellen, die einen Patch veröffentlicht hatten – was die Bedeutung eines zeitnahen Patchings weiter demonstriert.
2. Link-Verkürzungsdienst missbraucht die .US-Top-Level-Domain
Forscher verfolgen aktiv einen DNS-Bedrohungsakteur namens Prolific Puma (öffnet sich in einer neuen Registerkarte), der Domainnamen mithilfe eines registrierten Domaingenerierungsalgorithmus (RDGA) erstellt und sie verwendet, um anderen Bedrohungsakteuren einen Link-Kürzungsdienst für Phishing und andere bösartige Aktivitäten bereitzustellen. Der Link-Verkürzungsdienst missbraucht die Top-Level-Domain (TLD) der USA stark.
Was ist Prolific Puma?
Prolific Puma spielt eine kleine Rolle innerhalb der Cyberkriminal-Lieferkette, indem es anderen Cyberkriminellen ermöglicht, bösartige Aktivitäten durchzuführen. Die Gruppe generiert algorithmisch große Domänenvolumina und verwendet sie, um verkürzte Links zu generieren. Andere Bedrohungsakteure verwenden diese Links, um ihre Aktivität zu verbergen.
Forscher fanden Berichte über die Link-Verkürzungsdienste von Prolific Puma (öffnet sich in einer neuen Registerkarte), die auf zurückgehen Januar 2020. Die gekürzten Links werden hauptsächlich über Textnachrichten an Opfer gesendet. Sie könnten aber auch in anderen Kontexten verwendet werden.
Erkennungs- und Domänennamenmerkmale
Infoblox hat passive DNS-Abfrageprotokolle zusammen mit anderen Datenquellen aggregiert, um eine Reihe von Analysen auf neu abgefragten, registrierten oder konfigurierten Domänen auszuführen. Dies ermöglichte es ihnen, die Domänen zu charakterisieren, einige als verdächtig zu kennzeichnen und einigen einem bestimmten DNS-Bedrohungsakteur zuzuweisen. Anfang des Jahres stellten sie Algorithmen für die RDGA-Erkennung bereit und identifizierten Prolific Puma-Domänen in Gruppen.
Die Verbindung zwischen Prolific Puma-Domains und den wahren endgültigen Zielseiten ist indirekt. Der böswillige Datenverkehr wird auf die Umleitungsdomänen bei geringen Volumina aufgeteilt und führt dazu, dass einige der Domains durch strategisches Altern einen „guten“ Ruf haben.
Prolific Puma hat seit zwischen 35 000 und 75 000 einzigartige Domains registriert April 2022, wobei jeden Tag etwa 43 neue Domains beobachtet werden. Der Schauspieler verwendet NameSilo hauptsächlich als Domainnamen-Registrar und altert die Domains strategisch, bevor er damit beginnt, seinen Dienst bei anonymen Anbietern zu hosten. Der Schauspieler missbraucht ständig die US-LD und registriert bekanntermaßen sowohl neue als auch unterbrochene Domains.
Die Domänen sind alphanumerisch, pseudozufällig und typischerweise zwischen drei und vier Zeichen lang. Die Domains sind auch über 12 TLDs registriert, wobei etwa 55 % bei .US registriert sind.
Missbrauch der .US TLD
Nur US-Bürger und US-verbundene Unternehmen sind berechtigt, US-Domains zu registrieren. Um eine US-Domäne bei NameSilo zu registrieren, müssen Sie über eine E-Mail-Adresse verfügen und eine Kategorie auswählen, die Ihre Beziehung zu den USA angibt. Prolific Puma wurde bei der Auswahl der Kategorie „US-Bürger“ beobachtet.
Der Registrant muss auch einen Namen, eine Adresse und eine Telefonnummer angeben, von denen keine während des Prozesses verifiziert zu sein scheint. Dies ist ein anhaltendes Problem für viele TLDs, da es für einen Registrar schwierig ist, Domänen zu regulieren.
Wie Prolific Puma strategische Alterung nutzt
DNS-Bedrohungsakteure ähneln Malware-Bedrohungsakteure, lassen aber nur sehr wenige Informationen in DNS- und Domainregistrierungsaufzeichnungen arbeiten. Prolific Puma bevorzugt die private Domainregistrierung, verlässt sich aber immer noch stark auf uns TLD-Registrierungen, die öffentlich sein müssen.
Der Schauspieler lässt die Domain nach der Registrierung mehrere Wochen lang ungenutzt oder geparkt, eine Technik, die als strategische Alterung bekannt ist. Dies geschieht mit Absicht, da viele Phishing-Angriffe an neu registrierte Domains gebunden sind und einige Unternehmen den Zugriff auf neu registrierte Domains als Reaktion darauf blockieren werden. Während dieses Alterungsprozesses nimmt der Bedrohungsakteur einige DNS-Abfragen vor, um einen guten Ruf für die Domain zu erlangen.
Es scheint, dass Prolific Puma einen Dienst für andere Bedrohungsakteure bereitstellt und die letzten Zielseiten nicht unter ihrer Kontrolle sind – obwohl dies möglich ist. Es bleibt auch unklar, wie Prolific Puma seine Dienste bewirbt und wie seine Benutzer die verkürzte URL erhalten.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Forscher verbringen oft viel Zeit damit, sich den Start- und Endpunkt einer bösartigen Kampagne, d. h. die Landingpage, anzusehen. Was wir bei Prolific Puma sehen, ist die mittlere Schicht der breiteren Cyberkriminal-Lieferkette und wie diese DNS-Bedrohungsakteure andere Cyberkriminelle in ihren Bemühungen weiter ermöglichen können. Das macht Prolific Puma und seinen Linkverkürzungsdienst so interessant.
3. Hacker zielen mit KANDYKORN-Malware auf Kryptoexperten ab
Nordkoreanische Bedrohungsakteure richten sich jetzt an Blockchain-Ingenieure auf einer Kryptoaustauschplattform mit einer neuen macOS-Malware (öffnet sich in einer neuen Registerkarte) namens KANDYKORN.
Die Aktivität, die sich auf erstreckt April 2023, umfasst eine Kombination aus benutzerdefinierten und Open-Source-Funktionen und überschneidet sich mit der Lazarus Group.
Der Ausführungsablauf
In diesem Beispiel begannen die Bedrohungsakteure damit, sich als Mitglieder der Blockchain Engineering Community auf einem öffentlichen Discord-Server auszugeben. Der Schauspieler nutzte dann Social Engineering, um die Opfer davon zu überzeugen, ein ZIP-Archiv von bösartigem Code herunterzuladen und zu dekomprimieren, was das Opfer zu der Annahme führte, dass sie einen Arbitrage-Bot oder ein Softwaretool installieren, das verwendet wird, um von Kryptowährungsratenunterschieden zwischen Plattformen zu profitieren.
Die Angriffskette führt letztendlich zur Verteilung von KANDYKORN-Malware.
- Stufe-1-Dropper: testSpeed.py und FinderTools sind zwei Dropper, die in der ersten Stufe des Angriffs verwendet werden.
testSpeed.py stellt eine ausgehende Verbindung her und ruft eine zusätzliche Python-Datei von einer Google Drive-URL (FinderTools) ab. testSpeed.py speichert und startet diese neue Datei dann.
FinderTools ist noch ein weiterer Dropper und lädt eine versteckte Nutzlast der zweiten Stufe (.sld) herunter und führt sie aus.
- Stufe 2 Nutzlast: Diese Stufe umfasst die Ausführung einer verschleierten Binärdatei mit dem Namen SUGARLOADER. Diese Binärdatei wird zweimal unter zwei separaten Namen verwendet, einschließlich .sld und .log. Es wird für den ersten Zugriff auf die Maschine und erneut für die Initialisierung der Umgebung für die letzte Phase verwendet. Der Hauptzweck besteht darin, eine Verbindung zu einem C2 -Server herzustellen, um die letzte Phase der Nutzdaten herunterzuladen und auszuführen, KANDYKORN.
SUGARLOADER stellt sicher, dass die Konfigurationsdatei vorhanden ist, in den Speicher eingelesen und entschlüsselt wird, bevor eine Verbindung zum Remoteserver hergestellt wird. Der letzte Schritt besteht darin, die letzte Phase der Nutzlast vom C2 -Server herunterzuladen und auszuführen. Dieser Akteur nutzt eine Technik, die als reflektierende binäre Belastung bekannt ist, die verwendet werden kann, um eine Nutzlast von einem In-Memory-Puffer auszuführen. SUGARLOADER lädt die KANDYKORN-Binärdatei reflektierend.
- Stufe 3 Loader Discord: Während dieser Phase des Angriffs versucht eine Nutzlast namens HLOADER, als legitime Discord-Anwendung zu maskieren. Sie wurde mithilfe einer macOS-Binärcodesignierungstechnik identifiziert, die zuvor mit dem 3CX -Intrusion der Lazarus Group verknüpft war.
Für die Persistenz nutzt der Akteur die Ausführungsfluss-Hijacking. Der Hauptzweck des Laders ist die Ausführung des legitimen Discord-Pakets zusammen mit der .log-Nutzlast von früher, die verwendet wird, um binäre Mach-O-Dateien aus dem Speicher auszuführen.
- Stufe 4 KANDYKORN: KANDYKORN ist die letzte Stufe der Ausführungskette und ist mit einem voll ausgestatteten Satz von Funktionen zum Zugriff auf und Exfiltratieren von Daten ausgestattet.
Seine Prozesse werden gegabelt und im Hintergrund als Daemons ausgeführt, bevor sie ihre Konfigurationsdatei laden. Nachdem die Kommunikation hergestellt wurde, wartet KANDYKORN auf Befehle vom C2 -Server, anstatt nach Befehlen abzufragen. Zu den verfügbaren Befehlen gehören das Sammeln von Informationen, das Übertragen von Dateien, das Archivieren eines Verzeichnisses und das Exfiltrat, das Überschreiben und Löschen von Dateien, das Löschen von Prozessen, das Erstellen einer Shell, das Herunterladen einer neuen Konfigurationsdatei und vieles mehr. Eine vollständige Liste der akzeptierten Befehle finden Sie im Bericht von Elastic.
Analystenkommentare des Tanium Cyber Threat Intelligence-Teams
Dies ist nicht das erste Mal, dass eine Gruppe, die mit Lazarus verbunden ist, macOS-Malware genutzt hat. Es weist jedoch darauf hin, dass der Bedrohungsakteur möglicherweise damit beginnt, macOS-Malware zu betonen. Während dieser Angriff speziell auf die Kryptobranche abzielt, sind viele der anderen TTPs nicht einzigartig und können daher in Zukunft wieder auftreten.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium und beginnen Sie ein Gespräch.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
