In der Zusammenfassung dieser Woche untersucht CTI die jüngsten Aktivitäten der nordkoreanischen Lazarus-Gruppe „ “, darunter wiederholte Angriffe auf einen nicht namentlich genannten Softwareanbieter sowie den Einsatz mehrerer Malware-Familien. Im nächsten CTI-Bericht wird „Prolific Puma“ beleuchtet, ein DNS-Angreifer, der seit mehreren Jahren im Verborgenen agiert. CTI rundet den Bericht mit einem Blick auf einen nordkoreanischen Angreifer ab, der Verbindungen zur Lazarus-Gruppe aufweist und nun mit einer neuen MacOS-Malware Blockchain-Entwickler einer Krypto-Handelsplattform ins Visier nimmt.
1. Die Lazarus-Gruppe nimmt einen Softwareanbieter ins Visier
Die nordkoreanische „ “-Gruppe „Lazarus“ (wird in einem neuen Tab geöffnet) wurde wiederholt dabei beobachtet, wie sie einen nicht namentlich genannten Softwareanbieter kompromittierte. Der Gruppe gelang es, Sicherheitslücken auszunutzen, obwohl bereits mehrere Patches und Warnungen vorlagen. Die Angreifer setzten verschiedene Umgehungstechniken ein und nutzten mehrere Malware-Familien.
Übersicht über den Angriff
Laut SecureList (wird in einem neuen Tab geöffnet) war der Anbieter zuvor bereits mehrfach Opfer der Lazarus-Gruppe geworden. Der wiederholte Sicherheitsverstoß deutet auf einen hartnäckigen Angreifer hin, der möglicherweise einen Angriff auf die Lieferkette plant.
Die bei dem Angriff eingesetzte SIGNBT-Malware nutzte eine vielfältige Infektionskette und ausgefeilte Techniken. Der Angreifer nutzte zudem LPEClient, um eine Reihe gezielter Angriffe durchzuführen.
Über den SIGNBT-Loader
In dem Artikel „ Juli 2023“ stellte SecureList eine Reihe von Angriffen auf mehrere Opfer fest, die über legitime Sicherheitssoftware ins Visier genommen wurden, die zur Verschlüsselung der Webkommunikation mittels digitaler Zertifikate entwickelt wurde.
In einem Fall entdeckte SecureList die Malware „SIGNBT“ sowie den dazugehörigen Shellcode, der dafür verantwortlich war, eine ausführbare Windows-Datei direkt im Arbeitsspeicher zu starten. Der Angreifer setzte während des Angriffs verschiedene Taktiken zur Aufrechterhaltung der Persistenz sowie mehrere Methoden zum Laden der endgültigen SIGNBT-Nutzlast ein. Der Angreifer nutzte in erster Linie das Sideloading von DLL-Dateien, um SIGNBT zu verbreiten.
SIGNBT-Malware: Ein Überblick
Die meisten SIGNBT-Malware-Instanzen werden über den Malware-Loader gestartet, der im Arbeitsspeicher ausgeführt wird.
Sobald das Programm ausgeführt wird, nimmt es die Kommunikation mit dem C2 -Server auf und sendet nach der Initialisierung seiner Konfigurationsdaten ein Beacon. Bei der Kommunikation verwendet sie charakteristische Zeichenfolgen, die mit „SIGNBT“ beginnen – daher der Name der Malware. Die Malware erzeugt einen 24-Byte-Wert und generiert zusätzlich 24 Byte zufälliger Daten, die miteinander XOR-verknüpft werden. Die verschlüsselten Werte werden mit entweder drei oder sieben zufällig generierten HTTP-Parameternamen kombiniert, wodurch es schwieriger wird, die Kommunikation zu erkennen und zu analysieren. Die Malware verfügt über einen umfangreichen Funktionsumfang, der auf der Grundlage von Anweisungen aus dem Dokument „ C2“ ausgeführt werden kann.
Zu den von SIGNBT unterstützten Befehlen gehören unter anderem:
- CCBrush: Bietet Funktionen wie das Abrufen von Systeminformationen, das Testen der Verbindung und das Konfigurieren von Einstellungen.
- CCList: Verwaltet Prozesse, einschließlich des Abrufens einer Liste laufender Prozesse, des Beendens von Prozessen, des Ausführens von Dateien und der Bearbeitung von DLLs.
- CCComboBox: Arbeitet mit dem Dateisystem, beispielsweise zum Abrufen von Laufwerkslisten, zum Ändern von Dateieigenschaften und zum Erstellen neuer Ordner.
- CCButton: Lädt Dateien herunter und hoch, speichert sie im Arbeitsspeicher und nimmt den Bildschirm auf.
- CCBitmap: Stellt häufig verwendete Windows-Befehle und -Dienstprogramme bereit.
LPEClient
Es wurde beobachtet, dass der Akteur Tools wie LPEClient und Dienstprogramme zum Auslesen von Anmeldedaten verbreitet hat. Die Malware „LPEClient“ ist nicht neu, da sie bereits im Jahr 2020 entdeckt wurde. Es sammelt Informationen über die Opfer und lädt zusätzliche Payloads von einem Remote-Server herunter, um diese im Arbeitsspeicher auszuführen.
Laut SecureList hat diese Malware seit ihrer Entdeckung eine erhebliche Weiterentwicklung durchlaufen. Es nutzt nun fortschrittliche Techniken, um seine Tarnung zu verbessern und einer Entdeckung zu entgehen, wie beispielsweise das Deaktivieren des Hookings von Syscalls im Benutzermodus und das Wiederherstellen von Speicherbereichen der Systembibliotheken.
LPEClient wurde bereits bei Angriffen der Lazarus-Gruppe eingesetzt. Diese Malware dient wiederholt als erster Infektionsvektor, um die Erstellung von Opferprofilen zu ermöglichen und zusätzliche Schadcodes zu übertragen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser jüngste Bericht verdeutlicht erneut, wie entschlossen und beharrlich die Lazarus-Gruppe vorgehen kann, indem sie dasselbe Unternehmen wiederholt angreift, um einen Angriff auf die Lieferkette zu ermöglichen.
Es ist offensichtlich, dass die Gruppe entschlossen ist, weiterhin zu den führenden Cyberkriminellen zu gehören. Bei ihren wiederholten Versuchen, dasselbe Softwareunternehmen anzugreifen, stützten sie sich in hohem Maße auf die Ausnutzung von Sicherheitslücken, für die bereits ein Patch veröffentlicht worden war – was einmal mehr die Bedeutung einer zeitnahen Installation von Patches unterstreicht.
2. Link-Kürzungsdienst missbraucht die Top-Level-Domain „.US“
Forscher verfolgen derzeit aktiv einen DNS-Angreifer namens „ “ (Prolific Puma) (öffnet in einem neuen Tab), der mithilfe eines RDGA-Algorithmus (Registered Domain Generation Algorithm) Domainnamen generiert und diese nutzt, um anderen Angreifern einen Link-Verkürzungsdienst für Phishing-Angriffe sowie andere böswillige Aktivitäten bereitzustellen. Der Link-Verkürzungsdienst nutzt die Top-Level-Domain (TLD) „.US“ in erheblichem Maße missbräuchlich.
Was ist „Prolific Puma“?
„Prolific Puma“ spielt eine untergeordnete Rolle innerhalb der Lieferkette der Cyberkriminalität, indem es anderen Cyberkriminellen die Durchführung böswilliger Aktivitäten ermöglicht. Die Gruppe generiert algorithmisch eine große Anzahl von Domains und nutzt diese zur Erstellung von Kurzlinks. Andere Angreifer nutzen diese Links, um ihre Aktivitäten zu verschleiern.
Forscher fanden Berichte über die Linkverkürzungsdienste von „ “ und „Prolific Puma“ – (wird in einem neuen Tab geöffnet),sowie –, die bis ins Jahr Januar 2020 zurückreichen. Die verkürzten Links werden den Opfern in erster Linie per SMS zugesandt. Sie könnten jedoch auch in anderen Zusammenhängen verwendet werden.
Erkennung und Merkmale von Domainnamen
Infoblox hat aggregierte Protokolle passiver DNS-Abfragen zusammen mit anderen Datenquellen herangezogen, um eine Reihe von Analysen zu neu abgefragten, registrierten oder konfigurierten Domänen durchzuführen. Auf diese Weise konnten sie die Domains charakterisieren, wobei sie einige als verdächtig kennzeichneten und andere einem bestimmten DNS-Angreifer zuordneten. Anfang dieses Jahres setzten sie Algorithmen zur RDGA-Erkennung ein, mit denen sie Prolific-Puma-Domänen in Gruppen identifizierten.
Die Verbindung zwischen den „Prolific Puma“-Domains und den eigentlichen Zielseiten ist indirekt. Der bösartige Datenverkehr verteilt sich in geringen Mengen auf die Weiterleitungsdomains, was dazu führt, dass einige dieser Domains durch strategische Alterung einen „guten“ Ruf genießen.
Der sehr aktive Puma hat seit dem April 2022 zwischen 35 000 und 75 000 einzigartige Domains registriert, wobei täglich etwa 43 neue Domains verzeichnet werden. Der Schauspieler nutzt in erster Linie NameSilo als seinen Domain-Registrar und lässt die Domains strategisch eine gewisse Zeit lang „reifen“, bevor er beginnt, seinen Dienst bei anonymen Anbietern zu hosten. Der Schauspieler missbraucht die TLD „.US“ ständig und ist dafür bekannt, sowohl neue als auch freigewordene Domains zu registrieren.
Die Domains bestehen aus alphanumerischen Zeichen, sind pseudozufällig generiert und in der Regel drei bis vier Zeichen lang. Die Domains sind zudem unter 12 TLDs registriert, wobei etwa 55 % unter der Endung .US registriert sind.
Missbrauch der TLD „.US“
Nur US-Bürger und in den USA ansässige Unternehmen sind berechtigt, .US-Domains zu registrieren. Um eine .US-Domain bei NameSilo zu registrieren, benötigen Sie eine E-Mail-Adresse und müssen eine Kategorie auswählen, die Ihre Verbindung zu den USA verdeutlicht. Es wurde beobachtet, dass der sehr aktive Nutzer „Puma“ die Kategorie „US-Bürger“ ausgewählt hat.
Der Registrant muss außerdem einen Namen, eine Adresse und eine Telefonnummer angeben – wobei offenbar keine dieser Angaben im Rahmen des Verfahrens überprüft wird. Dies ist für viele TLDs ein anhaltendes Problem, da es für einen Registrar schwierig ist, Domains zu regulieren.
Wie das Unternehmen Prolific Puma strategisches Altern nutzt
Angreifer im DNS-Bereich ähneln Malware-Angreifern, hinterlassen jedoch in den DNS- und Domain-Registrierungsdatensätzen nur sehr wenige Informationen, auf deren Grundlage man weiterarbeiten könnte. Prolific Puma bevorzugt die Registrierung von Domains unter eigener Verwaltung, ist jedoch nach wie vor in hohem Maße auf Registrierungen unter unseren TLDs angewiesen, die öffentlich sein müssen.
Der Akteur wird die Domain nach der Registrierung mehrere Wochen lang ungenutzt lassen oder parken – eine Vorgehensweise, die als „strategisches Altern“ bezeichnet wird. Dies geschieht bewusst, da viele Phishing-Angriffe mit neu registrierten Domains in Verbindung stehen und einige Unternehmen als Reaktion darauf den Zugriff auf neu registrierte Domains sperren. Während dieses Reifungsprozesses führt der Angreifer einige DNS-Abfragen durch, um der Domain eine gute Reputation zu verschaffen.
Es scheint, dass „Prolific Puma“ einen Dienst für andere Angreifer erbringt und die endgültigen Zielseiten nicht unter ihrer Kontrolle stehen – obwohl dies durchaus möglich wäre. Es bleibt zudem unklar, wie Prolific Puma für seine Dienste wirbt und auf welche Weise die Nutzer die verkürzte URL erhalten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Forscher verbringen oft viel Zeit damit, den Start- und Endpunkt einer böswilligen Kampagne, d. h. die Landingpage, zu untersuchen. Was wir bei „Prolific Puma“ beobachten, ist die mittlere Ebene der übergeordneten Lieferkette der Cyberkriminalität und die Art und Weise, wie diese DNS-Angreifer andere Cyberkriminelle bei deren Machenschaften unterstützen können. Genau das macht Prolific Puma und seinen Linkverkürzungsdienst so interessant.
3. Hacker nehmen Krypto-Experten mit der Malware „KANDYKORN“ ins Visier
Nordkoreanische Angreifer nehmen nun Blockchain-Ingenieure einer Krypto-Handelsplattform mit einer neuen macOS-Malware namens KANDYKORN ins Visier. (öffnet in einem neuen Tab)
Diese Tätigkeit, deren Ursprünge bis ins Jahr April 2023 zurückreichen, umfasst eine Kombination aus maßgeschneiderten und Open-Source-Lösungen und überschneidet sich mit den Aktivitäten der Lazarus-Gruppe.
Der Ausführungsablauf
In diesem Beispiel gaben sich die Angreifer zunächst auf einem öffentlichen Discord-Server als Mitglieder der Blockchain-Entwickler-Community aus. Der Schauspieler nutzte anschließend Social-Engineering-Techniken, um die Opfer davon zu überzeugen, ein ZIP-Archiv mit Schadcode herunterzuladen und zu entpacken – wobei er den Opfern vorgaukelte, sie würden einen Arbitrage-Bot installieren, also ein Software-Tool, mit dem sich Kursunterschiede bei Kryptowährungen zwischen verschiedenen Plattformen gewinnbringend ausnutzen lassen.
Die Angriffskette führt letztendlich zur Verbreitung der KANDYKORN-Malware.
- Dropper der ersten Stufe: testSpeed.py und FinderTools sind zwei Dropper, die in der ersten Phase des Angriffs zum Einsatz kommen.
„testSpeed.py“ baut eine ausgehende Verbindung auf und ruft eine weitere Python-Datei über eine Google Drive-URL (FinderTools) ab. Anschließend speichert „testSpeed.py“ diese neue Datei und führt sie aus.
FinderTools ist ein weiterer Dropper, der eine versteckte Payload der zweiten Stufe (.sld) herunterlädt und ausführt.
- Nutzlast der Stufe 2 : In dieser Stufe wird eine verschleierte Binärdatei namens SUGARLOADER ausgeführt. Diese Binärdatei wird zweimal unter zwei unterschiedlichen Namen verwendet, darunter .sld und .log. Es wird für den ersten Zugriff auf den Rechner sowie erneut zur Initialisierung der Umgebung für die letzte Phase verwendet. Sein Hauptzweck besteht darin, eine Verbindung zu einem C2 -Server herzustellen, um die Payload der letzten Stufe, KANDYKORN, herunterzuladen und auszuführen.
SUGARLOADER stellt sicher, dass die Konfigurationsdatei vorhanden ist, in den Arbeitsspeicher geladen und entschlüsselt wird, bevor eine Verbindung zum Remote-Server hergestellt wird. Der letzte Schritt besteht darin, die Payload der letzten Stufe vom C2 -Server herunterzuladen und auszuführen. Dieser Akteur nutzt eine als „reflective binary loading“ bezeichnete Technik aus, mit der sich eine Payload aus einem Puffer im Arbeitsspeicher ausführen lässt. SUGARLOADER lädt die KANDYKORN-Binärdatei reflexiv.
- Stage 3 Loader Discord: In dieser Phase des Angriffs versucht eine als „HLOADER“ bezeichnete Schadsoftware, sich als legitime Discord-Anwendung auszugeben. Es wurde mithilfe einer Technik zur Signierung von Binärdateien unter macOS identifiziert, die zuvor mit dem Angriff „ 3CX “ der Lazarus-Gruppe in Verbindung gebracht worden war.
Um seine Persistenz zu gewährleisten, nutzt der Akteur die Übernahme des Ausführungsablaufs. Der Hauptzweck des Loaders besteht darin, das legitime Discord-Bundle zusammen mit der zuvor erwähnten .log-Nutzlast auszuführen, die dazu dient, Mach-O-Binärdateien aus dem Arbeitsspeicher auszuführen.
- Stufe 4 KANDYKORN: KANDYKORN ist die letzte Stufe der Ausführungskette und verfügt über einen umfassenden Funktionsumfang für den Zugriff auf Daten sowie deren Exfiltration.
Die Prozesse werden abgespalten und laufen im Hintergrund als Daemons, bevor ihre Konfigurationsdatei geladen wird. Nach dem Aufbau der Verbindung wartet KANDYKORN auf Befehle vom C2 -Server, anstatt diese aktiv abzufragen. Zu den verfügbaren Befehlen gehören unter anderem das Sammeln von Informationen, das Übertragen von Dateien, das Archivieren eines Verzeichnisses sowie das Exfiltrieren, Überschreiben und Löschen von Dateien, das Beenden von Prozessen, das Starten einer Shell, das Herunterladen einer neuen Konfigurationsdatei und vieles mehr. Eine vollständige Liste der unterstützten Befehle finden Sie im Bericht von Elastic.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist nicht das erste Mal, dass eine mit Lazarus in Verbindung stehende Gruppe MacOS-Malware eingesetzt hat. Dies deutet jedoch darauf hin, dass der Angreifer möglicherweise beginnt, den Schwerpunkt auf MacOS-Malware zu legen. Auch wenn dieser Angriff offenbar speziell auf die Krypto-Branche abzielt, sind viele der anderen TTPs nicht einzigartig und könnten daher in Zukunft erneut auftreten.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyberbedrohungen im Rahmen der „ “.
