In der Zusammenfassung dieser Woche befasst sich CTI mit einem Bericht von Trend Micro, der sich mit der früheren Zerschlagung der LockBit-Gruppe durch die Strafverfolgungsbehörden befasst – einschließlich deren Analyse einer Ransomware-Version, die sich zum Zeitpunkt der Zerschlagung in der Entwicklung befand. Anschließend befasst sich CTI mit einem aktuellen Bericht von Sophos, in dem die Auswirkungen von Ransomware-Angriffen untersucht werden. Abschließend gibt CTI einen Überblick über einen als „Earth Freybug“ bekannten Angreifer, der eine neue Malware namens UNAPIMON einsetzt.
1. Die Auswirkungen der Strafverfolgungsbehörden auf LockBit
Trend Micro hat einen Bericht veröffentlicht, in dem die frühere Zerschlagung des LockBit-Netzwerks durch die Strafverfolgungsbehörden untersucht wird,, einschließlich Einzelheiten dazu, wie LockBit nach der Zerschlagung seinen Betrieb fortsetzte. Der Bericht enthält zudem eine Analyse einer LockBit-Ransomware-Version, die sich zum Zeitpunkt des Vorfalls in der Entwicklung befand.
Über die Zerschlagung von LockBit
Websites, die mit dem Datenleck „ “ (LockBit ) in Verbindung stehen, zeigten auf 19. Februar eine Fehlermeldung 404 an. Dies war das Ergebnis der Operation Cronos, einer polizeilichen Aktion, deren Ziel es war, die Infrastruktur von LockBit zu zerschlagen.
Eine Stunde, nachdem Trend Micro diese Fehlermeldung auf der Website festgestellt hatte, ging diese wieder online – mit einer Startseite der Strafverfolgungsbehörden, die bestätigte, dass sich die Websites unter deren Kontrolle befanden. Anschließend passten die Strafverfolgungsbehörden die Website so an, dass sie der üblichen Seite von LockBit ähnelte, fügten jedoch Inhalte zu Pressemitteilungen, Anklagen und Festnahmen hinzu.
Auf dieser Seite verwiesen die Strafverfolgungsbehörden zudem auf „LockBitSupp“, den mutmaßlichen Drahtzieher hinter LockBit, und wiesen darauf hin, dass der Account aus Cyberkriminalitätsforen wie „Exploit“ und „XSS“ gesperrt worden sei. Auf der Seite wurde zudem angekündigt, dass den Betroffenen Entschlüsselungsschlüssel zur Verfügung gestellt würden.
Die Strafverfolgungsbehörden gaben anschließend Einzelheiten zum Administrationsbereich bekannt und erklärten, dass sie Zugriff auf Chats zwischen den Komplizen und den Opfern hatten, was ihnen bei der Identifizierung der Opfer half. Sie konnten zusätzlich zu verschiedenen Testkonten und dem Administratorkonto 193 Partnerkonten identifizieren.
Über LockBit-NG-Dev
Trend Micro hat eine Probe von „LockBit-NG-Dev“ erhalten und analysiert, bei der es sich nach deren Einschätzung um eine weitere Version der Ransomware handelt, die sich derzeit in der Entwicklung befindet.
Die Analyse dieser Version durch Trend Micro wurde ebenfalls unter auf der Leak-Website veröffentlicht, die von den Strafverfolgungsbehörden beschlagnahmt wurde. Diese Version unterschied sich von früheren LockBit-Varianten dadurch, dass sie in .NET geschrieben und über CoreRT kompiliert wurde und plattformunabhängig ist.
Aktivitäten von LockBit nach der Störung
Als Reaktion auf die Störung kündigte LockBitSupp an, neue Onion-Seiten einzurichten. In einem Untergrundforum gab die Gruppe bekannt, dass sie beabsichtige, .gov-, .edu- und .org-Domains zu erwerben, was auf die Absicht hindeutet, Regierungsorganisationen anzugreifen.
Die neue LockBit-Leak-Seite schien vielversprechend, doch da LockBitSupp nach wie vor in zahlreichen Foren gesperrt ist, schien es unwahrscheinlich, dass sie sich durchsetzen würde. Nach der Störung war ein sehr deutlicher Rückgang der tatsächlichen Anzahl von LockBit-Angriffen zu verzeichnen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
LockBit versuchte, nach einer Störung durch die Strafverfolgungsbehörden den Betrieb aufrechtzuerhalten, und ging dabei so weit, alte Daten erneut auf seiner Website zu veröffentlichen und die Dateistruktur so zu ändern, dass sie den Anschein erweckte, als sei sie kürzlich aktualisiert worden. Diese koordinierte Aktion mehrerer Strafverfolgungsbehörden war entscheidend dafür, dass LockBit nicht sofort wieder zum normalen Betrieb zurückkehren konnte.
Dies bedeutet jedoch nicht, dass LockBit niemals zurückkehren wird. Schließlich gelingt es den Behörden oft nicht, Cyberkriminelle vollständig auszuschalten, sondern sie lediglich für kurze Zeit zu behindern. Man sollte zudem bedenken, dass Hackergruppen häufig ihren Namen ändern, was bedeutet, dass die versierten Entwickler und Partner von LockBit möglicherweise immer noch aktiv sind.
2. Nicht behobene Sicherheitslücken tragen zu Ransomware-Angriffen bei
Ein aktueller Bericht von Sophos befasst sich mit den Auswirkungen von Ransomware-Angriffen auf die „ “ ( ) und zeigt, dass Angriffe, die auf der Ausnutzung ungepatchter Sicherheitslücken beruhen, schwerwiegendere Folgen haben als solche, die auf kompromittierte Zugangsdaten zurückzuführen sind.
Der Bericht untersucht, inwiefern sich die Folgen von Angriffen je nach Grundursache unterscheiden, und vergleicht dabei die finanziellen Auswirkungen, die betrieblichen Auswirkungen sowie den Gesamtschweregrad.
Ransomware-Angriffe, die auf nicht gepatchte Sicherheitslücken zurückzuführen sind
Sophos hat festgestellt, dass etwa 32 % der Ransomware-Angriffe mit der Ausnutzung einer nicht gepatchten Sicherheitslücke beginnen.
Diese Zahl verändert sich, wenn man die einzelnen Branchen betrachtet: In den am stärksten betroffenen Branchen (Energie, Öl/Gas und Versorgungsunternehmen) gehen 49 % der Ransomware-Angriffe auf Sicherheitslücken zurück.
Sophos stellte zudem fest, dass dieser Prozentsatz je nach Größe des Unternehmens zunimmt, was häufig darauf zurückzuführen ist, dass größere Unternehmen umfangreichere Angriffsszenarien aufweisen und somit mehr Technologien zu verwalten haben.
Erhöhter Schweregrad
Wie bereits erwähnt, stellte Sophos fest, dass Ransomware-Angriffe, die auf einer ausgenutzten Sicherheitslücke beruhen, schwerwiegendere Folgen haben – insbesondere hinsichtlich der Kompromittierung von Backups, der Datenverschlüsselung und der Zahlung von Lösegeld.
- 75 % der Ransomware-Angriffe, bei denen versucht wurde, Backups zu kompromittieren, waren erfolgreich, wenn der Angriff mit der Ausnutzung einer Sicherheitslücke begann – im Vergleich zu solchen, die mit kompromittierten Zugangsdaten begannen.
- 67 % der Angriffe führten zu einer Datenverschlüsselung, wenn sie mit der Ausnutzung einer Sicherheitslücke begannen, verglichen mit 43 %, die mit kompromittierten Zugangsdaten begannen.
- Bei 71 % der betroffenen Unternehmen wurden die Daten verschlüsselt, als der Angriff durch die Ausnutzung einer Sicherheitslücke begann, während dies bei nur 45 % der Fälle der Fall war, bei denen der Angriff durch kompromittierte Zugangsdaten eingeleitet wurde.
Verstärkte finanzielle und operative Auswirkungen
Es sollte Sie nicht überraschen, dass ungepatchte Sicherheitslücken in Ihrer Umgebung ein Risiko für Ihr Unternehmen darstellen können. Sophos stellte fest, dass Ransomware-Angriffe, die mit der Ausnutzung einer Sicherheitslücke beginnen, größere finanzielle und betriebliche Auswirkungen haben als solche, die auf kompromittierte Zugangsdaten zurückzuführen sind.
Die Umfrage ergab, dass die Ursache zwar keinen Einfluss auf die Gesamthöhe des Lösegelds hatte, sich jedoch darauf auswirkte, wer die Zahlung finanzierte. So finanzierten beispielsweise 31 % der Unternehmen die gesamten Kosten intern, wenn der Angriff mit einer Sicherheitslücke begann, während es nur 2 % waren, wenn der Angriff mit kompromittierten Zugangsdaten begann.
Aus operativer Sicht benötigten 45 % der angegriffenen Organisationen mehr als einen Monat für die Wiederherstellung, wenn der Angriff mit der Ausnutzung einer Sicherheitslücke begann, und 37 % benötigten mehr als einen Monat, wenn der Angriff mit kompromittierten Zugangsdaten begann.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Sophos hat eigene Empfehlungen zum Schutz vor Ransomware-Angriffen, die auf nicht gepatchte Sicherheitslücken zurückzuführen sind, veröffentlicht, doch letztendlich läuft alles auf einen Punkt hinaus: Patch-Management.
Das Installieren von Patches, insbesondere das rechtzeitige Installieren von Patches, ist von entscheidender Bedeutung, um das Risiko von Ransomware-Angriffen und anderen Cyberangriffen zu verringern. Da nicht alle Ransomware-Angriffe auf Sicherheitslücken zurückzuführen sind, ist eine kontinuierliche Überwachung ebenso wichtig, um auf alle Arten verdächtiger Aktivitäten reagieren zu können.
Wie Sophos feststellt, „kann Technologie allein nicht jeden Angriff abwehren“, und es sind erfahrene Sicherheitsfachkräfte erforderlich.
3. Earth Freybug setzt die Malware „UNAPIMON“ ein
Ein Akteur mit dem Namen „ “ („Earth Freybug“ ; eine Untergruppe von „“ unter APT41) wurde bei der Verwendung einer neuen Malware namens „UNAPIMON“ beobachtet.
Der Akteur nutzt „Living-off-the-Land“-Binärdateien sowie maßgeschneiderte Malware, wie beispielsweise die neue „ “ UNAPIMON, um seine Spionageaktivitäten durchzuführen. Im Rahmen der jüngsten Kampagne setzte der Akteur Techniken wie DLL-Hijacking und API-Unhooking ein.
Der Angriffsablauf von UNAPIMON
Der Angriff beginnt mit einem Prozess namens „vmtoolsd.exe“, der eine geplante Aufgabe erstellt, die anschließend eine zuvor auf dem Remote-Rechner bereitgestellte Batch-Datei ausführt.
Die im Angriffsablauf verwendeten Prozesse sind legitime Komponenten von VMware und Windows.
Erkundung
Nachdem die geplante Aufgabe ausgelöst wurde, wird eine zuvor bereitgestellte Batch-Datei auf dem Remote-Rechner ausgeführt.
Die Batch-Datei führt mehrere Befehle aus, um Informationen über das infizierte System zu sammeln, und speichert diese in einer Textdatei. Anschließend wird eine weitere geplante Aufgabe eingerichtet, um eine weitere Batch-Datei auszuführen und eine Hintertür zu aktivieren.
Seitliches Laden von DLLs
Die zweite Batch-Datei nutzt einen Dienst namens „SessionEnv“, um eine nicht vorhandene Bibliothek zu laden und so eine schädliche DLL per Side-Loading zu installieren. Im Rahmen dieses Vorgangs wird eine DLL abgelegt, die als UNAPIMON-Malware identifiziert wurde.
Ein genauerer Blick auf die UNAPIMON-Malware
UNAPIMON ist eine DLL-Malware, die recht einfach aufgebaut ist, da sie weder gepackt noch verschleiert ist. Die Malware verfügt über verschiedene Techniken, die verhindern, dass untergeordnete Prozesse überwacht werden.
Beim Laden wird ein Ereignisobjekt zur Synchronisation erstellt und der Hooking-Thread gestartet. Es wird einen Hook mithilfe von Microsoft Detours installieren, einem Open-Source-Paket von Microsoft, das zur Überwachung und Instrumentierung von API-Aufrufen auf Windows-Geräten dient. Dadurch werden Aufrufe aus einem Prozess, in dem die DLL geladen ist, an den Hook umgeleitet; ihr Hauptzweck besteht somit darin, kritische API-Funktionen in untergeordneten Prozessen zu enthaken.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Angreifer ist bereits seit langer Zeit aktiv und konnte seinen Erfolg vor allem dank seiner Fähigkeit, seine TTPs weiterzuentwickeln, aufrechterhalten.
Wie dieser jüngste Angriff zeigt, können einfache Techniken für Angreifer unglaublich erfolgreich sein, während es den Verteidigern gleichzeitig erschwert wird, diese zu erkennen.
Viele Angreifer verfolgen mittlerweile diese „Zurück zu den Grundlagen“-Strategie, da sie sich als wirksam erwiesen hat.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
