Im Bericht dieser Woche befassen wir uns mit der neuesten Kampagne des staatlich unterstützten nordkoreanischen Angreifers „Kimsuky“, der sicherstellt, dass seine Schadsoftware ausschließlich von den beabsichtigten Opfern heruntergeladen wird. Der gezielte Charakter dieser Aktivität stellt eine taktische Neuausrichtung dieses opportunistischen Angreifers dar, der zudem große Anstrengungen unternimmt, um das Reverse Engineering seiner Kampagnen zu erschweren.
Als Nächstes folgt eine Zusammenfassung einer von China unterstützten Cyberspionagekampagne, deren Ziel die Verbreitung des „ScanBox“-Exploit-Frameworks war. Die „ TA423-operated “-Kampagne richtete sich in erster Linie an australische Regierungsbehörden und Nachrichtenmedienunternehmen.
Abschließend werfen wir einen ersten Blick auf die gefährliche neue Ransomware „Agenda“ – eine Variante, die in der Programmiersprache Go geschrieben wurde und bei der beobachtet wurde, dass sie maßgeschneiderte Varianten verbreitet, die speziell auf jedes einzelne Opfer zugeschnitten sind.
1. Wie die Kimsuky-Hacker sicherstellen, dass ihre Malware-Angriffe ausschließlich gültige Ziele erreichen
Der nordkoreanische Akteur „Kimsuky“ ergreift nun Maßnahmen, um sicherzustellen, dass seine schädlichen Payloads „ “ (wird in einem neuen Tab geöffnet) ausschließlich von den vorgesehenen Zielen heruntergeladen werden und nicht auf den Systemen von Sicherheitsforschern landen.
Kimsuky (wird in einem neuen Tab geöffnet) ist eine in Nordkorea ansässige Cyberspionagegruppe, die seit mindestens 2012 aktiv ist. Die Gruppe hat sich in der Vergangenheit vor allem auf südkoreanische Regierungsstellen und Thinktanks konzentriert und ihre Aktivitäten inzwischen auf Angriffe auf Organisationen in den USA, in Russland, in Europa sowie in UN-Mitgliedstaaten ausgeweitet.
Bislang hat Kimsuky seine Aktivitäten zur Informationsbeschaffung vor allem auf außenpolitische und nationale Sicherheitsfragen im Zusammenhang mit der koreanischen Halbinsel, der Nuklearpolitik und Sanktionen konzentriert.
- Bei der neuen Kampagne von Kimsuky, die Kaspersky als „GoldDragon“ bezeichnet hat, beginnt die Infektionskette mit einer Spear-Phishing-E-Mail, die ein Word-Dokument mit eingebettetem Makro enthält.
- Ein Teil der Angriffskette dieser Kampagne ist ein Verifizierungsschritt, dessen Ergebnisse darüber entscheiden, ob der Nutzer ein schädliches Dokument erhält oder nicht.
- Die an das Opfer übermittelten schädlichen Dokumente enthalten ein Makro, das die nächste Stufe der Schadcode-Nutzlast abruft. Das Makro ist zwar einfach aufgebaut, erstellt jedoch mehrere untergeordnete Windows-Befehlszeilen-Fenster, um eine verhaltensbasierte Analyse zu umgehen. Das Makro führt schließlich eine Nutzlast aus, die darauf ausgelegt ist, eine Microsoft-HTML-Anwendung auszuführen.
Kaspersky geht davon aus, dass die Ziele dieser Kampagne Personen oder Organisationen sind, die mit Politik und diplomatischen Aktivitäten in Verbindung stehen, was mit den bisherigen Zielen von Kimsuky übereinstimmt.
Wie die „Kimsuky“-Hacker sicherstellen, dass ihre Malware nur die richtigen Ziele erreicht – @billtoulas bleepingcomputer.com/news/security/…
Die neuen Sicherheitsvorkehrungen von Kimsuky
Kimsuky hat neue Sicherheitsmaßnahmen eingeführt, um sicherzustellen, dass die schädlichen Payloads im Rahmen dieser Operationen ausschließlich von berechtigten Zielen heruntergeladen werden. Diese neuen Sicherheitsvorkehrungen sind so wirksam, dass Kaspersky berichtete, es sei nicht möglich gewesen, die endgültigen Payloads zu erfassen, selbst nach der Verbindung mit dem Command-and-Control-Server (C2) von Kimsuky.
Die Spear-Phishing-E-Mails dieser Kampagne enthalten einen Link, der das Opfer zu einem „ C2 “-Server der ersten Stufe weiterleitet. Dieser gleicht den kompromittierten Rechner mit einer Liste gültiger Ziele ab und überprüft, ob mehrere Bedingungen erfüllt sind, bevor das schädliche Dokument zugestellt wird.
Entspricht das Opfer nicht der Liste der Zielpersonen, wird ihm ein harmloses Dokument übermittelt. Seltsamerweise werden sowohl die schädlichen als auch die harmlosen Dokumente über dasselbe Skript an den Benutzer übermittelt. Das von der ersten Stufe C2 abgelegte Dokument enthält ein schädliches Makro, das das Opfer mit der zweiten Stufe C2 verbindet, die Nutzlast der nächsten Stufe abruft und diese über den Prozess „mshta.exe“ ausführt.
Eines der C2 Skripte generiert eine eindeutige Blog-Adresse auf der Grundlage der IP-Adresse des Opfers, indem es die letzten 20 Zeichen des Hashwerts der Adresse abtrennt. Forscher gehen davon aus, dass damit beabsichtigt ist, für jedes Opfer einen eigenen gefälschten Blog zu betreiben, um dem Betrug den Anschein von Legitimität zu verleihen und die Wahrscheinlichkeit einer Aufdeckung zu verringern.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Kimsuky ist ein äußerst raffinierter Angreifer, der kürzlich Schlagzeilen machte, weil mithilfe von Google-Chrome-Erweiterungen E-Mails (wird in einem neuen Tab geöffnet) von Personen von Interesse gestohlen hat. Die Überprüfung jeder einzelnen Person, die auf den bösartigen Link klickt, ist eine Abwehrmaßnahme, die ein hohes Maß an Engagement und Ressourcen erfordert; sie verdeutlicht die zunehmende Reife von Kimsuky und gibt Aufschluss über dessen letztendliches Ziel – die Durchführung gezielter Cyberspionageaktivitäten. „Die opportunistische Gruppe wird offensichtlich keine Mühen scheuen, um jegliches potenzielle Reverse Engineering zu verhindern.“
2. Chinesische Hacker greifen die australische Regierung mit der Malware „ScanBox“ an
Proofpoint und PwC (wird in einem neuen Tab geöffnet) haben gemeinsam eine Cyberspionagekampagne aufgedeckt, bei der das ScanBox-Exploit-Framework zum Einsatz kommt. Der Bericht befasst sich eingehend mit dem „Watering-Hole“-Angriff, der vermutlich von TA423 durchgeführt wurde.
TA423, auch bekannt als „Red Ladon“ und APT40, ist eine in China ansässige Gruppe, die Cyberspionage betreibt und vermutlich seit 2013 aktiv ist. Die Gruppe hat im Laufe der Jahre als Reaktion auf geopolitische Ereignisse im asiatisch-pazifischen Raum verschiedene Organisationen ins Visier genommen, wobei der Schwerpunkt auf dem Südchinesischen Meer lag.
Zu den zuvor ins Visier genommenen Organisationen zählten Rüstungsunternehmen, Hersteller, Universitäten, Regierungsbehörden, Anwaltskanzleien, die an diplomatischen Streitigkeiten beteiligt waren, sowie ausländische Unternehmen, die mit der Politik im australasiatischen Raum oder mit Aktivitäten im Südchinesischen Meer zu tun hatten.
TA423 ist wiederholt ins Visier internationaler Strafverfolgungsbehörden geraten; die US-Strafverfolgungsbehörde „ “ des US-Justizministeriums hat erst im vergangenen Jahr Anklage gegen (öffnet in einem neuen Tab) sowie mehrere Mitglieder der Gruppe erhoben.
Die jüngste Kampagne von TA423
Die jüngste Kampagne „TA423’s “ begann unter April 2022 und umfasste den Versand von Phishing-E-Mails unter , die die Opfer auf eine bösartige Website umleiteten, über die die ScanBox-Malware an die Opfer übertragen wurde.
Die Kampagne richtete sich in erster Linie an lokale und bundesstaatliche australische Regierungsbehörden, australische Nachrichtenmedienunternehmen sowie globale Hersteller aus der Schwerindustrie, die Wartungsarbeiten an Windkraftanlagenflotten im Südchinesischen Meer durchführen.
Die im Zusammenhang mit der ScanBox stehenden Phishing-E-Mails stammten von Gmail- und Outlook-E-Mail-Adressen, von denen Proofpoint annimmt, dass sie vom Angreifer selbst erstellt wurden. In den E-Mails wird vorgegeben, sie stammten von jemandem, der eine Nachrichten-Website ins Leben ruft und um Nutzer-Feedback zu seiner Seite bittet; sie enthalten einen Link zu der betrügerischen Website. Die bösartige URL scheint für jedes Ziel individuell angepasst zu sein, doch alle leiten auf dieselbe Seite weiter, um dieselbe ScanBox-Nutzlast zu übermitteln.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
“It’s no great surprise that China-based actors continue to target organizations whose activities align with state interests. TA423’s recent activity is a reminder that regardless of the best efforts of U.S. law enforcement, such actions are more often than not an attempt to appease the public and promote the idea that America’s reach is long when it comes to prosecuting international hackers. Chinas staatlich unterstützte Cyberangreifer wissen sehr wohl, dass sie schwer aufzuspüren und noch schwerer strafrechtlich zu verfolgen sind. Nicht einmal eine öffentliche Anklage durch das US-Justizministerium konnte diese Gruppe davon abhalten, ihre geplante Spionagemission durchzuführen. „Der einzige Vorteil besteht darin, dass diese Anklagen oft Einblicke in die von solchen Gruppen angewandte Methodik gewähren.“
„Diese Aktivität könnte zudem eine Rückkehr zu den Grundlagen des Kurses TA423 verdeutlichen.“ Der letzte dokumentierte Einsatz von ScanBox erfolgte im Rahmen einer „ 2018 “-Kampagne; danach wechselte der Angreifer zu RTF-Vorlageneinfügungen und schädlichen Makros. Könnte „ScanBox“ unter den staatlich unterstützten Akteuren in China ein Comeback erleben? „Die Zeit wird es zeigen.“
3. Die Ransomware „New Agenda“ wird für jedes Opfer individuell angepasst
Aktuelle Berichte von Trend Micro unter (wird in einem neuen Tab geöffnet) weisen auf eine neue, gezielte Ransomware hin, die in der Programmiersprache Go geschrieben wurde.
Wie aus den Lösegeldforderungen hervorgeht, trägt die Ransomware den Namen „Agenda“ und zielt vermutlich auf Unternehmen in Asien und Afrika ab. Agenda kann Systeme im abgesicherten Modus neu starten, versucht, zahlreiche serverspezifische Prozesse und Dienste zu beenden, und verfügt über mehrere Betriebsmodi.
Trend Micro hat mehrere Proben gesammelt und analysiert, bei denen es sich ausschließlich um 64-Bit-Windows-PE-Dateien handelte, die in Go geschrieben waren und auf Windows-basierte Systeme abzielten. Es wurde festgestellt, dass die Gruppe, die die Malware verbreitete, Organisationen im Gesundheits- und Bildungswesen in Indonesien, Saudi-Arabien, Südafrika und Thailand ins Visier nahm.
Jedes Ransomware-Beispiel wurde individuell auf das jeweilige Opfer zugeschnitten, einschließlich Details wie Unternehmens-ID, RSA-Schlüssel, Prozesse und Dienste, die vor der Verschlüsselung beendet werden sollten, sowie die Höhe des Lösegelds. Forscher gehen davon aus, dass die Ransomware-Gruppe „Agenda“ ihren Partnern die Möglichkeit bietet, konfigurierbare Binär-Payloads für jedes Opfer individuell anzupassen.
Die „Kill Chain“ von Agenda
Trend Micro hat einen bestimmten Vorfall im Zusammenhang mit der Ransomware „Agenda“ genauer untersucht und dabei festgestellt, dass der dahinter stehende Angreifer einen öffentlich zugänglichen Citrix-Server als Einstiegspunkt nutzte.
Es wird davon ausgegangen, dass der Angreifer ein gültiges Konto nutzte, um Zugriff auf den Server zu erlangen und sich anschließend im Netzwerk des Opfers zu bewegen, da die Ransomware mit gültigen Konten mit erhöhten Berechtigungen konfiguriert war.
Die Forscher stellen fest, dass zwischen dem Zugriff auf den Citrix-Server und der Infektion mit der Ransomware weniger als zwei Tage lagen. Der Angreifer installierte und nutzte am ersten Tag Scan-Tools wie Nmap und Nping, um das Netzwerk zu scannen, und erstellte anschließend ein Gruppenrichtlinienobjekt (GPO), bevor er die Ransomware einsetzte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Ransomware ‚Agenda‘ hat sich als in hohem Maße anpassbar erwiesen und reiht sich nahtlos in die Reihe vieler anderer Ransomware-Operationen ein, die sowohl ihre plattformübergreifende Kompatibilität ausbauen als auch ihre Techniken kontinuierlich weiterentwickeln, um erfolgreich und für potenzielle Partner attraktiv zu bleiben.“ Da Agenda die Safe-Mode-Funktion eines Geräts nutzen kann, ist es in der Lage, seine Verschlüsselungsroutine nahezu unbemerkt durchzuführen. „Agenda ist ein weiteres Beispiel dafür, dass die Eintrittsbarrieren für Angreifer, die Ransomware-Angriffe verüben wollen, immer weiter sinken – unabhängig davon, wie ausgefeilt diese Angriffe sind.“
Haben Sie Neuigkeiten oder Erkenntnisse zu den Themen dieser Woche, die Sie mit uns teilen möchten? Starten Sie eine Diskussion unter oder besuchen Sie unser Diskussionsforum unter. Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyberbedrohungen unter .
