CTI-Roundup: Medusa-Ransomware und eine gemeinsame Warnung zu Androxgh0st Malware

Im Roundup dieser Woche betrachtet CTI den jüngsten Anstieg der Ransomware-Aktivitäten von Medusa und die neuesten Taktiken der Gruppe. Als nächstes erklärt CTI, wie Infostealer zunehmend auf macOS abzielen. Schließlich fasst CTI die Dinge mit einem Überblick über einen gemeinsamen Cybersicherheitshinweis des Federal Bureau of Investigation (FBI) und der Cybersecurity and Infrastructure Security Agency (CISA) zusammen, der veröffentlicht wurde, um bekannte IOCs und TTPs zu verbreiten, die mit Bedrohungsakteuren verbunden sind, die die Androxgh0st -Malware einsetzen.

1. Medusa-Ransomware dreht sich um Erpressung

Forscher bei Palo Alto Networks haben einen Anstieg der Ransomware-Aktivitäten von Medusa (eröffnet in einer neuen Registerkarte) zusammen mit einer Verschiebung der Taktiken aus der Gruppe entdeckt.

Medusa Ransomware schwenkt mit Hilfe seiner Medusa-Blogseite (öffnet sich in einer neuen Registerkarte) in Richtung Erpressung, die die Gruppe verwendet, um gestohlene Daten preiszugeben. Die Multi-Erpressungsstrategie des Betriebs bietet Opfern mehrere Optionen, aus denen sie auswählen können, wie z. B. eine Zeitverlängerung, Datenlöschung oder das Herunterladen aller gestohlenen Daten, von denen jede mit einem anderen Preisschild geliefert wird.

Ein genauerer Blick auf Medusa-Ransomware

Die Medusa RaaS-Plattform kam Ende 2022 auf den Markt, gewann aber erst Anfang 2023 an Boden. Die Ransomware zielt auf Windows-Geräte ab und neigt dazu, gefährdete Dienste auszunutzen und legitime Konten zu entführen.

Die Ransomware nutzt Techniken, die außerhalb des Landes leben, indem sie Software für böswillige Zwecke verwendet, um sich in den regulären Verkehr zu integrieren. Medusa Ransomware veröffentlichte seinen Medusa Blog im Jahr 2023 , der von der Gruppe verwendet wird, um gestohlene Daten preiszugeben.

Die Opfer von Medusa-Ransomware haben mehrere Optionen, wenn sie den Medusa-Blog besuchen:

• Opfer können eine Standardgebühr von 10 000 US-Dollar für eine eintägige Zeitverlängerung zahlen, um zu verhindern, dass die Daten im Blog veröffentlicht werden.
• Sie können auch verlangen, dass die Daten gelöscht werden und die gestohlenen Daten herunterladen und anzeigen. Diese Optionen beinhalten eine hohe Gebühr.

Ein kürzlich veröffentlichter Beitrag im Blog war ein Video, das Dateien einer kompromittierten Organisation zeigt. Das Video hatte eine Bildunterschrift von „Medusa Media Team“, von dem Forscher glauben, dass es sich um einen Zweig des Betriebs handelt, der die öffentliche Marke handhabt.

Der Blog ist nicht nur eine Datenleckseite und ein Ort zum Hosten von Videos gestohlener Daten, sondern enthält auch Links zu Telegram und X. Der Telegram-Link soll „Informationsunterstützung“ sein. Im Gegensatz dazu ist der X-Link nur eine Suchergebnisseite für „Medusa-Ransomware“.

Medusa Opferologie

Medusa Ransomware zielt auf eine Reihe von Sektoren ab und scheint in Bezug auf Sektoren nicht sehr gezielt zu sein. Der wichtigste Zielsektor, der Technologie war, machte weniger als 10 der 74 Angriffe der Gruppe aus.

Die Gruppe ist gezielter, wenn es um den geografischen Standort ihrer Angriffe geht. Medusa hat Organisationen in mehreren Ländern anvisiert, aber die USA waren das oberste Ziel.

Ransomware binär

Palo Alto entdeckte auch ein gemeinsames Thema in Medusas Binärdatei, das die Verwendung und Aufnahme des Begriffs „Blick“ in den Debug-Pfad in PEStudio war.

Dieses Thema führte dazu, dass sie sich auf die Ransomware-Binärdatei als Gaze bezeichnen. Die Ransomware kann mit 11 möglichen Argumenten ausgeführt werden und hat seit ihrer ersten Entstehung im Jahr 2023 Updates erhalten. Die Ransomware verwendet die asymmetrische RSA-Verschlüsselung und fügt .medusa verschlüsselten Dateien an. Es vermeidet die Verschlüsselung von Dateien mit den Erweiterungen .dll, .exe, .lnk und .medusa. Nachdem die Lösegeldnotiz abgelegt wurde, wird sie sich selbst aus dem System löschen, um die Wiederherstellung und Analyse zu behindern.

Analystenkommentare des Tanium Cyber Threat Intelligence-Teams

Der Ransomware-Betrieb von Medusa ist etwas opportunistisch und richtet sich an Organisationen in einer Vielzahl von Sektoren. Dies ist typisch für viele Ransomware-Operationen.

Offensichtlich funktionieren Ransomware-Operationen immer mehr wie echte Organisationen, wie die Ergänzungen des Medusa Blog and Media Teams belegen. Außerhalb der geschäftsähnlichen Einrichtung verfügt Medusa über einige ausgeklügelte Nutzungsstrategien und -techniken. Als solches wird es schnell zu einer bedeutenderen Bedrohung in der Ransomware-Landschaft.

2. Infostealer umgehen macOS Anti-Malware

SentinelOne hat kürzlich drei aktive macOS-Infostealer entdeckt (öffnet sich in einer neuen Registerkarte), die in der Lage sind, dem integrierten Anti-Malware-System von macOS, XProtect, zu umgehen.

KeySteal

• KeySteal Malware wurde erstmals im Jahr 2021 gemeldet und entwickelt sich seitdem weiter. Im hat Februar 2023Apple eine Signatur zu XProtect hinzugefügt, die KeySteal erkennen würde. Aufgrund der Entwicklung der Malware erkennt diese Signatur jedoch keine aktuellen Versionen mehr.
• KeySteal wurde ursprünglich als .pkg innerhalb eines eingebetteten macOS-Dienstprogramms namens ReSignTool verteilt. Bedrohungsakteure modifizierten den Code der legitimen Open-Source-Anwendung, um Keychain-Informationen zu stehlen und Persistenzkomponenten auszulassen.
• Die neuesten KeySteal-Varianten haben sich noch mehr verändert. Sie verwenden das ReSignTool nicht mehr und erscheinen eher in Mach-O-Binärdateien als UnixProject oder ChatGPT.
• Unklar ist, wie diese neuen Varianten verteilt werden. Die neuesten Varianten werden nicht nur von XProtect nicht erkannt, sondern weisen auch niedrige Erkennungsraten auf VirusTotal auf. SentinelOne stellt fest, dass zwischen den ersten Versionen und den neuesten Versionen eine Sache gemeinsam ist und dass es sich um eine festcodierte C2 handelt. Dieser Hardcoded C2 gibt einigen statischen Erkennungen immer noch eine Chance, wenn auch nicht lange.

Atomstealer

• Atomic Stealer wurde mehrmals berichtet und ist weiterhin aktiv. Diese macOS-Malware wurde mehreren Änderungen unterzogen, sodass viele verschiedene Versionen der Malware gleichzeitig in der Wildnis gesehen wurden.
• SentinelOne hat berichtet, Varianten der Malware zu sehen, die derzeit nicht von XProtect erkannt werden, von denen viele auch niedrige Erkennungsraten auf VirusTotal haben.
• Die Malware hindert Opfer, Analysten oder Malware-Sandboxen daran, das Terminal gleichzeitig mit dem Stealer zu betreiben. Neue Varianten verwenden festcodiertes AppleScript im Klartext, das die Diebstahllogik der Malware anzeigt.
• Bedrohungsakteure verteilen diese Malware typischerweise über Torrents oder soziale Gaming-Plattformen.

CherryPie

• CherryPie-Malware wurde XProtect im Jahr v2176 hinzugefügt.
• Diese Malware, auch bekannt als GaryStealer und JaskaGo, ist ein macOS/Windows-Stealer, der derzeit niedrige Erkennungsraten auf VirusTotal aufweist.
• Einige Versionen der Malware verwenden das legitime Open-Source-Projekt von Wails, um den bösartigen Code in ein App-Bundle einzuwickeln.
• Viele der Proben, die SentinelOne beobachtet hat, werden mit einer Ad-hoc-Signatur signiert und haben einen Code, der verwendet wird, um Gatekeeper zu deaktivieren.

Analystenkommentare des Tanium Cyber Threat Intelligence-Teams

Die ausschließliche statische Erkennung reicht einfach nicht aus, um mit der sich entwickelnden Bedrohungslandschaft Schritt zu halten. Die statische Erkennung von Malware wird zu einem Whack-a-mole-Spiel und ist nicht immer effektiv.

SentinelOne stellt fest, dass neben nativen macOS-Funktionen „proaktive Bedrohungssuche, verbesserte Erkennungsregeln und Bewusstsein für die sich entwickelnden Taktiken Sicherheitsteams dabei helfen können, Bedrohungen, die auf die macOS-Plattform abzielen, einen Schritt voraus zu sein.“

3. FBI und CISA geben einen gemeinsamen Hinweis für Androxgh0st Malware heraus

Das Federal Bureau of Investigation (FBI) und die Cybersecurity and Infrastructure Security Agency (CISA) haben einen gemeinsamen Cybersicherheitshinweis veröffentlicht, um bekannte IOCs und TTPs zu verbreiten, die mit Bedrohungsakteuren verbunden sind, die die Androxgh0st -Malware einsetzen.

Mehrere laufende Untersuchungen lieferten Details zu Androxgh0st Malware, einschließlich der Fähigkeit der Malware, ein Botnet einzurichten, das gefährdete Netzwerke weiter identifizieren und gefährden kann.

Was ist Androxgh0st?

Androxgh0st ist eine Python-Malware, die entwickelt wurde, um .env-Dateien zu finden und zu extrahieren, die Zugangsdaten für Anwendungen wie AWS, Microsoft Office 365 und andere enthalten. Es unterstützt viele Funktionen, die es ihm ermöglichen, SMTP zu missbrauchen, wie z. B. das Scannen und Ausnutzen exponierter Anmeldedaten und APIs sowie die Bereitstellung von Web-Shells. Fortinet beobachtet Androxgh0st Malware-Versuche auf mehr als 40 000 Fortinet-Geräten pro Tag.

Anvisieren des PHPUnit

Die Malware verwendet tendenziell Skripte, führt Scans durch und sucht nach Websites mit bestimmten Schwachstellen. Genauer gesagt scheinen die Bedrohungsakteure, die diese Malware einsetzen, CVE-2017-9841 auszunutzen, um PHP auf fehlbaren Websites über PHPUnit aus der Ferne auszuführen.

Websites, die dieses Modul verwenden und internetexponierte Ordner oder Anbieterordner haben, können durch bösartige HTTP-POST-Anfragen, die an eine bestimmte URL gerichtet sind, gefährdet sein. Diese Seite führt den PHP-Code aus, der über eine POST-Anfrage übermittelt wird, sodass der Bedrohungsakteur den Code remote ausführen kann.

Der Bedrohungsakteur verwendet Androxgh0st , um zusätzliche bösartige Dateien auf das System herunterzuladen, das die Website hostet. Mit diesem Zugriff können sie gefälschte Seiten einrichten, die über den URI zugänglich sind, um eine Hintertür zur Website einzurichten.

Laravel-Framework-Targeting

Die Malware erstellt ein Botnet, um Websites über das Laravel Web App Framework zu scannen. Es verwendet Laravel, um Websites zu identifizieren, und bestimmt dann, ob die Root-Level-.env-Datei der Domain sichtbar ist oder nicht und ob sie Anmeldedaten enthält.

Wenn die Datei offengelegt wird, kann der Bedrohungsakteur eine GET-Anfrage an die URL verwenden und versuchen, auf die Daten zuzugreifen. Die Malware kann auch auf den Anwendungsschlüssel für die Laravel-Anwendung auf der Website zugreifen. Wenn sie den Anwendungsschlüssel identifizieren können, können sie versuchen, den PHP-Code mithilfe des Schlüssels auszunutzen und den Code als Wert im XSRF-Token weiterzugeben.

Apache-Webserver-Targeting

Bedrohungsakteure, die Androxgh0st verwenden, werden auch beim Scannen von Apache-Webservern beobachtet, die für CVE-2021-41773 anfällig sein können. Die Akteure können URLs für Dateien außerhalb des Stammverzeichnisses über einen Pfadtraversalangriff identifizieren. Diese Dateien können, wenn sie nicht geschützt sind, eine Remote-Codeausführung ermöglichen. Wenn der Bedrohungsakteur über diese Methoden erfolgreich Zugangsdaten für Dienste erhält, kann er die Zugangsdaten verwenden, um auf sensible Daten zuzugreifen oder nachfolgende bösartige Aktionen durchzuführen.

Analystenkommentare des Tanium Cyber Threat Intelligence-Teams

Der jüngste Anstieg der Aktivität im Jahr Androxgh0st ist sicherlich alarmierend, insbesondere angesichts seiner Ausrichtung auf Dinge wie AWS und Office.

Die Malware wurde erstmals im Jahr 2022 gemeldet und hat scheinbar erst vor Kurzem viel Aufmerksamkeit erhalten. Es ist möglich, dass sie entweder nicht viel genutzt wurde oder einfach unbemerkt blieb.

In jedem Fall enthält die gemeinsame Beratung einige Minderungsempfehlungen, die zum Schutz vor Androxgh0st beitragen können. Es lohnt sich, einen Blick auf den Bericht zu werfen.

Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium, um ein Gespräch zu beginnen.

Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.