Diese Woche stellen wir eine aktuelle Studie vor, aus der hervorgeht, dass 87 % der Ransomware-Gruppen bösartige Makros ausnutzen. Diese Statistiken, die vor der Einführung der neuen Richtlinie von Microsoft zur Blockierung von Makros erhoben wurden, stehen im Gegensatz zu einem Bericht von Proofpoint, der aufzeigt, wie sich Phisher nach der Einführung dieser Richtlinie an die Maßnahmen von Microsoft anpassen. Darüber hinaus nutzen Angreifer mittlerweile die „Dark Utilities C2 “-As-a-Service-Plattform für ihre Malware-Kampagnen. Zudem nutzt die Ransomware „LockBit“ Windows Defender aus, um Cobalt Strike zu laden – ein weiteres Beispiel dafür, wie Cyberkriminelle zunehmend „Living-off-the-Land“-Techniken (LotL) einsetzen und vertrauenswürdige Tools sowie Cloud-Dienste missbrauchen, um Schadcode zu speichern und zu verbreiten.
1. Eine Studie zum Dark Web legt nahe, dass 87 % der Ransomware-Gruppen bösartige Makros ausnutzen
Das auf Maschinenidentitätsmanagement spezialisierte Unternehmen Venafi hat eine neue Studie veröffentlicht, aus der hervorgeht, dass 87 % der im Dark Web gefundenen Ransomware über bösartige Makros verbreitet wird, um die Zielsysteme zu infizieren.
Venafi gelangte zu dieser Schlussfolgerung im Rahmen einer gemeinsamen Studie mit dem Anbieter von kriminaltechnischen Informationen Forensic Pathways, die zwischen dem November 2021 und dem März 2022 durchgeführt wurde. Im Rahmen der Untersuchung wurden 35 Millionen URLs aus dem Dark Web analysiert, darunter auch solche, die zu Hacking-Marktplätzen und -Foren gehören. Die Forscher deckten 475 Webseiten auf, auf denen ausgefeilte Ransomware-Produkte und -Dienstleistungen beworben wurden, wobei mehrere namhafte Gruppen potenziellen Partnern aggressiv „Ransomware-as-a-Service“-Programme (RaaS) anpriesen.
Eine Dark-Web-Studie von @Venafi legt nahe, dass 87 % der Ransomware-Gruppen bösartige Makros ausnutzen. bit.ly/3bFBeUE
Wichtige Erkenntnisse
Microsoft hat damit begonnen, XL4 - und VBA-Makros für Office-Benutzer standardmäßig zu blockieren, und zwar in den Versionen Oktober 2021 sowie Februar 2022. (Nur wenige Wochen später folgte die Ankündigung des Software-Riesen, diese beliebte Richtlinie vorübergehend außer Kraft zu setzen, doch schon kurz darauf änderte Microsoft seinen Kurs erneut und führte die vielgelobte Richtlinie wieder ein.)
Angesichts des zeitlichen Zusammenfalls sowohl der Studie als auch der Maßnahmen von Microsoft zur Absicherung seiner Office-Produkte ist es kaum verwunderlich, dass die von den Forschern von Venafi hervorgehobene wichtigste Erkenntnis darin besteht, dass 87 % der im Dark Web gefundenen Ransomware Berichten zufolge mithilfe bösartiger Makros verbreitet wurde. Betrachtet man jedoch den Zeitraum, in dem Venafi seine Untersuchung durchführte, ist dies etwas weniger überraschend, da Microsoft seine neue Makrorichtlinie erst irgendwann zwischen April und Juni 2022 umsetzte – unmittelbar nachdem Venafi seine Studie abgeschlossen hatte. Selbst nachdem die Richtlinie vorübergehend deaktiviert worden war, hat Microsoft sie umgehend wieder eingeführt in Juli 2022.
Zwar mag die von Venafi genannte Zahl von „ “87 %“ auf den ersten Blick erschreckend erscheinen, doch sollte man bedenken, dass seit der Einführung der Makro-Sperrrichtlinie durch Microsoft die Anzahl der Kampagnen, die Container-Dateien wie ISO und RAR sowie Anhänge in Form von Windows-Verknüpfungen (LNK) um fast 175 % gestiegen ist. Dies geht aus einer Studie von Proofpoint mit dem Titel „ “ ( ) hervor, die untersucht, wie sich Phishing-Angreifer an eine „Post-Makro“-Welt angepasst haben. Hier ein Hinweis: Sie kommen damit sehr gut zurecht; sie nutzen Container-Dateien und andere Methoden, um den Sicherheitsmechanismus von Microsoft zur Blockierung von Makros zu umgehen.
Hier sind einige weitere wichtige Erkenntnisse aus der Studie von Venafi:
- In Marktplatzangeboten und Forumsdiskussionen wurden 30 verschiedene Ransomware-Varianten identifiziert.
- Zahlreiche der zum Verkauf stehenden Ransomware-Varianten – wie beispielsweise Babuk, GoldenEye, Darkside/BlackCat, Egregor, HiddenTear und WannaCry – wurden bereits erfolgreich bei vielbeachteten Angriffen eingesetzt.
- Ransomware-Varianten, die bei vielbeachteten Angriffen zum Einsatz kommen, erzielen höhere Preise für die damit verbundenen Dienstleistungen. So belief sich beispielsweise der höchste Angebotspreis auf 1 262 US-Dollar für eine maßgeschneiderte Version der Ransomware „Darkside“, die bei dem berüchtigten Ransomware-Angriff auf die Colonial Pipeline im Jahr 2021 zum Einsatz kam..
- Quellcode-Auszüge bekannter Ransomware erzielen in der Regel höhere Preise. Beispielsweise wird der Quellcode von Babuk für 950 US-Dollar angeboten, und der Quellcode von Paradise wird für 593 US-Dollar verkauft. Das ist interessant, da der Quellcode von Babuk bereits vor langer Zeit durchgesickert ist und seitdem in Dark-Web-Foren verfügbar ist.
Die Forscher deckten zudem eine Vielzahl von Diensten und Tools auf, die es auch unerfahrenen Angreifern erleichtern, ausgeklügelte Ransomware-Angriffe durchzuführen. Zu den Diensten mit den meisten Angeboten zählen solche, die Quellcode enthalten, Build-Dienste, maßgeschneiderte Entwicklungsdienstleistungen sowie Ransomware-Pakete mit Schritt-für-Schritt-Anleitungen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Diese Studie liefert einen Momentaufnahme eines Zeitraums, in dem Makros für eine überwältigende Zahl von Ransomware-Angriffen das Mittel der Wahl waren.“ Welcher konkrete Auslöser Microsoft dazu veranlasst hat, eine Richtlinie zur standardmäßigen Blockierung von Makros einzuführen, ist unklar – insbesondere angesichts der Tatsache, dass Phishing seit Jahren der häufigste Erstinfektionsweg ist und unzählige Phishing-Kampagnen missbräuchlich manipulierte Microsoft-Dokumente mit schädlichen Makros nutzen.
„Ungeachtet der Gründe für den Zeitpunkt dieser Maßnahme verdient Microsoft jedoch Anerkennung dafür, dass es einen proaktiven Schritt unternommen hat, um die Angriffsfläche in Unternehmen weltweit erheblich zu verringern.“
2. Angreifer nutzen die Plattform „Dark Utilities ‘C2aaS’ “ für Malware-Kampagnen, die auf Windows- und Linux-Systeme abzielen
Ein aktueller Bericht des Cisco Talos Intelligence-Teams analysiert die neue „ “-Plattform „Dark Utilities“ ( ), die Angreifern umfassende Command-and-Control-Funktionen (C2) zur Verfügung stellt.
Seit der ersten Veröffentlichung Anfang 2022 haben Forscher Malware-Beispiele in freier Wildbahn beobachtet, die diese Plattform nutzen, um den Fernzugriff zu ermöglichen.
Kürzlich ist eine neue „ C2 “-Plattform namens „“ #DarkUtilities aufgetaucht, und Angreifer haben keine Zeit verloren, diese für ihre #Malware -Kampagnen zu nutzen. Hier finden Sie alles, was wir über diesen „C2aaS“ wissen: cs.co/6012z4Pns
Was ist „Dark Utilities“?
„Dark Utilities“ ist eine neue C2 -Plattform, die erstmals Anfang 2022 beobachtet wurde und eine Vielzahl von Diensten anbietet, darunter Fernzugriff auf Systeme, DDoS-Funktionen und das Schürfen von Kryptowährungen.
Die Plattform C2-as-a-service (C2aaS) stellt Angreifern eine Reihe von Payloads zur Verfügung, die auf den Systemen der Opfer ausgeführt werden können, wodurch der Angreifer sich bei dem Dienst registrieren und einen C2 -Kanal einrichten kann.
Dark Utilities unterstützt derzeit Windows, Linux und Python-basierte Payloads, was es Angreifern noch leichter macht, mehrere Plattformen ins Visier zu nehmen. Dies steht zudem im Einklang mit aktuellen Forschungsergebnissen, die zeigen, dass vielseitigere Malware-Plattformen (die mehrere Betriebssysteme angreifen können) für Angreifer attraktiver sind und auf Dark-Web-Marktplätzen erfolgreicher sind.
Derzeit sind auf der Plattform etwa 3 000 Nutzer registriert, die für den Zugriff auf die Plattform, die Nutzdaten und die API-Endpunkte 9,99 € (10,21 $) entrichten. Der Betreiber der Plattform hat zudem Discord- und Telegram-Communities eingerichtet, um seinen Kunden technischen Support und Unterstützung zu bieten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Der niedrige Preis dieser C2 -Plattform in Verbindung mit ihrer großen Funktionsvielfalt macht Dark Utilities für Angreifer, die nach einer einfachen Möglichkeit suchen, Cyberkriminalität jeglicher Art zu begehen, äußerst attraktiv.“
Wir können bereits erkennen, wie gut dieser Kurs C2aaS angenommen wird, da sich innerhalb weniger Monate bereits 3 000 Teilnehmer dafür angemeldet haben. Noch bemerkenswerter ist die Nutzung des InterPlanetary File System (IPFS) durch die Plattform zur Bereitstellung ihrer schädlichen Payloads. Wie CTI bereits berichtet hat, nutzen Angreifer aufgrund der dezentralen, Peer-to-Peer-basierten (P2P) verteilten Speichermöglichkeiten von IPFS zunehmend IPFS-URLs und die dazugehörige Infrastruktur, um Schadcode zu hosten. IPFS erleichtert das Speichern und Weitergeben schädlicher Inhalte und ist aufgrund seiner Struktur äußerst widerstandsfähig gegenüber Eingriffen durch Strafverfolgungsbehörden.
„CTI geht davon aus, dass IPFS-bezogene URLs von Cyberkriminellen weiterhin in zunehmendem Maße genutzt werden.“
3. Die Ransomware „LockBit“ missbraucht Windows Defender, um Cobalt Strike zu laden
Neue Untersuchungen von SentinelOne zeigen, dass die „ “-Operation „LockBit 3,0 “ ( ) das Windows Defender-Befehlszeilentool missbraucht, um schädliche DLL-Dateien seitlich zu laden, die Cobalt Strike-Beacons auf kompromittierten Systemen entschlüsseln und installieren.
Die Ransomware „LockBit 3,0 “, die auch als „“, „LockBit Black“ oder „“ bezeichnet wird, ist eine Weiterentwicklung des „LockBit“-Ransomware-as-a-Service-Modells (RaaS). LockBit 3,0 wurde angeblich um den Juni 2022 herum entwickelt, nachdem kritische Fehler in der Version 2,0 von LockBit entdeckt worden waren.
Die neue Version enthält mehrere neue Funktionen und Verbesserungen:
- Um die Ausfallsicherheit zu verbessern, sind die Betreiber entschlossen vorgegangen, indem sie mehrere Spiegel-Server für ihre durchgesickerten Daten eingerichtet und die URLs der Websites veröffentlicht haben. Die Gruppe hat zudem ihre Leak-Website um eine Sofort-Suchfunktion erweitert (ein Trend, über den CTI bereits berichtet und dessen rasante Verbreitung unter Erpressungs- und Ransomware-Gruppen vorhergesagt hatte – was sich auch bestätigt hat).
- Für die Partner des RaaS wurden neue Verwaltungsfunktionen eingeführt.
- Neben Monero und Bitcoin wurde nun auch Zcash für Zahlungen an Geschädigte hinzugefügt.
- Die Persistenz wird durch die Installation von Systemdiensten gewährleistet. Bei jeder Ausführung der Nutzlast werden mehrere Dienste installiert.
- Es schreibt eine Kopie von sich selbst in das Verzeichnis „%programdata%“ und wird von diesem Prozess aus gestartet.
- Neue Techniken zur Verhinderung von Analysen, darunter Code-Packing, Verschleierung und dynamische Auflösung von Funktionsadressen, Funktionstrampoline sowie Debugging-Techniken.
Nun hat SentinelOne festgestellt, dass LockBit ein legitimes Tool, nämlich Windows Defender, nutzt, um Cobalt-Strike-Beacons zu laden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es ist unklar, warum LockBit nun auf Windows Defender zurückgreift, um Cobalt-Strike-Beacons per Side-Loading zu installieren, doch höchstwahrscheinlich handelt es sich dabei um einen Versuch, gängige Sicherheitslösungen zu umgehen. Für Unternehmen ist es wichtig zu wissen, dass Angreifer legitime Tools nutzen (und bereits genutzt haben), um das Laden von Cobalt-Strike-Beacons zu erleichtern, und dies ist ein Trend, dessen Zunahme CTI in letzter Zeit beobachtet hat. Auch wenn dies nicht direkt mit diesem Fall in Zusammenhang steht, nutzen andere Angreifer zunehmend öffentlich zugängliche, vertrauenswürdige Cloud-Ressourcen, um Malware zu speichern und zu verbreiten – ein weiteres bemerkenswertes Beispiel. Unternehmen müssen Änderungen an ihren kritischen Sicherheitstools überwachen und vermeiden, verdächtige Aktivitäten, die von legitimen Tools ausgehen, zu übersehen, nur weil das Tool als vertrauenswürdig gilt. Das Gleiche gilt für die bewährten Cloud-Dienste, auf die sich Unternehmen zur Unterstützung ihres täglichen Betriebs verlassen.“
Spüren Sie Cyberbedrohungen mit Tanium auf
Hacker arbeiten unermüdlich daran, ausgeklügelte, gezielte Angriffe auf Unternehmen aller Branchen zu starten. Unternehmen müssen in die Offensive gehen und Bedrohungen aufspüren, bevor diese den Geschäftsbetrieb beeinträchtigen.
Unsere Plattform „Converged Endpoint Management“ (XEM) erleichtert dies durch die Bereitstellung fortschrittlicher Funktionen zur Bedrohungssuche. Um unsere Plattform in Aktion zu erleben, probieren Sie sie noch heute aus.
