Im Roundup dieser Woche beginnt CTI mit einer Untersuchung zur Entdeckung von sechs schädlichen Paketen im Python Package Index (PyPI). Als Nächstes befassen wir uns eingehend mit den jüngsten Berichten über das „wormable“ Malware-Framework „Raspberry Robin“, das erhebliche Funktionsverbesserungen aufweist und offenbar einem neuen Angriffsmuster folgt, wie die Angriffe auf Finanz- und Versicherungsinstitute in Europa belegen. Der „Roundup“ schließt mit einer Analyse von CTI zu einem kürzlich erfolgten IcedID-Malware-Angriff, bei dem es dem Angreifer gelang, weniger als 24 Stunden nach Erlangung des ersten Zugriffs die Kontrolle über Active Directory und die Domäne zu erlangen.
1. Schädliche PyPI-Pakete nutzen Cloudflare-Tunnel, um Firewalls zu umgehen
Phylum hat sechs schädliche „ “-Pakete im Python Package Index (PyPI) entdeckt, der das offizielle Repository für Python-Software von Drittanbietern ist. Es stellte sich heraus, dass die Pakete einen Fernzugriffstrojaner (RAT) sowie Malware zum Diebstahl von Daten installierten und gleichzeitig Cloudflare Tunnel nutzten, um Firewall-Einschränkungen für den Fernzugriff zu umgehen.
Wie sich die Entdeckung vollzog
Phylum hat erstmals ein Paket namens „pyrologin“ auf 22. Dezember 2022 gemeldet. Auf den ersten Blick schien es sich bei diesem Paket um gewöhnliche Python-Malware zu handeln, abgesehen vom Abruf einer ZIP-Datei und einiger Zeichenfolgen, die PowerShell-Code enthielten. Anschließend entdeckten sie auf 28. Dezember ein ähnliches Schadprogramm namens „easytimestamp“. Am nächsten Tag wurden „discorder“ und „discord-dev“ entdeckt, die wiederum Ähnlichkeiten mit dem ursprünglichen „pyrologin“ aufwiesen. Und schließlich entdeckten Forscher auf 31. Dezember die Dateien „style[.]py“ und „pythonstyles“ – beide ähnelten den ursprünglichen Funden.
Die Entdeckung dieses und vieler ähnlicher schädlicher Pakete lässt darauf schließen, dass es sich hierbei nicht um eine einmalige Veröffentlichung handelte, sondern vielmehr um Teil eines größeren Angriffs.
Die sechs von Phylum entdeckten schädlichen Pakete wurden mehrfach heruntergeladen und inzwischen aus PyPI entfernt:
- pyrologin – 165 Downloads
- easytimestamp – 141 Downloads
- discorder – 83 Downloads
- discord-dev – 228 Downloads
- style.py – 193 Downloads
- pythonstyles – 130 Downloads
Die Installation eines dieser schädlichen Pakete kann zu folgenden Szenarien führen:
- Die Weitergabe vertraulicher Informationen
- Festgestellte Persistenz
- Installation eines Keyloggers
- Einrichtung eines Cloudflare-Tunnels
- Starten einer Flask-App, auf die der Angreifer über den oben genannten Tunnel zugreift
Warum dies für Sie von Bedeutung ist
Laut Phylum gleicht diese Malware „einer RAT auf Steroiden“. Es umfasst grundlegende RAT-Funktionen , die in eine Web-GUI integriert sind, sowie eine Remote-Desktop-Funktion und einen Stealer.
Selbst wenn es einem Angreifer also nicht gelingt, eine dauerhafte Präsenz aufzubauen oder ein Remote-Desktop-Tool zum Laufen zu bringen, wird der Stealer-Teil die gefundenen Daten dennoch abziehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Erkenntnisse von Phylum sind ein weiteres Beispiel dafür, wie Angreifer Open-Source-Paket-Repositorys ins Visier nehmen, um Angriffe im Stil von Lieferkettenangriffen durchzuführen – ein Trend, der sich voraussichtlich auch in Zukunft fortsetzen wird.“
„Was diesen Fall im Vergleich zu einigen der zuvor identifizierten bösartigen Open-Source-Pakete besonders einzigartig macht, ist die Nutzung der legitimen Cloudflare-Tunnel-Software für den Fernzugriff auf den kompromittierten Rechner. Mit Cloudflare Tunnel können Sie den Datenverkehr zu jeder Art von Infrastruktur ohne öffentlich routbare IP-Adresse sichern und verschlüsseln und Webserver über Cloudflare öffentlich zugänglich machen, ohne Firewalls konfigurieren zu müssen.“
2. Die neue Malware „Raspberry Robin“ zielt auf Finanzinstitute in Portugal und Spanien ab
Hacker nutzen derzeit das automatisierte, „wormfähige“ Malware-Framework namens „Raspberry Robin“, um spanische und portugiesische Finanz- und Versicherungsinstitute anzugreifen.
Dieser Wurm fungiert als Loader für andere Malware und verbreitet sich auf andere Geräte innerhalb der Netzwerke der Opfer. Laut Security Joes ist Raspberry Robin ein „, ein gut durchdachtes, automatisiertes Framework“, das „Angreifern nach der Infektion die Möglichkeit bietet, der Erkennung zu entgehen, sich lateral zu bewegen und vertrauenswürdige Cloud-Infrastrukturen bekannter Datenhosting-Anbieter wie Discord, Azure und GitHub zu nutzen...“
Ein Rückblick auf „Raspberry Robin“
CTI verfolgt „Raspberry Robin“ bereits seit dem Juli 2022. Unsere Untersuchungen führten uns zu einer gründlichen -Analyse der Malware von Red Canary, die den damit verbundenen Cluster bösartiger Aktivitäten erstmals unter September 2021 beobachtet hatte.
Damals wurde die Schadsoftware als Wurm beschrieben, der häufig über einen USB-Stick installiert wird. Zu den Opfern zählten Organisationen mit Verbindungen zur Technologie- und Fertigungsbranche. Im selben Monat brachte Microsoft „Raspberry Robin“ mit dem berüchtigten russischen Cyberkriminalitätssyndikat „Evil Corp.“ in Verbindung.
Das Neueste zu „Raspberry Robin“
Laut „The Record“ infiziert „ “ Raspberry Robin nach wie vor Computer über kompromittierte USB-Geräte, sodass sich hinsichtlich des ursprünglichen Angriffsvektors des Frameworks nicht viel geändert hat. Security Joes berichtet jedoch, dass die neueste Variante der Malware komplexer ist als frühere Versionen, was es ihren Betreibern ermöglicht, wesentlich mehr Daten von ihren Zielen zu sammeln.
Die Forscher von Security Joes führen weiter aus, dass die Einzigartigkeit von „Raspberry Robin“ in seiner starken Verschleierung und der Schwierigkeit liegt, die Malware statisch zu disassemblieren.
„Es scheint, als hätten die Entwickler viel Zeit darauf verwendet, Schutzmaßnahmen in ihren Code einzubauen, um Sicherheitstools und den neugierigen Blicken von Malware-Analysten zu entgehen“, heißt es in dem Bericht.
Die Entwickler haben offenbar zudem eine weitere Verschlüsselungsebene hinzugefügt, sodass die Daten der Opfer nicht mehr im Klartext einsehbar sind, sondern mit der RC4 -Verschlüsselung verschlüsselt werden. Die oben genannten Forscher ließen sich jedoch nicht beirren, und in den beiden Fällen, auf die sie diesen Monat reagierten, gelang es den unerschrockenen Analysten, „den Downloader von seinem übergeordneten Wrapper zu trennen und die Malware aufzudecken, die auf das zuvor erwähnte Raspberry-Robin-Framework hinwies“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Der Raspberry-Robin-Wurm ist ein aktiver Bestandteil eines komplexen Malware-Ökosystems, und die Liste seiner Opfer wird immer vielfältiger. „Das Framework wurde genutzt, um Organisationen auf der ganzen Welt ins Visier zu nehmen, und ermöglichte so das Eindringen in Netzwerke von Einrichtungen mit Verbindungen zu den Bereichen Technologie, Fertigung, Telekommunikation, Regierung sowie mittlerweile auch Finanzwesen und Versicherungswesen.“
„Nach Angaben von Microsoft erhielten allein im Rahmen der Initiative „ Oktober 2022 “ fast 3 000 Geräte in fast 1 000 Organisationen mindestens eine Warnmeldung im Zusammenhang mit der „Raspberry Robin“-Payload.“ Berücksichtigt man all dies – sowie die Tatsache, dass es sich offenbar in ständiger Weiterentwicklung befindet und regelmäßig aktualisiert wird –, ist Raspberry Robin eindeutig zu einer Bedrohung von Weltklasse geworden. “
„Obwohl ‚Raspberry Robin‘ bei seiner Entdeckung zunächst keinen Zweck zu haben schien, hat es sich weiterentwickelt und ist nun auf dem Weg, in Umgebungen, in denen es noch installiert ist, potenziell verheerende Auswirkungen zu verursachen“, heißt es in einem Bericht der Microsoft Security Threat Intelligence mit dem Titel „ “ vom . Oktober.
„Die Entwicklung von Raspberry Robin wird höchstwahrscheinlich bis weit ins Jahr 2023 hinein andauern, und das Framework wird zweifellos dazu beitragen, die weitere Verbreitung von Malware und die Aktivitäten im Bereich der Cyberkriminalität zu erleichtern.“
3. Die Malware „IcedID“ schlägt erneut zu: Active-Directory-Domäne in weniger als 24 Stunden kompromittiert
Die IcedID-Malware, die manchmal auch als BokBot bezeichnet wird, ist bereits seit unter least 2017 bekannt. Er ist seit langem als Banking-Trojaner bekannt, der dazu dient, Finanzdaten seiner Opfer zu stehlen. In jüngster Zeit wird IcedID als Dropper für andere Malware-Familien sowie als Werkzeug für Initial-Access-Broker genutzt.
Eine aktuelle Bedrohungsanalyse von Cybereason unter dem Titel „ “ () befasst sich eingehend mit einem IcedID-Malware-Angriff, der es dem Angreifer ermöglichte, die Active-Directory-Domäne seines Ziels in weniger als 24 Stunden nach Erlangung des ersten Zugriffs zu kompromittieren.
Details zum Angriff
Der Bericht von Cybereason schlüsselt die Infektionsmethoden auf, die auf dem „Patient-Zero“-Rechner zum Einsatz kamen, den die Angreifer als Sprungbrett für den weiteren Verlauf des Angriffs nutzten.
Im Wesentlichen öffnet das Opfer ein Archiv, klickt auf eine ISO-Datei, wodurch ein virtuelles Laufwerk erstellt wird, klickt auf eine LNK-Datei, wodurch eine DLL abgelegt wird, die DLL stellt Verbindungen zu IcedID-Domains her, und die IcedID-Nutzlast wird in den Prozess geladen.
Bisher beobachtete IcedID-Infektionen beginnen damit, dass das Opfer eine passwortgeschützte ZIP-Datei öffnet, die eine ISO-Datei enthält. Wenn Sie auf die Datei doppelklicken, werden die ISO-Dateien automatisch als schreibgeschütztes Verzeichnis eingebunden, das einen versteckten Ordner und eine LNK-Datei enthält. Dieser versteckte Ordner enthält eine verschleierte Batch-Datei und eine DLL-Nutzlast.
Wenn Sie auf die Verknüpfung oder die LNK-Datei klicken, wird die im versteckten Verzeichnis enthaltene Batch-Datei ausgeführt. Die Batch-Datei ruft eine ausführbare Datei auf, um die DLL in das temporäre Verzeichnis zu kopieren und dort abzulegen, wo sie anschließend ausgeführt wird.
Technische Details
bei der lateralen Bewegung: Der Angreifer scheint bei der lateralen Bewegung einem Standardverfahren zu folgen. Weniger als eine Stunde nach der ersten Infektion richtete es sich zunächst auf einen anderen Rechner aus und nutzte anschließend „ping[.]exe“, um festzustellen, ob der Host online war oder nicht. Mit „Wmic[.]exe“ wurde eine Remote-DLL auf der Workstation ausgeführt.
Nachdem sich der Angreifer auf dem Remote-Host etabliert hatte, führte er ein Cobalt-Strike-Beacon namens gv[.]dll aus. Dieser Vorgang wurde im gesamten Netzwerk fortgesetzt, wobei mithilfe von „ping[.]exe“ überprüft wurde, ob die Hosts online sind, eine laterale Bewegung über WMI erfolgte und Cobalt-Strike-Payloads ausgeführt wurden, um einen Fuß in die Systemumgebung zu gewinnen. Cybereason stellte fest, dass der Angreifer sich aufgrund kompromittierter Anmeldedaten mittels „Kerberoasting“ lateral auf einen internen Windows-Server bewegen konnte. Das Konto verfügte über Domänenadministratorrechte.
zur Persistenz: Der Angreifer übernahm eine „“-Technik aus dem Conti-, bei der das RMM-Tool „AteraAgent“ auf mehreren Rechnern installiert wird. Atera ist ein legitimes Tool für die Fernverwaltung, das von der Conti-Bande genutzt wurde, um sich wieder dauerhaften Zugriff auf infizierte Umgebungen zu verschaffen und einer Entdeckung zu entgehen. Der Einsatz von Atera ermöglicht es dem Angreifer, sich eine zusätzliche Hintertür zu schaffen, falls seine ursprünglichen Mechanismen zur Aufrechterhaltung des Zugriffs entdeckt und/oder beseitigt werden sollten. Die bei der Installation des AteraAgent ausgeführten Befehlszeilen lassen einen Fehler des Angreifers erkennen – nämlich die falsche Schreibweise der Domain „outlook[.]it“.
zum Diebstahl von Anmeldedaten: Der erste Fall eines Diebstahls von Anmeldedaten ereignete sich bereits 15 Minuten nach der Erstinfektion durch „Kerberoasting“. Mithilfe von Kerberoasting wurden die Hashwerte der Dienstkonten in der Domäne abgerufen. Nachdem sich der Angreifer seitlich auf einen Dateiserver verschoben und über Dienste seine Berechtigungen erweitert hatte, führte er anschließend erfolgreich einen DCSync-Angriff durch – einen Angriff, der es dem Angreifer ermöglicht, sich als Domänencontroller auszugeben und Passwort-Hashes von anderen Domänencontrollern anzufordern. Dadurch gelang es dem Angreifer schließlich, die Domain zu kompromittieren.
Browser-Hooking: IcedID ist bereits dafür bekannt, sich in Browser wie Firefox oder Chrome einzuschleusen, um Zugangsdaten und Cookies zu stehlen. Sobald der Hauptbot geladen war, beobachteten die Forscher ein Hooking-Verhalten innerhalb von Chrome.
zur Erkundung: Bei dem Angriff wurden mehrere verschiedene Erkundungsbefehle genutzt, die im Rahmen des „SysInfo“-Moduls des IcedID-Bots ausgeführt wurden. Mit „Net[.]exe“ wurden Informationen zum Betriebssystem und zu Active Directory ermittelt, und mit „ping[.]exe“ wurde überprüft, ob Remote-Rechner online waren, um eine laterale Bewegung durchzuführen.
Der Angreifer nutzte zudem die Datei „nltest[.]exe“, um Active-Directory-Informationen zu extrahieren, sowie PowerShell, um nicht standardmäßige Freigaben im Netzwerk aufzuspüren. Abschließend wurde der Befehl „wuauclt.exe /detectnow“ ausgeführt, um zu prüfen, ob Updates und Patches fehlen.
Netzwerkscan: Das legitime Tool „netscan“ wurde zum Scannen des Netzwerks genutzt, wobei die Ergebnisse des Scans in eine lokale XML-Datei geschrieben wurden. Dies ist eine weitere Technik, die von Conti übernommen wurde.
Datenexfiltration: Es wurde beobachtet, dass der Angreifer umbenannte Kopien der beliebten Dateisynchronisierungssoftware „rclone“ verwendete, um Verzeichnisse zu verschlüsseln und mit dem Dateifreigabedienst „Mega“ zu synchronisieren. Rclone erfreut sich bei Angreifern zunehmender Beliebtheit; sogar LockBit nutzt es zur Datenexfiltration.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Tatsache, dass ein Angreifer das Active Directory innerhalb von 24 Stunden kompromittieren kann, ist zwar nicht völlig ungewöhnlich, macht jedoch deutlich, wie schnell Vorfälle eintreten können und wie wichtig es ist, rechtzeitig auf ungewöhnliche Netzwerkaktivitäten zu reagieren.“ Dieser Angriff verdeutlicht zudem erneut, wie häufig es vorkommt, dass Angreifer und Ransomware-Gruppen TTPs voneinander wiederverwenden bzw. austauschen (oder in manchen Fällen schlichtweg stehlen), wie die oben hervorgehobene Übernahme bekannter Conti-Techniken durch den Angreifer belegt.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
