Als Erstes in unserem Wochenüberblick befasst sich CTI mit einer neuen Linux-Malware-Kampagne, die auf falsch konfigurierte Server abzielt, auf denen Apache Hadoop YARN, Docker, Confluence und Redis ausgeführt werden. Anschließend erläutert CTI, wie Ransomware-Angreifer bei ihren Angriffen auf eine immer umfangreichere Palette von Tools zur Datenexfiltration zurückgreifen. Abschließend fasst CTI die wichtigsten Erkenntnisse zu Cloud-bezogenen Bedrohungen aus dem Bericht „ 2023“ zusammen.
1. Linux-Malware-Kampagne zielt auf falsch konfigurierte Server ab
Es wurde eine neue Linux-Malware-Kampagne namens „ “ ( ) entdeckt, die auf falsch konfigurierte Server abzielt, auf denen Apache Hadoop YARN, Docker, Confluence und Redis ausgeführt werden. Die Kampagne nutzt bisher nicht gemeldete Payloads und macht sich dabei gängige Fehlkonfigurationen sowie eine Confluence-CVE zunutze, um Angriffe zur Remote-Code-Ausführung (RCE) durchzuführen.
Cado entdeckte diese Kampagne, nachdem das Unternehmen eine Häufung von Aktivitäten im Zusammenhang mit dem ersten Zugriff auf einem Honeypot für die Docker-Engine-API festgestellt hatte. Im Rahmen dieser Aktivität wurde ein Docker-Befehl ausgeführt, der einen neuen Container auf Basis von Alpine Linux startete und innerhalb des Containers eine Bind-Einbindung für das Stammverzeichnis des Honeypots erstellte.
Im Rahmen dieser Kampagne erstellte der Angreifer eine ausführbare Datei unter „/usr/bin/vurl“ und richtete einen Cron-Job ein, um bestimmte verschlüsselte Shell-Befehle zu entschlüsseln und auszuführen. Zur Absicherung erstellte der Angreifer einen zusätzlichen Cron-Job, um eine weitere Payload abzurufen, falls die erste Methode fehlschlagen sollte. Den Forschern gelang es nicht, diese zusätzliche Nutzlast zu erhalten.
Die Hauptnutzlast
Die Hauptnutzlast dieser Kampagne ist ein einfaches Shell-Skript. Zunächst wird die C2 -Domäne definiert, in der die zusätzlichen Nutzdaten gespeichert sind. Anschließend wird geprüft, ob das Dienstprogramm „chattr“ vorhanden ist, und falls ja, wird es in „zzhcht“ umbenannt. Sollte dieses Dienstprogramm nicht gefunden werden, wird es installiert. Abschließend prüft dieses Shell-Skript, ob der aktuelle Benutzer Root-Rechte besitzt, und wählt anhand dieses Ergebnisses die nächste Payload aus.
Weitere Skripte
- Ar.sh: Dieses Shell-Skript bereitet den Rechner auf eine weitere Kompromittierung vor, indem es Maßnahmen zur Verhinderung forensischer Untersuchungen durchführt und zusätzliche Payloads abruft. Dieses Skript deaktiviert „firewalld“ und „
iptables“, löscht den Shell-Verlauf, deaktiviert SELinux und fügt öffentliche DNS-Server zur Datei /etc/resolv.conf hinzu, um sicherzustellen, dass die ausgehenden DNS-Anfragen erfolgreich sind. Das Skript verwendet zudem „shopt“, um zu verhindern, dass Shell-Befehle in die Verlaufsdatei aufgenommen werden, und um die Analyse zu erschweren. Anschließend installiert das Skript Rootkits, um deren Prozesse zu verbergen, und deinstalliert die Überwachungsagenten für Alibaba Cloud und Tencent.
Weitere Informationen zu diesem Skript finden Sie unter sowie im Bericht von Cado Security mit dem Titel „“.
- Fkohts: Dies ist die erste von mehreren „ “-ELF-Dateien in Go, , die von der Malware bereitgestellt werden. Dadurch werden Docker-Images gesucht und gelöscht sowie die Datei „/etc/hosts“ aktualisiert.
- S.sh: Dies ist die nächste Stufe in der Infektionskette und ein weiteres Shell-Skript. S.sh lädt zusätzliche Payloads herunter und speichert diese dauerhaft auf dem Host.
- Die Dienstprogramme für den Erstzugriff und die Verteilung – h.sh, d.sh, c.sh und w.sh – wurden alle bereits in der vorherigen Phase abgerufen. Diese ausführbaren Dateien erkennen und nutzen Schwachstellen auf Hosts aus, auf denen jeweils Apache Hadoop, Docker, Redis und Confluence ausgeführt werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Cado Security hervorhebt, ist es offensichtlich, dass „Angreifer viel Zeit darauf verwenden, sich einen Überblick über die Arten von internetbasierten Diensten zu verschaffen, die in Cloud-Umgebungen eingesetzt werden, sich über gemeldete Sicherheitslücken in diesen Diensten auf dem Laufenden zu halten und dieses Wissen zu nutzen, um in den Zielumgebungen Fuß zu fassen.“
Dies verdeutlicht wirklich, wie viel Zeit Angreifer bereit sind zu investieren, um sicherzustellen, dass ihre Kampagnen so erfolgreich wie möglich sind. Darüber hinaus wird erneut betont, dass, wenn Angreifer die gemeldeten Sicherheitslücken genau im Auge behalten und sich stets über die neuesten Technologien auf dem Laufenden halten, dies auch für uns alle gelten sollte.
2. Ransomware-Angreifer erweitern ihr Spektrum an Tools zur Datenexfiltration
Ransomware-Angreifer nutzen bei ihren Angriffen eine immer länger werdende Liste von Tools zur Datenexfiltration aus dem „ “ (wird in einem neuen Tab geöffnet) . Allein in den letzten drei Monaten hat Symantec festgestellt, dass mindestens ein Dutzend verschiedener Tools zur Datenexfiltration eingesetzt wurden. Zu diesen Tools gehört zwar auch einige Malware, jedoch handelt es sich überwiegend um legitime Software mit doppeltem Verwendungszweck, die für böswillige Aktivitäten genutzt wird.
Ein genauerer Blick auf die Tools zur Datenexfiltration
Von den zwölf von Symantec beobachteten Tools ist Rclone nach wie vor das am häufigsten verwendete Tool zur Datenexfiltration. Die insgesamt am schnellsten wachsende Kategorie sind – wenig überraschend – Fernwartungstools.
- Rclone: Hierbei handelt es sich um ein Open-Source-Tool, das zur Verwaltung von Inhalten in der Cloud dient. Es wird von Angreifern missbraucht, um Daten zu entwenden.
- AnyDesk, ScreenConnect, Atera und TightNVC: Hierbei handelt es sich um legitime Fernzugriffs- und Fernüberwachungstools, die dazu genutzt werden können, Zugriff auf den Computer eines Opfers zu erlangen.
- RDP: Dieses Protokoll ermöglicht es einem Computer, ein anderes Gerät zu steuern. Angreifer versuchen häufig, diese Funktion zu aktivieren, um Tools nutzen zu können, die das RDP-Protokoll verwenden.
- Cobalt Strike: Hierbei handelt es sich um ein weit verbreitetes, handelsübliches Tool, mit dem „Befehle ausgeführt, andere Prozesse injiziert, die Berechtigungen aktueller Prozesse erweitert oder andere Prozesse imitiert sowie Dateien hoch- und heruntergeladen werden können“.
- WinRAR: Dieser Archivierungsmanager dient zum Archivieren bzw. Komprimieren von Dateien und kann von einem Angreifer genutzt werden, um Dateien für die Exfiltration vorzubereiten.
- Restic: Hierbei handelt es sich um ein Open-Source-Backup-Tool für die Befehlszeile. Es ist für den Einsatz auf verschiedenen Plattformen ausgelegt und unterstützt Speicher-Backends wie lokale Verzeichnisse, Amazon S3 und Azure.
- WinSCP: Hierbei handelt es sich um einen seriösen SFTP- und FTP-Client für Windows.
- Pandora RC: Pandora RC, früher bekannt als eHorus, ist ein seriöses Fernzugriffstool. Es verfügt über Agenten für Windows, Linux und Mac und wird von Angreifern genutzt, um weitere Tools zu installieren.
- Chisel: Chisel ist ein Open-Source-Proxy-Tool, das verschlüsselte Tunnelverbindungen herstellt. Bei Ransomware-Angriffen wird diese Schwachstelle ausgenutzt, um solche Tunnel zur Infrastruktur eines Angreifers herzustellen und Daten zu entwenden.
Fallstudie: Rclone
Symantec hat einen RagnarLocker-Ransomware-Angriff untersucht, bei dem Rclone zum Einsatz kam – ein Tool, das Angreifer häufig nutzen, um Daten aus der Umgebung eines Opfers zu entwenden. In der Regel wird es vom Angreifer nach dem Erlangen des ersten Zugriffs installiert. Da es so häufig verwendet wird, haben Angreifer begonnen, den Namen von Rclone so zu ändern, dass er wie etwas anderes erscheint, beispielsweise wie „svchost.exe“.
Ein Beispiel hierfür war ein RagnarLocker-Angriff im vergangenen Jahr. Dieser Angriff löste eine Untersuchung aus, nachdem PowerShell-Befehle ausgeführt worden waren, um die LSA-Schutzmaßnahmen zu deaktivieren. Anschließend führte der Schauspieler „netscan.exe“ aus, ein weiteres öffentlich zugängliches Tool, um Hostnamen und andere Netzwerkdienste zu ermitteln.
Nach dem Einsatz von Mimikatz und LaZagne zum Auslesen von Anmeldedaten nutzte der Angreifer mehrere „Living-off-the-Land“-Tools (LotL), um Informationen zu sammeln und Befehle auszuführen, und aktivierte RDP für den Fernzugriff. Anschließend griffen die Beteiligten auf Rclone zurück, um Daten aus Netzwerkfreigaben zu kopieren. Es wurden Rclone-Verbindungen zu verschiedenen put[.]io-URLs hergestellt, um Daten zu exfiltrieren. Der Angriff endete mit dem Einsatz der Ransomware „RagarLocker“ und der Verschlüsselung von Dateien.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Angreifer nutzen bei ihren Angriffen zunehmend legitime Tools, um einer Entdeckung zu entgehen. Als die Branche diesen Trend erkannte, änderten die Angreifer erneut ihre Strategie und begannen, weniger bekannte (oder in den Medien weniger beachtete) Tools zu verwenden oder die Namen der eingesetzten Tools zu ändern.
Es kann eine Herausforderung sein, die Nutzung legitimer Tools zu überwachen und Fälle zu identifizieren, in denen diese in böswilliger Absicht eingesetzt werden. Symantec hat einige Maßnahmen zur Eindämmung von „ “ bereitgestellt: (wird in einem neuen Tab geöffnet) , die möglicherweise hilfreich sein könnten.
3. Cado veröffentlicht seinen Bericht mit den wichtigsten Erkenntnissen zu Cloud-Bedrohungen für das Jahr 2H23
Cado Security hat seinen Bericht „ : Cloud Threat Findings“ ( ) für das zweite Halbjahr 2023 veröffentlicht. Der Bericht soll Sicherheitsteams dabei unterstützen, sich vor auf die Cloud ausgerichteten Angreifern zu schützen, und befasst sich eingehend mit mehreren Cloud-basierten Malware-Kampagnen.
Cado Security verknüpft zudem die aus seiner Honeypot-Infrastruktur gesammelten Daten mit seinen technischen Erkenntnissen, um die aktuellen, auf die Cloud ausgerichteten Bedrohungen darzustellen.
Angreifer verfügen über fundierte Kenntnisse über Cloud-Dienste
Den Daten von Cado Security zufolge verfügen Angreifer mittlerweile über fundierte Kenntnisse über Cloud-Dienste wie Docker, Redis und Jupyter. Cado Security stellte fest, dass Docker-spezifisches Wissen gegen den eigenen Honeypot eingesetzt wurde, und identifizierte Angreifer, die versuchten, aus den erstellten Containern zu entkommen, indem sie das Dateisystem des Hosts einbunden. Ebenso stellten sie fest, dass Angreifer Redis ausnutzen und missbrauchen.
Docker ist nach wie vor ein lukratives Ziel
Docker blieb im Jahr 2023 der am häufigsten angegriffene Dienst für den Erstzugang und machte rund 90 % des Honeypot-Datenverkehrs von Cado Security aus (ohne Berücksichtigung von SSH).
K8s belegte den zweiten Platz und erreichte dabei lediglich 7,61 %. Cado Security beobachtete im Laufe des Jahres mehrere lang andauernde, auf Docker ausgerichtete Kampagnen, darunter zwei, bei denen exponierte Docker-API-Endpunkte missbraucht wurden, um schädlichen Code auszuführen.
Weitere Erkenntnisse aus dem Bericht von Cado
Cado Security stellte fest, dass Angreifer weiterhin öffentlich zugängliche Dienste in Cloud-Umgebungen wie Docker, Redis, Kubernetes und Jupyter ausnutzen.
Darüber hinaus war bei den meisten Cloud- und Linux-Kampagnen die missbräuchliche Nutzung von Ressourcen zum Schürfen von Kryptowährungen im Spiel. Cryptojacking steht jedoch nicht mehr im Mittelpunkt der Aktivitäten von Angreifern im Cloud-Bereich. Zudem werden mittlerweile auch verschiedene Cloud-basierte SMTP-Dienste (Simple Mail Transfer Protocol) missbraucht, um Spam-Angriffe in großem Umfang durchzuführen.
Schließlich hat Cado einen Trend beobachtet, über den bereits viele andere berichtet haben: die Zunahme von Malware in Rust und Golang, die es Entwicklern ermöglicht, ihren Code für mehr als ein Betriebssystem zu kompilieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Berichte von Cado gewinnen zunehmend an Bedeutung, da immer mehr Unternehmen Cloud-Technologien einsetzen.
Eine der wichtigsten Erkenntnisse dieses Berichts ist, dass Angreifer „zunehmend Dienste wie Docker, Redis, Kubernetes und Jupyter ins Visier nehmen, deren Ausnutzung spezielles technisches Fachwissen erfordert – im Gegensatz zu dem, was für Angriffe auf allgemeine Linux-Server erforderlich ist.“
Schon diese Erkenntnis allein zeigt, wie raffiniert die Angreifer mittlerweile vorgehen. Dies deutet zudem darauf hin, dass Angreifer wahrscheinlich viel Zeit darauf verwenden, die erforderlichen Fähigkeiten zu erlernen und zu entwickeln, um bestimmte Cloud-Dienste auszunutzen. Dennoch müssen Angreifer offenbar einen ROI darin sehen, Cloud-Dienste ins Visier zu nehmen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
