CTI-Roundup: Medusa-Ransomware und eine gemeinsame Warnung zu Androxgh0st Malware

In der Zusammenfassung dieser Woche befasst sich CTI mit der jüngsten Zunahme der Aktivitäten der Ransomware „Medusa“ sowie mit den neuesten Taktiken dieser Gruppe. Anschließend erläutert CTI, inwiefern Infostealer zunehmend auf macOS abzielen. Abschließend gibt CTI einen Überblick über eine gemeinsame Cybersicherheitsempfehlung des Federal Bureau of Investigation (FBI) und der Cybersecurity and Infrastructure Security Agency (CISA), die veröffentlicht wurde, um bekannte Indikatoren für Kompromittierung (IOCs) und Taktiken, Techniken und Verfahren (TTPs) im Zusammenhang mit Bedrohungsakteuren zu verbreiten, die die Malware „ Androxgh0st “ einsetzen.

1. Die Ransomware „Medusa“ verlagert ihren Schwerpunkt auf Erpressung

Forscher von Palo Alto Networks haben eine Zunahme der Aktivitäten der Ransomware „ “ („Medusa“) festgestellt: (wird in einem neuen Tab geöffnet) sowie eine Änderung der Taktik dieser Gruppe.

Die Ransomware „Medusa“ verlagert ihren Schwerpunkt zunehmend auf Erpressung mithilfe ihrer „ “-Blogseite „Medusa“ unter (wird in einem neuen Tab geöffnet),und , über die die Gruppe gestohlene Daten veröffentlicht. Die auf mehrfacher Erpressung basierende Strategie dieser Operation bietet den Opfern mehrere Optionen zur Auswahl, wie beispielsweise eine Fristverlängerung, die Löschung der Daten oder den Download aller gestohlenen Daten, wobei für jede Option ein anderer Preis verlangt wird.

Ein genauerer Blick auf die Ransomware „Medusa“

Die Medusa-RaaS-Plattform entstand Ende 2022 , erlangte jedoch erst Anfang 2023 nennenswerte Bedeutung. Die Ransomware zielt auf Windows-Geräte ab und nutzt in der Regel anfällige Dienste aus, um legitime Konten zu kapern.

Die Ransomware nutzt „Living-off-the-Land“-Techniken, indem sie Software für böswillige Zwecke einsetzt, um sich in den normalen Datenverkehr einzufügen. Die Ransomware-Gruppe „Medusa“ hat im Jahr 2023 ihren „Medusa-Blog“ veröffentlicht, über den die Gruppe gestohlene Daten veröffentlicht.

Opfern der Medusa-Ransomware stehen beim Besuch des Medusa-Blogs mehrere Optionen zur Verfügung:

• Betroffene können eine Pauschalgebühr in Höhe von 10 000 Dollar für eine eintägige Fristverlängerung entrichten, um zu verhindern, dass die Daten auf dem Blog veröffentlicht werden.
• Sie können zudem die Löschung der Daten verlangen sowie den Download und die Einsicht in die gestohlenen Daten beantragen. Diese Optionen sind mit einer hohen Gebühr verbunden.

Ein kürzlich veröffentlichter Blogbeitrag enthielt ein Video, das Dateien einer kompromittierten Organisation zeigte. Das Video trug die Bildunterschrift „Medusa Media Team“, das nach Ansicht der Forscher ein Zweig der Organisation ist, der für den öffentlichen Auftritt zuständig ist.

Der Blog dient nicht nur als Plattform für Datenlecks und als Ort zur Veröffentlichung von Videos mit gestohlenen Daten, sondern enthält auch Links zu Telegram und X. Der Telegram-Link soll der „Informationsunterstützung“ dienen. Im Gegensatz dazu handelt es sich bei dem X-Link lediglich um eine Suchergebnisseite für „Medusa-Ransomware“.

Medusa-Viktimologie

Die Ransomware „Medusa“ zielt auf eine Reihe von Branchen ab und scheint dabei keine besonders gezielte Ausrichtung auf bestimmte Branchen zu verfolgen. Der am stärksten betroffene Sektor, nämlich die Technologiebranche, machte weniger als 10 der insgesamt 74 Angriffe der Gruppe aus.

Die Gruppe geht bei der geografischen Ausrichtung ihrer Angriffe gezielter vor. Medusa hat Organisationen in mehreren Ländern ins Visier genommen, wobei die USA das Hauptziel darstellten.

Ransomware-Binärdatei

Palo Alto entdeckte zudem ein wiederkehrendes Motiv in der Binärdatei von Medusa, nämlich die Verwendung und Einbindung des Begriffs „gaze“ im Debug-Pfad in PEStudio.

Aufgrund dieses Themas bezeichneten sie die Ransomware-Datei als „Gaze“. Die Ransomware kann mit 11 möglichen Argumenten ausgeführt werden und wurde seit ihrem ersten Auftreten im Jahr 2023 aktualisiert. Die Ransomware nutzt asymmetrische RSA-Verschlüsselung und fügt den verschlüsselten Dateien die Endung „.medusa“ hinzu. Dadurch wird vermieden, dass Dateien mit den Dateiendungen .dll, .exe, .lnk und .medusa verschlüsselt werden. Nachdem die Lösegeldforderung hinterlassen wurde, löscht sie sich selbst aus dem System, um eine Wiederherstellung und Analyse zu erschweren.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Die „Medusa“-Ransomware-Kampagne ist in gewisser Weise opportunistisch ausgerichtet und zielt auf Unternehmen aus den unterschiedlichsten Branchen ab. Dies ist typisch für viele Ransomware-Angriffe.

Es ist offensichtlich, dass Ransomware-Gruppen zunehmend wie echte Organisationen agieren, was durch die Einrichtung des „Medusa-Blogs“ und des „Medienteams“ belegt wird. Abgesehen von der geschäftsmäßigen Struktur verfügt Medusa über einige ausgefeilte Ausnutzungsstrategien und -techniken. Daher entwickelt es sich rasch zu einer immer größeren Bedrohung in der Ransomware-Landschaft.

2. Infostealer umgehen die Anti-Malware-Maßnahmen von macOS

SentinelOne hat kürzlich drei aktive macOS-Infostealer der „ “ aufgedeckt: (wird in einem neuen Tab geöffnet),und . Diese sind in der Lage, das in macOS integrierte Anti-Malware-System XProtect zu umgehen.

KeySteal

• Die Malware „KeySteal“ wurde erstmals im Jahr 2021 gemeldet und hat sich seitdem kontinuierlich weiterentwickelt. In der Version „ Februar 2023“ hat Apple eine Signatur zu XProtect hinzugefügt, die KeySteal erkennt. Aufgrund der Weiterentwicklung der Malware erkennt diese Signatur aktuelle Versionen jedoch nicht mehr.
• KeySteal wurde ursprünglich als .pkg-Datei innerhalb eines in macOS integrierten Dienstprogramms namens ReSignTool verbreitet. Die Angreifer haben den Code der legitimen Open-Source-Anwendung manipuliert, um Informationen aus dem Schlüsselbund zu stehlen und Komponenten zur Aufrechterhaltung der Persistenz zu platzieren.
• Die neuesten KeySteal-Varianten haben sich noch weiter verändert. Sie verwenden das ReSignTool nicht mehr, sondern erscheinen in Mach-O-Binärdateien stattdessen als „UnixProject“ oder „ChatGPT“.
• Unklar ist, wie sich diese neuen Varianten verbreiten. Die neuesten Varianten werden nicht nur von XProtect nicht erkannt, sondern weisen auch bei VirusTotal niedrige Erkennungsraten auf. SentinelOne stellt fest, dass es eine Gemeinsamkeit zwischen den ersten und den neuesten Versionen gibt, nämlich die fest programmierte Zahl C2. Dieser fest programmierte Wert von C2 lässt zwar noch einige Störsignalerfassungen zu, wenn auch vielleicht nicht mehr lange.

Atomic Stealer

• Über „Atomic Stealer“ wurde bereits mehrfach berichtet, und das Programm ist nach wie vor aktiv. Diese macOS-Malware hat mehrere Änderungen durchlaufen, sodass derzeit zahlreiche verschiedene Versionen der Malware gleichzeitig im Umlauf sind.
• SentinelOne hat berichtet, Varianten der Malware entdeckt zu haben, die derzeit von XProtect nicht erkannt werden; viele davon weisen zudem auf VirusTotal niedrige Erkennungsraten auf.
• Die Malware verhindert, dass Opfer, Analysten oder Malware-Sandboxen das Terminal gleichzeitig mit dem Stealer ausführen. Aktuelle Varianten verwenden fest einprogrammiertes AppleScript im Klartext, das Aufschluss über die Diebstahlmechanismen der Malware gibt.
• Angreifer verbreiten diese Malware in der Regel über Torrents oder Social-Gaming-Plattformen.

CherryPie

• Die Malware „CherryPie“ wurde in Version v2176 zu XProtect hinzugefügt.
• Diese Malware, die auch unter den Bezeichnungen „GaryStealer“ und „JaskaGo“ bekannt ist, ist ein Stealer für macOS und Windows, der derzeit auf VirusTotal nur geringe Erkennungsraten aufweist.
• Einige Versionen der Malware nutzen das legitime Open-Source-Projekt „Wails“, um den Schadcode in ein App-Bundle zu verpacken.
• Viele der von SentinelOne beobachteten Samples sind mit einer Ad-hoc-Signatur versehen und enthalten Code, der dazu dient, Gatekeeper zu deaktivieren.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Sich ausschließlich auf die statische Erkennung zu verlassen, reicht schlichtweg nicht aus, um mit der sich ständig weiterentwickelnden Bedrohungslage Schritt zu halten. Die statische Erkennung von Schadsoftware entwickelt sich zunehmend zu einem „Whack-a-Mole“-Spiel und ist nicht immer wirksam.

SentinelOne weist darauf hin, dass neben den nativen Funktionen von macOS „proaktive Bedrohungssuche, verbesserte Erkennungsregeln und das Bewusstsein für sich weiterentwickelnde Taktiken Sicherheitsteams dabei helfen können, Bedrohungen, die auf die macOS-Plattform abzielen, immer einen Schritt voraus zu sein.“

3. Das FBI und die CISA veröffentlichen eine gemeinsame Warnmeldung zu Androxgh0st Malware-Programmen

Das Federal Bureau of Investigation (FBI) und die Cybersecurity and Infrastructure Security Agency (CISA) haben eine gemeinsame Cybersicherheitswarnung veröffentlicht, um bekannte Indikatoren für Kompromittierung (IOCs) und Taktiken, Verfahren und Praktiken (TTPs) im Zusammenhang mit Angreifern, die die Malware „ Androxgh0st “ einsetzen, bekannt zu machen.

Mehrere laufende Untersuchungen lieferten Einzelheiten zur Malware „ Androxgh0st “, darunter die Fähigkeit der Malware, ein Botnetz aufzubauen, mit dem sich anfällige Netzwerke weiter identifizieren und kompromittieren lassen.

Was ist Androxgh0st?

Androxgh0st ist eine Python-Malware, die darauf ausgelegt ist, .env-Dateien aufzuspüren und zu extrahieren, die Anmeldedaten für Anwendungen wie AWS, Microsoft Office 365 und andere enthalten. Es unterstützt zahlreiche Funktionen, die es ihm ermöglichen, SMTP zu missbrauchen, darunter das Scannen und Ausnutzen offengelegter Anmeldedaten und APIs sowie das Einrichten von Web-Shells. Fortinet verzeichnet täglich Androxgh0st Malware-Angriffe auf mehr als 40 000 Fortinet-Geräte.

Ausrichtung auf PHPUnit

Die Malware nutzt in der Regel Skripte, führt Scans durch und sucht nach Websites mit bestimmten Sicherheitslücken. Genauer gesagt scheinen die Angreifer, die diese Malware einsetzen, die Schwachstelle CVE-2017-9841 auszunutzen, um über PHPUnit PHP auf anfälligen Websites aus der Ferne auszuführen.

Websites, die dieses Modul verwenden und über Ordner verfügen, die über das Internet zugänglich sind oder sich im Besitz von Drittanbietern befinden, sind möglicherweise durch böswillige HTTP-POST-Anfragen gefährdet, die an eine bestimmte URL gerichtet sind. Auf dieser Seite wird PHP-Code ausgeführt, der über eine POST-Anfrage übermittelt wird, wodurch es dem Angreifer ermöglicht wird, Code aus der Ferne auszuführen.

Der Angreifer nutzt „ Androxgh0st “, um weitere schädliche Dateien auf das System herunterzuladen, auf dem die Website gehostet wird. Mit diesem Zugriff können sie gefälschte Seiten einrichten, die über die URI erreichbar sind, um eine Hintertür zur Website zu schaffen.

Zielgruppe des Laravel-Frameworks

Die Malware baut ein Botnetz auf, um mithilfe des Laravel-Webanwendungs-Frameworks nach Websites zu suchen. Es nutzt Laravel, um Websites zu identifizieren, und ermittelt anschließend, ob die .env-Datei auf der obersten Ebene der Domain öffentlich zugänglich ist und ob sie Anmeldedaten enthält.

Sollte die Datei offengelegt sein, kann der Angreifer eine GET-Anfrage an die URL senden und versuchen, auf die Daten zuzugreifen. Die Malware kann zudem auf den Anwendungsschlüssel der Laravel-Anwendung auf der Website zugreifen. Wenn sie den Anwendungsschlüssel ermitteln können, können sie versuchen, diesen auszunutzen, indem sie den Schlüssel zur Verschlüsselung des PHP-Codes verwenden und den Code als Wert im XSRF-Token übergeben.

Zielausrichtung des Apache-Webservers

Es wurde zudem beobachtet, dass Angreifer, die „ Androxgh0st “ nutzen, Apache-Webserver scannen, die möglicherweise für „CVE-2021-41773“ anfällig sind. Die Akteure können mittels eines Path-Traversal-Angriffs URLs für Dateien außerhalb des Stammverzeichnisses ermitteln. Sollten diese Dateien nicht geschützt sein, könnte dies die Ausführung von Code aus der Ferne ermöglichen. Sollte es dem Angreifer gelingen, sich auf diese Weise Zugangsdaten für beliebige Dienste zu verschaffen, kann er diese nutzen, um auf sensible Daten zuzugreifen oder weitere böswillige Handlungen durchzuführen.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Der jüngste Anstieg der Androxgh0st -Aktivitäten ist zweifellos besorgniserregend, insbesondere angesichts der Tatsache, dass dabei Ziele wie AWS und Office ins Visier genommen werden.

Die Malware wurde erstmals im Jahr 2022 gemeldet und fand offenbar bis vor kurzem kaum Beachtung. Es ist möglich, dass diese Möglichkeit entweder kaum genutzt wurde oder einfach unbemerkt blieb.

In jedem Fall enthält die gemeinsame Empfehlung einige Maßnahmen zur Risikominderung, die zum Schutz vor Androxgh0st beitragen können. Es lohnt sich, einen Blick in den Bericht zu werfen.

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Diskussionsforum von Tanium, um eine Unterhaltung zu beginnen.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .