CTI Roundup: Hacker greifen macOS-Systeme mit Cobalt Strike an

In dieser Woche befassen wir uns mit einem Bericht von Sentinel One, aus dem hervorgeht, dass die Zahl der an die Malware-Scan-Plattform VirusTotal übermittelten Geacon-Payloads in letzter Zeit zugenommen hat. Als Nächstes folgt ein Überblick über einen Bericht von Proofpoint zu der im vergangenen Jahr getroffenen Entscheidung von Microsoft, Makros in Dokumenten aus dem Internet standardmäßig zu deaktivieren, sowie zu den Auswirkungen dieser Maßnahme auf die Cyberbedrohungslage. Abschließend befasst sich CTI mit einem neuen Bericht von Check Point darüber, wie Cyberkriminelle den Microsoft VSCode Marketplace ins Visier nehmen. Berichten zufolge wurden drei schädliche Visual Studio-Erweiterungen in den Marketplace hochgeladen, die zum Zeitpunkt der Veröffentlichung bereits 46 600 Mal von Windows-Entwicklern heruntergeladen worden waren.

1. Hacker nutzen eine Golang-Variante von Cobalt Strike, um macOS-Systeme anzugreifen

SentinelOne hat in den letzten Monaten einen Anstieg der Anzahl von Payloads der Art „ “, „Geacon“, „ “ (öffnet sich in einem neuen Tab), „“ und „ “ festgestellt, die auf VirusTotal aufgetaucht sind.

Unternehmen setzen für Red-Team-Einsätze häufig Geacon – eine Golang-Implementierung von Cobalt Strike – zusammen mit Cobalt Strike ein. Wie sich herausstellt, setzen Angreifer bei ihren Angriffen ebenfalls Geacon ein.

Hier finden Sie einige Hintergrundinformationen zu Geacon:

• Geacon tauchte erstmals vor einigen Jahren auf GitHub als Go-Variante von Cobalt Strike Beacon auf. Obwohl diese Software bereits seit einiger Zeit existiert, hatte SentinelOne bis vor kurzem noch keine Einsätze auf macOS-Zielen festgestellt.
• SentinelOne hat die Geacon-Payloads auf VirusTotal analysiert und dabei festgestellt, dass die Beliebtheit zweier Geacon-Forks, die von einem anonymen chinesischen Entwickler erstellt wurden, offenbar zunimmt.
• Der Entwickler hinter Geacon nutzt den Benutzernamen „ z3ratu1 “ und erklärte EndeOktober 2022 : „Eines Tages war ich einfach einkaufen und stieß auf dieses Projekt namens Geacon – und so entstanden dieses Spielzeugprojekt und die dazugehörige Entwicklungsanleitung.“ Die erste Geacon-Nutzlast wurde kurz nach dem Beitrag des Entwicklers bei VirusTotal eingereicht.
• Von April 2023, dem öffentlichen geacon_plus und dem privaten (und möglicherweise zum Verkauf stehenden?) Die Projekte „geacon_pro“ (die beide von derselben Person entwickelt wurden) hatten fast 1 000 Sterne erhalten. Die Projekte wurden zudem in das „ 404 Starlink“-Projekt aufgenommen, bei dem es sich um ein öffentliches Repository für Open-Source-Tools für Red-Team- und Penetrationstests handelt. Im selben Zeitraum wurden zwei verschiedene Geacon-Nutzlasten bei VirusTotal eingereicht, was die Untersuchung durch SentinelOne auslöste.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Zwar ist es wahrscheinlich, dass einige der von SentinelOne festgestellten Aktivitäten im Rahmen legitimer Red-Team- oder Penetrationstests stattfinden, doch ist es ebenso wahrscheinlich, dass auch böswillige Akteure dieses Tool im Rahmen böswilliger Angriffe einsetzen.“

„Wir haben gesehen, wie beliebt Cobalt Strike bei Cyberangreifern ist, und der beobachtete Anstieg der auf VirusTotal hochgeladenen Geacon-Beispiele lässt zweifellos die Frage aufkommen, ob Geacon das nächste bevorzugte Werkzeug der Angreifer werden wird.“

2. Cyberkriminelle passen sich an die Makro-Blockierungsfunktion von Microsoft an

Proofpoint berichtet, dass die Entscheidung von Microsoft Februar 2022 , Makros in Dokumenten aus dem Internet standardmäßig zu deaktivieren (öffnet in einem neuen Tab) , Cyberkriminelle dazu gezwungen hat, völlig andere Angriffsketten zu entwickeln.

Microsoft kündigte an, dass es für Office-Nutzer in den Versionen „ Oktober 2021 “ und „Februar 2022 “ standardmäßig die Makros vom Typ XL4 und VBA-Makros blockieren werde. Die Änderungen wurden ab Version 2022 schrittweise eingeführt.

Der einleitende Absatz des Berichts von Proofpoint verdeutlicht sehr gut, wie weitreichend die Entscheidung von Microsoft war, Makros standardmäßig zu blockieren:

„Das Ökosystem der Cyberkriminalität hat im vergangenen Jahr einen tiefgreifenden Wandel hinsichtlich der Aktivitäten und des Bedrohungsverhaltens erfahren, wie ihn Bedrohungsforscher bislang noch nicht beobachtet haben.“ „Finanziell motivierte Angreifer, die sich über E-Mail einen ersten Zugriff verschaffen, nutzen nicht mehr statische, vorhersehbare Angriffsketten, sondern dynamische, sich rasch verändernde Techniken.“

Der Schritt des Software-Riesen zwang praktisch jeden Akteur in der Kette der Cyberkriminellen – von Kleinkriminellen, die mit Standardmethoden arbeiten, bis hin zu den erfahrensten Cyberkriminellen – dazu, ihre Vorgehensweise drastisch zu ändern.

Wichtigste Ergebnisse des Berichts

Dank des Einblicks von Proofpoint in seine Telemetriedaten und seiner Fähigkeit, täglich Milliarden von Nachrichten zu analysieren, ist der Anbieter in der einzigartigen Lage, wichtige Erkenntnisse über die Cyberbedrohungslandschaft zu gewinnen.

Zu diesen Ergebnissen zählen unter anderem:

• Die wichtigsten Akteure im Bereich der Cyberkriminalität greifen mittlerweile auf ein immer vielfältigeres Spektrum an Taktiken, Techniken und Vorgehensweisen zurück.
• Initial-Access-Broker und andere Angreifer orientieren sich bei der Anwendung verschiedener Techniken häufig am „Vorreiter“.
• Sicherheitsverantwortliche müssen auf die sich ständig verändernde Bedrohungslage in einer Weise rasch reagieren, die von Forschern bislang noch nicht beobachtet wurde.
• Einige bedeutende Akteure der Cyberkriminalität verfügen über die notwendigen Ressourcen, um neue, komplexe Angriffsketten zu erforschen und zu entwickeln.

Die Schicht beginnt

Vor der Version 2022 waren „ “-Makros das Mittel der Wahl für Cyberkriminelle, die Lockdokumente mit bösartigen Skripten ausstatten wollten, um den Download von Malware-Payloads für den Erstzugriff auf Zielsysteme im Rahmen von E-Mail-Phishing-Kampagnen zu erleichtern.

Von Proofpoint:

VBA-Makros werden von Angreifern genutzt, um schädliche Inhalte automatisch auszuführen, wenn ein Benutzer Makros in Office-Anwendungen aktiv aktiviert hat. XL4 Makros sind spezifisch für die Excel-Anwendung, können jedoch ebenfalls von Angreifern für böswillige Zwecke missbraucht werden. In der Regel greifen Angreifer, die Dokumente mit aktivierten Makros verbreiten, auf Social Engineering zurück, um den Empfänger davon zu überzeugen, dass der Inhalt wichtig ist und die Aktivierung der Makros für die Anzeige erforderlich ist.

Seit Microsoft die Richtlinie zur Blockierung von Makros eingeführt hat, haben die Berichte von Proofpoint immer wieder die verschiedenen neuen Methoden aufgezeigt, mit denen Angreifer begonnen haben, vom Einsatz von Makros abzuweichen.

Zu diesen Techniken gehörten:

• Die Nutzung von Archivdateien, wie beispielsweise ISO-Anhänge, zur Verbreitung von Schadsoftware. Diese Technik wurde von Cyberkriminellen genutzt, um die Überprüfung der „Mark-of-the-Web“-Attribute (MOTW) durch Microsoft zu umgehen, mit der der Software-Riese Makros in aus dem Internet heruntergeladenen Dokumenten blockierte.
• Auch die Verwendung von Verknüpfungs- oder LNK-Dateien wurde – zumindest anfangs – von einer Vielzahl von Cyberkriminellen als Methode bevorzugt. Diese Taktik war insbesondere bei verschiedenen Akteuren beliebt, die als IABs eingestuft wurden. Von Proofpoint:

„Proofpoint stellte fest, dass LNK-Anhänge von mindestens acht großen Akteuren im Bereich der Cyberkriminalität verwendet wurden, die als IABs gelten. Der Einsatz dieser Anhänge erreichte im Juni und im September 2022 seinen Höhepunkt, bevor die Akteure begannen, auf neue TTPs umzusteigen.“

• Auch XLL-Dateien – eine Art von DLL-Datei (Dynamic Link Library) für Excel, die dazu dient, den Funktionsumfang der Anwendung zu erweitern – fanden zunehmend Verwendung bei großen Akteuren im Bereich der Cyberkriminalität. Schließlich stellte Proofpoint fest, dass „mindestens sechs große Akteure im Bereich der Cyberkriminalität mit XLL-Dateien zur Verbreitung von Malware experimentierten und dass es mehrere nicht zuordenbare Bedrohungscluster gab; XLL-Dateien werden jedoch deutlich seltener verwendet als andere Dateitypen, und es ist in der gesamten Bedrohungslandschaft kein nennenswerter Anstieg ihrer Nutzung zu verzeichnen.“
• Auch der HTML-Schmuggel hat in den von Proofpoint beobachteten Kampagnendaten seit 2022 deutlich zugenommen. Wie der Name bereits andeutet, besteht diese Strategie darin, ein verschlüsseltes Skript in einem scheinbar harmlosen HTML-Anhang zu „verstecken“. Beim Öffnen entschlüsselt der Webbrowser des Benutzers das schädliche Skript, das dazu dient, die Malware-Nutzlast auf dem Computer des Opfers zusammenzustellen.
• Die Verwendung von PDF-Dateien durch verschiedene Angreifer ist eine gängige Vorgehensweise, seit Proofpoint erstmals damit begonnen hat, Angreifer zu verfolgen. Nach der Einführung der Richtlinie zur Blockierung von Makros durch Microsoft stellten die Forscher von Proofpoint fest, dass PDF-Anhänge zunehmend von mehreren beobachteten Bedrohungsakteuren und bekannten IABs verwendet wurden.

Der Aufstieg der IABs

Eine der wohl bedeutendsten Veränderungen der letzten Jahre – die zweifellos durch die Politik von Microsoft beeinflusst wurde – ist die zunehmende Abhängigkeit großer Cyberkrimineller, Ransomware-Banden und anderer Malware-Operationen von sogenannten „Initial Access Brokers“ (IABs).

Es ist üblich, dass Angreifer sich Zugang von unabhängigen Gruppen von Cyberkriminellen erkaufen, die sich auf das Eindringen in hochkarätige Ziele spezialisiert haben und wertvollen Zugang an Ransomware- oder andere Erpresser weiterverkaufen, um damit Gewinn zu erzielen.

Von Proofpoint:

In der Regel handelt es sich bei IABs um opportunistische Angreifer, die Partnern und anderen Akteuren der Cyberkriminalität nachträglich Zugriff gewähren, beispielsweise indem sie diesen in Foren zum Verkauf anbieten. Für die Zwecke dieses Berichts versteht Proofpoint unter IABs jene Gruppen, die sich über Malware-Payloads der ersten Stufe einen Erstzugang verschaffen und die möglicherweise direkt mit Ransomware-Angreifern zusammenarbeiten, was jedoch nicht zwingend der Fall sein muss. Diese kriminellen Akteure kompromittieren die betroffenen Organisationen zunächst mit Malware der ersten Stufe wie Qbot, IcedID oder Bumblebee und verkaufen anschließend ihren Zugriff an Ransomware-Betreiber, um Datendiebstahl und Verschlüsselungsangriffe durchzuführen.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Da sich die Abwehrmaßnahmen ständig weiterentwickeln und immer robuster werden, geht CTI davon aus, dass Angreifer weiterhin mit neuen Techniken und Methoden zur Verbreitung von Malware experimentieren werden.“

Proofpoint teilt diese Ansicht:

Das Experimentieren mit neuen Techniken zur Auslieferung von Schadcode sowie die regelmäßige Umstellung auf diese durch nachverfolgte Bedrohungsakteure, insbesondere IABs, unterscheidet sich erheblich von den vor „ 2022 “ beobachteten Angriffsketten und läutet eine neue Normalität bei Bedrohungsaktivitäten ein. Die erfahrensten Cyberkriminellen verlassen sich nicht mehr auf eine oder wenige Techniken, sondern entwickeln und verfeinern häufig neue TTPs. Das rasante Tempo, mit dem sich viele Angreifer weiterentwickeln, lässt darauf schließen, dass sie über die Zeit, die Fähigkeiten und das Verständnis der Bedrohungslandschaft verfügen, um neue Techniken zügig zu entwickeln und umzusetzen.

„Das stetig zunehmende Tempo, mit dem heutige Cyberkriminelle neue Techniken einsetzen, hat Konsequenzen für die Sicherheitsexperten, die ihr Bestes tun, um sich gegen diese zu verteidigen.“ „CTI wird sich weiterhin nach Kräften bemühen, über die neuesten Entwicklungen im Bereich der Cyberbedrohungen auf dem Laufenden zu bleiben und diese in geeigneter Weise an unsere Partner weiterzugeben.“

3. Schädliche VSCode-Marketplace-Erweiterungen stehlen Passwörter und öffnen Remote-Shells

Ein neuer Bericht von Analysten bei Check Point zeigt, dass Cyberkriminelle begonnen haben, den Microsoft VSCode Marketplace unter ins Visier zu nehmen. (wird in einem neuen Tab geöffnet)

Berichten zufolge wurden drei schädliche Visual Studio-Erweiterungen in den Marketplace hochgeladen, die zum Zeitpunkt der Veröffentlichung bereits 46 600 Mal von Windows-Entwicklern heruntergeladen worden waren.

Über den Visual Studio Code Marketplace

Visual Studio Code ist ein beliebter, kostenloser Quellcode-Editor, der von Microsoft für Windows-Entwickler angeboten wird, die eine effiziente und anpassbare Entwicklungsumgebung suchen, die eine große Vielfalt an Programmiersprachen, Frameworks und Tools unterstützt.

Microsoft bietet zudem den „VSCode Extensions Marketplace“ an, den Check Point als „zentrale Anlaufstelle, an der Entwickler neue Erweiterungen entdecken und installieren können, um ihr Programmiererlebnis zu verbessern“ beschreibt. Der Marketplace enthält offizielle Erweiterungen von Microsoft sowie von der Community entwickelte Erweiterungen von Drittanbietern; derzeit beläuft sich die Anzahl dieser Erweiterungen auf rund 50 000.

Diese VSCode-Erweiterungen sind Add-ons, die von Entwicklern installiert werden können, um den Funktionsumfang ihres Editors zu erweitern. Sie können neue Funktionen hinzufügen, die Unterstützung neuer Programmiersprachen ermöglichen und eine Anbindung an externe Tools und Ressourcen herstellen.

Andererseits stellen bösartige Erweiterungen in vielerlei Hinsicht ein erhebliches Sicherheitsrisiko für die Nutzer dar.

Schädliche Erweiterungen

Schädliche VSCode-Erweiterungen können Malware installieren, Benutzerdaten stehlen und weitere schädliche Aktionen ausführen. Laut Check Point ermöglichte die in diesen Visual Studio-Erweiterungen enthaltene Malware es Angreifern, Datensätze mit personenbezogenen Daten (PII) von Benutzern zu stehlen und Remote-Shells auf den Geräten der Opfer zu installieren.

Die Erweiterungen wurden entdeckt und auf 4. Mai 2023 gemeldet sowie aus dem Marketplace unter 14. Mai entfernt. Dazu gehörten „Theme Dracula Dark“, „python-vscode“ und „prettiest java“.

Während Check Point Berichten zufolge ebenfalls mehrere verdächtige Erweiterungen entdeckt hat – solche, die zwar nicht mit hoher Sicherheit als bösartig eingestuft werden konnten, jedoch unsicheres Verhalten zeigten –, hat Microsoft bei der Umsetzung mehrerer Sicherheitsmaßnahmen für den VSCode Extensions Marketplace (öffnet in einem neuen Tab) lobenswerte Arbeit geleistet. Dazu gehören die Einführung automatischer Tools zur Überprüfung von Erweiterungen, die schädliche Erweiterungen im Marketplace erkennen und entfernen, sowie die Aktivierung von Nutzerbewertungen und -rezensionen, um die Identifizierung und Meldung schädlicher Erweiterungen zu erleichtern.

Check Point gibt an, dass vor der Entdeckung der drei schädlichen Erweiterungen praktisch keine schädlichen Erweiterungen im Marketplace veröffentlicht worden waren, die später als schädlich identifiziert wurden. Check Point legt jedoch auch großen Wert darauf zu betonen, dass die von seinen Analysten entdeckten schädlichen Erweiterungen nicht neu sind. Die meisten von ihnen sind älter als ein Jahr. Unabhängig davon, welche Arten von Kontrollen und Überprüfungen durchgeführt werden, ist die Veröffentlichung und Nutzung von Open-Source-Komponenten also stets mit einem gewissen Risiko verbunden.

Software-Repositorys und das Risiko in der Lieferkette

Die Verwendung von Open-Source-Komponenten ist stets mit einem gewissen Risiko verbunden. Das Gleiche gilt für Software-Repositorien, die Beiträge von Nutzern zulassen. So hat sich beispielsweise wiederholt gezeigt, dass Repositorien wie NPM und PyPI inhärente Risiken bergen, da sie für Akteure im Bereich der Cyberbedrohungen zu immer attraktiveren Zielen geworden sind.

Auch wenn die Aufnahme des VSCode Marketplace in die Liste der von Cyberkriminellen ins Visier genommenen Repositorys für manche überraschend sein mag, wies BleepingComputer darauf hin, dass „AquaSec im Januar gezeigt hat, dass es relativ einfach ist, bösartige Erweiterungen auf den VSCode Marketplace hochzuladen, und einige äußerst verdächtige Fälle vorgestellt hat“. „Sie konnten jedoch keine Schadsoftware finden.“

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Da Angriffe auf die Software-Lieferkette immer häufiger auftreten und immer schwerwiegendere Folgen haben, ist es wichtiger denn je, jede Softwarekomponente, auf die sich Entwickler bei ihrer täglichen Arbeit verlassen, sorgfältig zu prüfen.“

„Es gibt niemals eine Garantie dafür, dass Open-Source-Softwarepakete sicher sind.“ Das Gleiche gilt für die Repositorien, in denen sie gespeichert sind.“

Haben Sie Einblicke in diese Geschichten, die Sie gerne teilen möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .