Als Erstes in unserem Wochenüberblick gibt CTI einen Überblick über den „ 2023 Weak Password Report“ von Specops, der vor allem die Notwendigkeit einer Überprüfung auf kompromittierte Passwörter verdeutlicht, bei der potenzielle Passwörter anhand einer Liste bekannter, bereits offengelegter Passwörter überprüft werden.
Anschließend stellt CTI eine neu identifizierte Hackergruppe mit Verbindungen zu Nordkorea vor (APT43), die nach Ansicht von Mandiant eine hochentwickelte, staatlich unterstützte Cyberspionagegruppe ist, die ihre operativen Ziele an denen der nordkoreanischen Regierung ausrichtet.
Abschließend gibt CTI einen Überblick über das neue AlienFox-Toolkit, das über Telegram verbreitet wird. Dieses Toolkit verdeutlicht nicht nur die Entwicklung cyberkrimineller Aktivitäten in der Cloud, sondern wird auch dazu genutzt, Anmeldedaten aus API-Schlüsseln zu entwenden und Authentifizierungsdaten von cloudbasierten E-Mail-Diensten zu sammeln.
Fehler bei den Passwörtern der Endnutzer gefährden Unternehmen
Specops hat seinen Bericht „: 2023 Weak Password Report“ veröffentlicht: (wird in einem neuen Tab geöffnet). Dieser enthält eine Analyse von über 800 Millionen kompromittierten Passwörtern.
Der Bericht beschreibt einige der unsachgemäßen Praktiken im Umgang mit Passwörtern, die Unternehmen häufig einem Risiko aussetzen, und untersucht, warum Passwörter nach wie vor eines der schwächsten Glieder in einem Netzwerk sind.
Wichtigste Erkenntnisse aus dem Specops-Bericht
- Specops hat über 800 Millionen kompromittierte Passwörter analysiert und diese anhand von fünf regulatorischen Standards geprüft, darunter NIST, HITRUST für HIPAA, PCI, ICO für die DSGVO und Cyber Essentials für das NCSC. Die Untersuchungen des Unternehmens ergaben, dass 83 % der kompromittierten Passwörter (wird in einem neuen Tab geöffnet) den Anforderungen dieser Standards hinsichtlich Passwortkomplexität und -länge weiterhin genügen würden.
- Specops untersuchte Passwörter, die bei tatsächlichen Angriffen auf RDP-Ports verwendet wurden, und analysierte eine Teilmenge von 4,6 Millionen Passwörtern. Mehr als 88 % der bei den Angriffen verwendeten Passwörter waren 12 Zeichen lang oder kürzer, wobei die häufigste Länge 8 Zeichen betrug. Passwörter, die ausschließlich aus Kleinbuchstaben bestanden, waren die am häufigsten vorkommende Zeichenkombination.
- Die drei häufigsten Basisbegriffe, die in Passwörtern mit dem Muster „ “ vorkommen, die für Angriffe auf Netzwerke verwendet werden (wird in einem neuen Tab geöffnet) , sind „password“, „admin“ und „welcome“.
- Specops hat bei der Analyse von mehr als 800 Millionen kompromittierten Passwörtern verschiedene Themen und Muster aufgedeckt. Bei der Erstellung ihrer Passwörter lassen sich die Menschen häufig von weltpolitischen Ereignissen und ihrer Umgebung im Allgemeinen inspirieren. Dies ist eine Tendenz, der sich Hacker bewusst sind und die sie gezielt ausnutzen, wenn sie Opfer ins Visier nehmen.
- Fußball ist eine universelle Sprache auf der ganzen Welt, was Forscher sogar im Bereich der Passwörter festgestellt haben. Die „ 2022 World Cup“ veranlasste die Forscher dazu, in der kompromittierten Passwortdatenbank mehrere Begriffe im Zusammenhang mit der Weltmeisterschaft aufzudecken. „Soccer“ führt die Liste der verwandten Begriffe mit über 140k Nennungen an, während „Football“ den zweiten Platz belegt. Forscher haben zahlreiche aktuelle und ehemalige Spieler identifiziert, die die Liste der Passwörter im Zusammenhang mit der Weltmeisterschaft anführen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es ist wirklich kein Geheimnis, dass unsachgemäße Passwortpraktiken Sie und Ihr Unternehmen anfällig für Cyberangriffe machen können.“ Ein früherer Bericht von „ “ zum Thema Passwortmanager (wird in einem neuen Tab geöffnet) ergab, dass 41 % der Amerikaner sich beim Merken ihrer Passwörter auf ihr Gedächtnis verlassen, was darauf hindeutet, dass sie wahrscheinlich einfache oder sich wiederholende Passwörter verwenden, die leicht zu merken sind.“
„Die Länge und Komplexität eines Passworts allein reichen nicht aus: Es gibt zahlreiche Compliance-Vorschriften (man denke beispielsweise an NIST), die Standards für die Cybersicherheit festlegen und auch die Passwortrichtlinien von Organisationen umfassen. „Viele dieser Vorschriften legen den Schwerpunkt auf die Anforderungen hinsichtlich Länge und Komplexität bei der Gestaltung von Passwortrichtlinien; angesichts der zunehmenden Raffinesse heutiger Angriffe reicht dies allein jedoch oft nicht aus.“
„Die Erkenntnis von Specops, dass 83 % der kompromittierten Passwörter dennoch viele der Anforderungen an Passwortkomplexität und -länge gemäß den regulatorischen Standards erfüllten, zeigt deutlich, dass Länge und Komplexität allein nicht ausreichen.“ Mit anderen Worten: Ein langes und komplexes Passwort, das den gesetzlichen Standards entspricht, trägt nichts zur Aufrechterhaltung eines hohen Sicherheitsniveaus bei, wenn dieses Passwort auf der Liste der kompromittierten Passwörter eines Angreifers steht.“
„Diese Daten verdeutlichen, warum einige Empfehlungen von Aufsichtsbehörden mittlerweile eine Überprüfung auf kompromittierte Passwörter vorsehen, um die Sicherheit von Passwörtern zu verbessern. Letztendlich ist eine gute Passwortpraxis wichtiger denn je – und das geht über die bloße Erfüllung der systemeigenen Anforderungen an die Passwortkomplexität hinaus.“
Die kürzlich aufgedeckte Hackergruppe „ APT43 “ nimmt US-amerikanische Organisationen ins Visier
Mandiant hat erstmals die Aktivitäten der Gruppe „ APT43 “ offengelegt und geht davon aus, dass es sich bei dieser hochentwickelten Cyberspionagegruppe um eine staatlich geförderte Organisation handelt, deren operative Ziele mit denen der nordkoreanischen Regierung übereinstimmen.
Es wird davon ausgegangen, dass sich die Einheit APT43 nicht nur mit spionagebezogenen Aktivitäten befasst, sondern sich auch durch Cyberkriminalität finanziert, um ihren Hauptauftrag – die Beschaffung strategischer Informationen – zu erfüllen.
Allgemeine Informationen
- In Berichten, die nicht von Mandiant stammen und der Gruppe „ APT43 “ zugeschrieben werden, wird diese häufig als „Kimsuky“ oder „Thallium“ bezeichnet.
- Bei APT43’s Angriffen werden in der Regel Spear--Phishing-Kampagnen eingesetzt, die auf gefälschten Domains und E-Mail-Adressen basieren und Teil der Social-Engineering-Taktiken sind. Mandiant hat bislang noch nicht beobachtet, dass diese Gruppe Zero-Day-Schwachstellen ausnutzt.
- Seit Mandiant mit der Beobachtung von „ APT43“ begonnen hat, ist dem Unternehmen aufgefallen, dass der Angreifer kontinuierlich Spionageaktivitäten gegen südkoreanische und US-amerikanische Organisationen durchführt.
- Vor der Veröffentlichung von „ Oktober 2020“ richtete sich „ APT43 “ in erster Linie an Behörden, diplomatische Einrichtungen und Organisationen im Umfeld von Thinktanks. Von Oktober 2020 bisOktober 2021 änderte sich die Ausrichtung der Aktivitäten, und ein erheblicher Teil der Maßnahmen konzentrierte sich auf gesundheitsbezogene Branchen und Pharmaunternehmen – wahrscheinlich als Reaktion auf die Covid-19-Pandemie.
- APT43 verfügt über ein umfangreiches Toolkit, das sowohl öffentlich zugängliche Malware als auch maßgeschneiderte Tools umfasst. Das Arsenal der Gruppe hat sich im Laufe der Zeit stetig weiterentwickelt und erweitert. Die Gruppe hat öffentlich zugängliche Malware wie Gh0st RAT, QUASARRAT und AMADEY eingesetzt, zusätzlich zu LATEOP (öffentlich bekannt als BabyShark), bei dem es sich um eine auf VisualBasic-Skripten basierende Backdoor handelt.
Cyberoperationen für APT43
APT43 nutzt, wie viele andere Angreifer auch, häufig Spear-Phishing-E-Mails als Vektor für den ersten Zugriff. Darüber hinaus nutzt die Gruppe gefälschte Websites, um Zugangsdaten zu erbeuten.
APT43 aktualisiert zudem regelmäßig den Inhalt seiner Phishing-Köder und passt diese an die jeweilige Zielgruppe an. Zu diesem Zweck erstellt und pflegt die Gruppe überzeugende Personas und gibt sich als Personen aus bestimmten Branchen aus. APT43 wäscht zudem Kryptowährungen – deren Gewinne dazu dienen, den Erwerb der operativen Infrastruktur der Gruppe zu finanzieren.
Spionage
Zwar begeht die Gruppe „ APT43 “ zweifellos auch finanziell motivierte Straftaten, doch ihr Hauptziel ist die Cyberspionage. Die Gruppe interessiert sich für Informationen, die innerhalb des US-Militärs und der US-Regierung sowie in der Verteidigungsindustrie (DIB) erarbeitet und gespeichert wurden, sowie für die von den USA entwickelten Forschungs- und Sicherheitsstrategien. Das Unternehmen hat Interesse an ähnlichen Branchen in Südkorea.
Mandiant geht davon aus, dass die APT-43 may ch eine interne Überwachung anderer nordkoreanischer Operationen durchführt. APT43 hat einzelne Spionageakteure kompromittiert, darunter auch solche innerhalb der eigenen Operationen. Es ist unklar, ob diese Aktivität zu Überwachungszwecken beabsichtigt ist oder vielmehr zufällig erfolgt und auf mangelnde Betriebssicherheit zurückzuführen ist.
Erfassung von Zugangsdaten
APT43 führt regelmäßig Kampagnen zum Sammeln von Anmeldedaten durch, um Finanzdaten, personenbezogene Daten und Kundendaten zu erbeuten. Die Gruppe registriert Domains, die auf Tippfehler bei beliebten Suchmaschinen, Webplattformen und Kryptowährungsbörsen abzielen. Die gesammelten Zugangsdaten werden dazu verwendet, Online-Identitäten zu erstellen und die Infrastruktur für deren Betrieb einzurichten. Im Rahmen dieser Operation wurde kompromittierte sowie den Angreifern gehörende Infrastruktur genutzt, um die Malware zu hosten und zu verbreiten.
Änderungen bei der Zielauswahl im Rahmen von APT43’s könnten taktische Anpassungen der Erfassungsanforderungen widerspiegeln. So nahm APT43 beispielsweise Ende 2021 seine Kampagnen zum Sammeln von Anmeldedaten gegen religiöse Gruppen, Universitäten und Nichtregierungsorganisationen wieder auf. Anfang 2022 wurden dann Kampagnen beobachtet, die sich gegen Wissenschaftler, Journalisten, Politiker, Blogger und andere Personen aus der Privatwirtschaft richteten. Schließlich richteten sich die Kampagnen Mitte 2022 erneut gegen südkoreanische Blogger und Nutzer sozialer Medien, die sich mit südkoreanischen Angelegenheiten befassen.
Krypto-Targeting
Die Operation hat sich seit deren Entstehung auf Kryptowährungen konzentriert. Im Gegensatz zu anderen nordkoreanischen Gruppen, deren Hauptziel darin besteht, Gelder für das Regime zu beschaffen, betreibt die Gruppe „ APT43 “ ihre Kryptowährungsaktivitäten vermutlich, um ihren eigenen Betrieb aufrechtzuerhalten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Mandiant bringt einen recht interessanten Punkt zur Sprache, der APT43’s scheinbar eigenfinanzierte Operationen betrifft und darauf hindeuten könnte, dass nordkoreanische Gruppen über ein umfassenderes Mandat verfügen:
Die Verbreitung finanziell motivierter Aktivitäten unter nordkoreanischen Gruppen – selbst unter jenen, die sich in der Vergangenheit vor allem auf Cyberspionage konzentriert haben – deutet auf einen weit verbreiteten Auftrag zur Selbstfinanzierung sowie auf die Erwartung hin, sich ohne zusätzliche Mittel selbst zu versorgen.
"APT43’s continuous shifting of its methodology and tradecraft suggests it is highly responsive to the ever-changing landscape and to the goals of its espionage mission. „Diese Organisation passt ihre Vorgehensweisen zügig an, um die zur Unterstützung des Regimes erforderlichen Maßnahmen durchzuführen.“
3. Neues „AlienFox“-Toolkit stiehlt Zugangsdaten für Cloud-Dienste
SentinelOne hat ein neues Toolkit namens AlienFox entdeckt (wird in einem neuen Tab geöffnet) , das über Telegram verbreitet wird. Mit AlienFox können Angreifer Anmeldedaten aus API-Schlüsseln und Authentifizierungsgeheimnissen beliebter cloudbasierter E-Mail-Dienste abgreifen.
- Das Toolkit ist modular aufgebaut und besteht aus mehreren maßgeschneiderten Tools sowie modifizierten Open-Source-Dienstprogrammen, sodass der Angreifer es an seine Bedürfnisse anpassen und modifizieren kann.
- Die Angriffsstrategie von AlienFox ist in erster Linie opportunistisch und stützt sich auf Fehlkonfigurationen auf Servern, auf denen Web-Frameworks wie Drupal, Joomla, Magento, OpenCart, PrestaShop und WordPress gehostet werden.
- Sobald ein Server identifiziert wurde, kann der Angreifer anschließend Konfigurationsdateien auslesen, in denen sensible Informationen wie aktivierte Dienste sowie die zugehörigen API-Schlüssel und Geheimnisse gespeichert sind.
Versionsverwaltung bei AlienFox
Das AlienFox-Toolkit konzentriert sich in erster Linie auf cloudbasierte E-Mail-Dienste. Forscher haben bislang die AlienFox-Versionen 2 bis 4 entdeckt, die ab dem Februar 2022 datieren.
AlienFox V2
Eines der analysierten Archive von AlienFox V2 enthält Ausgabeinformationen aus der Zeit, als ein Akteur die Tools ausführte, darunter AWS-Zugangs- und Geheimschlüssel. In dieser Version des Toolset ist das Kernprogramm in einem Skript namens s3lr[.]py enthalten. Ein Python-Skript namens „Awses[.]py“ automatisiert verschiedene Vorgänge im Zusammenhang mit dem AWS Simple Email Service – darunter das Senden und Empfangen von Nachrichten sowie das Anwenden eines Persistenzprofils auf das AWS-Konto. Mit diesem Skript gibt der Angreifer den Benutzernamen zur Laufzeit ein, was darauf hindeutet, dass es sich um ein Tool handelt, bei dem der Benutzer selbst die Tastatur bedienen muss.
Diese Version enthält eine „Goblok“-Funktion (Goblok bedeutet auf Indonesisch „Idiot“), mit der ein neues Profil zur Persistenz und zur Ausweitung von Berechtigungen erstellt werden kann. Diese Funktion übergibt die Werte der Parameter an die Variable „iam“, wo sie ausgewertet werden. Durch diese Aktion wird ein neuer Benutzer im AWS-Konto des Opfers angelegt. Wenn die Erstellung des neuen Benutzers erfolgreich war, werden diesem Benutzer Administratorrechte gewährt.
Ein weiteres V2 -Skript, ssh-smtp[.]py, analysiert Konfigurationsdateien auf Anmeldedaten und nutzt die Python-Bibliothek „Paramiko“, um die SSH-Konfigurationen auf dem betroffenen Webserver zu überprüfen. Diese Version von AlienFox enthält zudem einen Exploit für „ CVE-2022-31279“, eine Deserialisierungsschwachstelle im PHP-Framework Laravel.
AlienFox V3
Von den von SentinelOne beobachteten Versionen wurden die Archive mit der höchsten Einzigartigkeit als Version 3 gekennzeichnet. Die folgenden Namensvarianten gab es:
- ALIEN-FOX AFV 3,0 Izmir – erstellt v Februar 2022
- ALIENFOX III V3,0 AFV.EXE – erstellt am Februar 2022
- ALIEN-FOX AFV 3,5 JAGAUR – erstellt v April 2022
- ALIEN-FOX AFV 3,5 von rondrickmadeit – erstellt am Februar 2022
Diese Version bietet eine verbesserte Leistung und führt Initialisierungsvariablen, Python-Klassen mit modularen Funktionen sowie Prozess-Threading ein.
AlienFox V4
Der zuletzt beobachtete Werkzeugsatz ist ganz anders gegliedert, wobei jedem Werkzeug eine Nummer zugewiesen ist (d. h. Werkzeug 1, Werkzeug 2). Das Hauptskript im Stammverzeichnis von AlienFox mit dem Namen „ ALIENFOXV4[.]py“ dient als Bootstrap für die nummerierten Tool-Skripte in den Unterordnern.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Das AlienFox-Toolkit verdeutlicht die Entwicklung der Cyberkriminalität in der Cloud. Vor allem beschränken sich die Angriffe nicht mehr nur auf das Schürfen von Kryptowährungen. Da die meisten Tools im Toolkit Open-Source sind, haben Angreifer den zusätzlichen Vorteil, dass sie das Toolkit an ihre individuellen Bedürfnisse anpassen können. SentinelOne hat das Toolkit als äußerst modular und sich rasch weiterentwickelnd beschrieben, wodurch es mit jeder neuen Funktion zu einer noch größeren Bedrohung wird.“
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „“.
