Als Erstes in unserem Wochenüberblick befasst sich CTI mit einer neuen Sicherheitsempfehlung zur äußerst erfolgreichen Ransomware-Variante „LockBit 3,0 “. Anschließend widmet sich CTI der jüngsten einer Reihe lobenswerter Initiativen der CISA – einem neuen Open-Source-Tool zur Incident-Response, das dabei hilft, Anzeichen böswilliger Aktivitäten in Microsoft-Cloud-Umgebungen zu erkennen. Ebenfalls enthalten ist ein Überblick über neue Aktivitäten, die der mutmaßlichen nordkoreanischen Cyberspionagegruppe „ APT37 “ (ScarCruft) zugeschrieben werden.
1. Neue gemeinsame Warnung zur Ransomware „LockBit 3,0 “ veröffentlicht
Eine gemeinsame Cybersicherheitsempfehlung von „ 16. März“ (wird in einem neuen Tab geöffnet), die vom Federal Bureau of Investigation (FBI), der Cybersecurity and Infrastructure Security Agency (CISA) und dem Multi-State Information Sharing & Analysis Center (MS-ISAC) verfasst wurde, wurde veröffentlicht, um die neuesten Indikatoren für Kompromittierung (IOCs) und Taktiken, Techniken und Verfahren (TTPs) im Zusammenhang mit der berüchtigten – und zunehmend erfolgreichen – Ransomware „LockBit 3,0 “ zu verbreiten.
Die in der Mitteilung enthaltenen technischen Informationen wurden im Rahmen von Ermittlungen des FBI ermittelt, die erst im März 2023 stattfanden.
Das Wichtigste zuerst: Was ist LockBit 3,0?
LockBit 3,0 funktioniert nach dem „Ransomware-as-a-Service“-Modell (RaaS). Die Aktivitäten stellen eine Fortsetzung der Beobachtungen dar, die im Zusammenhang mit früheren Versionen der Ransomware, darunter LockBit 2,0 und LockBit, gemacht wurden.
Wie die CISA beschreibt:
Seit „ Januar 2020“ fungiert LockBit als eine auf Affiliates basierende Ransomware-Variante; Affiliates, die das LockBit-RaaS-Modell nutzen, wenden zahlreiche unterschiedliche TTPs an und greifen eine breite Palette von Unternehmen sowie Organisationen mit kritischer Infrastruktur an, was eine wirksame Verteidigung von Computernetzwerken und die Eindämmung von Angriffen erschweren kann.
What to know about LockBit 3,0
- LockBit 3,0 ist die bislang modularste Variante dieser Ransomware. Die neueste Version, die auch unter dem Namen „LockBit Black“ bekannt ist, ist schwerer aufzuspüren als ihre Vorgänger und weist Ähnlichkeiten mit anderen hochrangigen Ransomware-Familien wie Blackmatter und Blackcat auf.
- LockBit 3,0 ist äußerst anpassungsfähig und lässt sich je nach der Umgebung des Opfers, in der es sich befindet, individuell konfigurieren. Bei der Kompilierung wird es mit einer Vielzahl von Optionen konfiguriert, die das Verhalten der Malware beeinflussen.
- LockBit 3,0 verfügt über einen integrierten Mechanismus, der darauf ausgelegt ist, seinen Code zu schützen und die Erkennung sowie Analyse der Malware zu erschweren.
- Angreifer sind in der Lage, sich durch die Ausnutzung des Remote-Desktop-Protokolls (RDP) einen ersten Zugriff auf die Netzwerke der Opfer zu verschaffen. Zu den weiteren Taktiken zählen der Missbrauch gültiger Konten, die Ausnutzung öffentlich zugänglicher Anwendungen, Drive-by-Angriffe sowie Phishing-Kampagnen nach dem „ “-Prinzip.
- LockBit 3,0 führt eine Überprüfung seiner aktuellen Berechtigungsstufe durch. Sollte die Ransomware feststellen, dass dieses Attribut fehlt, wird sie versuchen, sich Berechtigungen zu verschaffen, die ihren Anforderungen besser entsprechen.
- Es wurde wiederholt beobachtet, dass LockBit 3,0 bei seinen Angriffen eine Vielzahl von Open-Source-Tools einsetzt. Diese Tools wurden entwickelt, um bei einer Reihe von Aktivitäten zu helfen, darunter Netzwerkaufklärung, Fernzugriff und Tunnelbildung, das Auslesen von Anmeldedaten sowie das Abziehen von Dateien.
Darüber hinaus hat sich LockBit 3,0 bei den meisten beobachteten Angriffen als versiert im Einsatz von PowerShell- und Batch-Skripten erwiesen. Diese Dienstprogramme dienen der Systemerkennung, der Erkundung, der Suche nach Passwörtern und Anmeldedaten sowie der Ausweitung von Berechtigungen.
Die CISA hebt zudem die Verschlüsselungsfunktionen von LockBit 3,0’s hervor:
LockBit 3,0 versucht, [T1486 (wird in einem neuen Tab geöffnet)] Daten zu verschlüsseln, die auf einem lokalen oder entfernten Gerät gespeichert sind, lässt jedoch Dateien außer Acht, die mit zentralen Systemfunktionen in Verbindung stehen... Nachdem die Dateien verschlüsselt wurden, hinterlässt LockBit 3,0 eine Lösegeldforderung mit dem neuen Dateinamen .README.txt und ändert den Hintergrund sowie die Symbole des Hosts in das LockBit- 3,0 -Branding [T1491,001 (wird in einem neuen Tab geöffnet)]. Bei Bedarf sendet LockBit 3,0 verschlüsselte Host- und Bot-Informationen an einen Command-and-Control-Server (C2) [T1027 (wird in einem neuen Tab geöffnet)].
Darüber hinaus weist die CISA auf die Exfiltrationsfunktion von LockBit 3,0’s hin:
LockBit- 3,0 -Partner nutzen „Stealbit“, ein maßgeschneidertes Exfiltrations-Tool, das zuvor bereits bei LockBit 2,0 zum Einsatz kam [TA0010 (wird in einem neuen Tab geöffnet)]; rclone, einen Open-Source-Cloud-Speichermanager für die Befehlszeile [T1567,002 (öffnet in einem neuen Tab)]; sowie öffentlich zugängliche Filesharing-Dienste wie MEGA [T1567,002 (öffnet in einem neuen Tab)], um sensible Unternehmensdaten vor der Verschlüsselung zu exfiltrieren. Zwar werden rclone und viele öffentlich zugängliche Filesharing-Dienste in erster Linie für legitime Zwecke genutzt, doch können sie auch von Angreifern eingesetzt werden, um das Eindringen in Systeme, die Erkundung von Netzwerken oder die Exfiltration von Daten zu erleichtern. LockBit- 3,0 -Partner nutzen häufig auch andere öffentlich zugängliche Filesharing-Dienste, um Daten zu exfiltrieren [T1567 (wird in einem neuen Tab geöffnet)].
Ausblick und Prognosen von CTI
CTI hat die Ransomware „LockBit“ bereits zuvor als eine der schwerwiegendsten, finanziell motivierten Cyberbedrohungen eingestuft. Diese jüngste, von mehreren Behörden herausgegebene Cybersicherheitswarnung bestätigt diese Einschätzung.
LockBit hat bewiesen, dass es in der Lage ist, sich von einer erheblichen Störung durch einen verärgerten Entwickler (der den Builder-Code für LockBit 3,0 veröffentlicht hatte) wieder zu erholen – und zwar auf eindrucksvolle Weise. Zu den Opfern dieser Ransomware-Aktion zählen mehrere namhafte Privatunternehmen sowie Einrichtungen der kritischen Infrastruktur.
Laut TheHackerNews „gab das auf industrielle Cybersicherheit spezialisierte Unternehmen Dragos Anfang dieses Jahres bekannt, dass LockBit 3,0 für 21 % der 189 festgestellten Ransomware-Angriffe auf kritische Infrastrukturen im Jahr Q4 2022 verantwortlich war, was 40 Vorfällen entspricht.“ „Ein Großteil dieser Angriffe betraf die Lebensmittel- und Getränkebranche sowie das verarbeitende Gewerbe.“
Im November berichtete das US-Justizministerium, dass die Ransomware-Variante „LockBit“ weltweit gegen mindestens 1 000 Opfer eingesetzt wurde und der Operation illegale Gewinne in Höhe von über 100 Millionen US-Dollar einbrachte.
Von der CISA:
Das FBI, die CISA und das MS-ISAC empfehlen Organisationen, die nachstehenden Maßnahmen zur Risikominderung umzusetzen, um die Cybersicherheitslage Ihrer Organisation angesichts der Aktivitäten von LockBit 3,0’s zu verbessern. Diese Maßnahmen stehen im Einklang mit den sektorübergreifenden Leistungszielen für Cybersicherheit (CPGs), die von der CISA und dem National Institute of Standards and Technology (NIST) entwickelt wurden. Die CPGs enthalten eine Reihe von Mindestmaßnahmen und Schutzvorkehrungen, deren Umsetzung die CISA und das NIST allen Organisationen empfehlen. Die CISA und das NIST stützten sich bei der Erstellung der CPGs auf bestehende Cybersicherheits-Rahmenwerke und Leitlinien , um Schutz vor den häufigsten und folgenschwersten TTPs zu bieten. Weitere Informationen zu den CPGs, einschließlich zusätzlicher empfohlener Mindestschutzmaßnahmen, finden Sie unter den sektorübergreifenden Cybersicherheits-Leistungszielen der CISA.
Weitere praktische Maßnahmen zur Risikominderung finden Sie in der ursprünglichen Sicherheitsempfehlung.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Diese Warnmeldung erscheint zu einem interessanten Zeitpunkt im Hinblick auf Ransomware und die allgemeine Cyberbedrohungslage, da immer mehr Ransomware-Operationen von Erpressung durch Verschlüsselung abrücken und stattdessen auf reine Erpressung durch Datendiebstahl setzen.“ Beispielsweise hat die BianLian-Ransomware-Gruppe (wird in einem neuen Tab geöffnet) ihren Schwerpunkt von der Verschlüsselung der Dateien ihrer Opfer auf reine Erpressungsangriffe durch Datendiebstahl verlagert (wird in einem neuen Tab geöffnet) . „Dies ist ein Trend, von dem CTI erwartet, dass er sich bis weit ins Jahr 2023 und darüber hinaus fortsetzen wird.“
2. Neues CISA-Tool erkennt Hackerangriffe auf Microsoft-Clouddienste
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat ein neues Open-Source-Tool zur Reaktion auf Sicherheitsvorfälle veröffentlicht: „“ ( ; wird in einem neuen Tab geöffnet) , das dabei hilft, Anzeichen böswilliger Aktivitäten in Microsoft-Cloud-Umgebungen zu erkennen.
In der langjährigen Tradition der InfoSec-Community, ernsten Dingen skurrile Namen zu geben, ist das „Untitled Goose Tool“ ein gemeinsam mit den Sandia Laboratories entwickeltes Python-basiertes Dienstprogramm, das Telemetriedaten aus Azure Active Directory, Microsoft Azure und Microsoft 365 -Umgebungen extrahieren kann.
Von der CISA:
„Untitled Goose Tool“ ist ein leistungsstarkes und flexibles Tool zur Erkennung und Behebung von Sicherheitsvorfällen, das neuartige Authentifizierungs- und Datenerfassungsmethoden bietet, um eine umfassende Untersuchung der Azure Active Directory (AzureAD)-, Azure- und M365 -Umgebungen eines Kunden durchzuführen.
Die oben genannte Telemetrie wird durch zusätzliche Telemetriedaten von Microsoft Defender for Endpoint (MDE) und Defender for Internet of Things (IoT) ergänzt (D4IoT).
Was die Gans alles kann
Laut BleepingComputer können Sicherheitsexperten und Netzwerkadministratoren mithilfe des plattformübergreifenden Microsoft-Cloud-Abfrage- und Analysetools „“ der CISA (öffnet in einem neuen Tab) Folgendes tun:
- Exportieren und überprüfen Sie AAD-Anmelde- und Auditprotokolle, das M365 Unified Audit Log (UAL), Azure-Aktivitätsprotokolle, Warnmeldungen von Microsoft Defender für IoT (Internet der Dinge) sowie Daten von Microsoft Defender für Endpoint (MDE) auf verdächtige Aktivitäten.
- Abfragen, Exportieren und Überprüfen von AAD-, M365- und Azure-Konfigurationen.
- Extrahieren Sie Cloud-Artefakte aus den AAD-, Azure- und M365 -Umgebungen von Microsoft, ohne zusätzliche Analysen durchzuführen.
- Führen Sie eine Zeitbegrenzung für die UAL durch.
- Extrahieren Sie die Daten innerhalb dieses Zeitraums.
- „Erfassen und werten Sie Daten unter Verwendung ähnlicher Funktionen zur zeitlichen Begrenzung für MDE-Daten aus.“
Die CISA ist auf Erfolgskurs
Der jüngste Versuch der CISA, Sicherheitsverantwortliche zu unterstützen, knüpft an eine Reihe proaktiver, transparenter und kooperativer Maßnahmen an, mit denen die Behörde ihren Beitrag zum Schutz von Unternehmen aus dem staatlichen und privaten Sektor sowie von Organisationen mit kritischer Infrastruktur verstärken will.
So hat die CISA beispielsweise kürzlich ein Open-Source-Tool namens „Decider“ veröffentlicht (wird in einem neuen Tab geöffnet) , das Sicherheitsverantwortlichen dabei helfen soll, MITRE-ATT&CK-Zuordnungsberichte zu erstellen. Kurz vor der Veröffentlichung von Decider veröffentlichte die CISA im Januar einen Leitfaden zu bewährten Verfahren für „ “ (wird in einem neuen Tab geöffnet) zum Thema MITRE ATT&CK-Zuordnung, in dem die Bedeutung der Anwendung dieses Standards hervorgehoben wurde.
Darüber hinaus warnt die CISA nun kritische Infrastrukturbetreiber (öffnet in einem neuen Tab)vor Systemen mit Internetanbindung, die anfällig für Ransomware-Angriffe sind.
Letztere Initiative hat offenbar bereits zu Ergebnissen geführt.
Von der CISA:
Mithilfe dieser proaktiven Cyberabwehrkapazität hat die CISA seit dem „ Januar 2023“ mehr als 60 Einrichtungen über Ransomware-Angriffe im Frühstadium informiert, darunter Organisationen der kritischen Infrastruktur in den Bereichen Energie, Gesundheitswesen und öffentliche Gesundheit, Wasser- und Abwassersysteme sowie im Bildungswesen.
Laut BleepingComputer:
Dies erfolgte im Anschluss an die Gründung einer neuen Partnerschaft im Rahmen der Initiative „ August 2021 “ zum Schutz kritischer Infrastrukturen in den USA vor Ransomware und anderen Cyberbedrohungen, die unter dem Namen „Joint Cyber Defense Collaborative“ (JCDC) bekannt ist.
Die Cybersicherheitsbehörde hatte zuvor unter Juni 2021 ein neues Modul für ihr „Cyber Security Evaluation Tool“ (CSET) veröffentlicht, das als „Ransomware Readiness Assessment“ (RRA) bezeichnet wird und Organisationen dabei unterstützen soll, ihre Bereitschaft zur Abwehr von Ransomware-Angriffen und zur Wiederherstellung nach solchen Angriffen zu bewerten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die CISA- in und ihre Führungsspitze zeigen großes Engagement für die Verbesserung der Cybersicherheit von Unternehmen, die zu staatlichen, privaten und kritischen Infrastruktureinrichtungen gehören, und dies ist lobenswert.“ Viele von uns haben lange darauf gewartet, dass das Land eine umfassende Cybersicherheitspolitik bzw. -infrastruktur einführt, und diese jüngsten Initiativen stellen einen positiven Schritt in diese Richtung dar. „Gut gemacht, CISA.“
3. ScarCrufts sich weiterentwickelndes Waffenarsenal
Zscaler hat die (öffnet in einem neuen Tab) TTPs von APT37, auch bekannt als ScarCruft, überwacht, das im Februar sehr aktiv war und März 2023.
APT37 (wird in einem neuen Tab geöffnet) ist eine von Nordkorea staatlich geförderte Cyberspionagegruppe. Die Gruppe hat in der Vergangenheit vor allem Opfer in Südkorea, Japan, Vietnam, Russland usw. ins Visier genommen. APT37 hat in der Vergangenheit Infektionsvektoren wie Watering-Hole-Angriffe, die Ausnutzung von Sicherheitslücken und Phishing-E-Mails mit schädlichen Anhängen genutzt. Bei APT37 wird häufig beobachtet, dass die PowerShell-Backdoor „Chinotto“ verbreitet wird.
Forscher haben kürzlich ein GitHub-Repository entdeckt, das einem Mitglied von APT37 gehört. Aufgrund eines vermutlich bei dem Angreifer aufgetretenen Sicherheitsfehlers im operativen Bereich gelang es Zscaler, Zugang zu Informationen über die von der Gruppe eingesetzten schädlichen Dateien zu erlangen. Dieses Repository diente dazu, zahlreiche verschiedene schädliche Payloads bereitzustellen, die von dem Angreifer genutzt wurden.
Die aus dem GitHub-Repository gewonnenen Informationen gaben den Forschern zudem Aufschluss darüber, welche Arten von Themen APT37 in seinen Social-Engineering-Köder-E-Mails verwendet. Zu diesen Themen zählen unter anderem geopolitisch bedingte Anreize, akademische Einrichtungen und südkoreanische Unternehmen.
Aktuelle TTPs
- CHM-: APT37 s nutzen regelmäßig eine Chinotto-PowerShell-Backdoor, die sie über eine schädliche Windows-Hilfedatei oder eine CHM-Datei auf dem Endgerät installieren. Die CHM-Dateien werden in Archivdateien verbreitet, von denen die meisten zwei Komponenten enthalten: die schädliche CHM-Datei und die Täuschungsdatei, die dem Opfer angezeigt wird. Die beobachteten Köderdateien sind häufig passwortgeschützt, wobei das Passwort in der CHM-Datei enthalten ist.
- MS Excel-Add-In „“: Im Rahmen einer auf 15. März beobachteten Kampagne wurde festgestellt, dass APT37 ein schädliches Excel-Add-In in das GitHub-Repository hochgeladen hat. Dies war das erste Mal, dass die Gruppe dabei beobachtet wurde, wie sie XLL-Dateien einsetzte. Diese XLL-Datei extrahiert eine XLS-Datei und speichert sie unter folgendem Pfad: C:\programdata\20230315_SejeongSupport[.]xls. Es zeigt die abgelegte XLS-Datei an, bei der es sich um einen Köder handelt, der ausschließlich als Social-Engineering-Lockmittel dient. Anschließend wird MSHTA gestartet, um eine HTA-Datei von einer URL auf yangak[.]com herunterzuladen. Die heruntergeladene HTA-Datei enthält die PowerShell-Backdoor „Chinotto“.
- LNK-: Aus dem GitHub-Repository wurden einige LNK-Dateien wiederhergestellt, die unter August 2022 hochgeladen worden waren und etwa zur gleichen Zeit bei Angriffen in freier Wildbahn auftauchten. Die LNK-Dateien befanden sich in RAR-Archiven. Außerdem war eine HTML-Datei vorhanden, die sich als Anmeldeseite des südkoreanischen Unternehmens LG ausgab. Die LNK-Dateien wurden verwendet, um MSHTA auszuführen und die schädlichen HTA-Dateien vom angreiferkontrollierten Server herunterzuladen. Die Angriffskette führt zu derselben PowerShell-Backdoor, nämlich „Chinotto“.
Aus den Metadaten der LNK-Dateien ging hervor, dass diese auf einer virtuellen Maschine unter VMWare mit der MAC-Adresse 00:0c:29:41:1b:1c erstellt wurden. Der Angreifer nutzte dieselbe virtuelle Maschine, um mehrere Payloads zu generieren, was für die Bedrohungssuche und die künftige Zuordnung von Bedeutung ist.
- Es wurde zudem beobachtet, dass die makrobasierte MS-Office-Datei „: APT37 “ eine makrobasierte MS-Office-Word-Datei in das GitHub-Repository hochgeladen hat. Das Makro startet MSHTA, um Chinotto herunterzuladen.
- HWP-Datei mit eingebettetem OLE-Objekt: APT37 hat Chinotto ebenfalls auf den Endgeräten mithilfe von HWP-Dateien mit eingebetteten OLE-Objekten bereitgestellt. Die OLE-Objekte liegen in Form eines anklickbaren Elements vor, auf das das Opfer klicken muss, damit die schädlichen PE-Payloads ausgeführt werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
“APT37 ist eine weitere APT, die unglaublich ausgefeilt ist und ihre TTPs ständig weiterentwickelt. „Die Tatsache, dass es gelang, ein GitHub-Repository mit schädlichen Payloads über 2 Jahre lang aufrechtzuerhalten, ohne entdeckt oder geschlossen zu werden, unterstreicht einmal mehr die Raffinesse dieser Operationen.“
„ : Die Nutzung von CHM-Dateien zur Verbreitung von Malware (wird in einem neuen Tab geöffnet) wurde kürzlich von einer weiteren mit Nordkorea in Verbindung stehenden Gruppe, Kimsuky, beobachtet.“ „Kimsuky nutzte CHM-Dateien, um eine Hintertür zu verbreiten, die dazu diente, Daten aus der Zwischenablage und Tastenanschläge zu erfassen.“
„Sind CHM-Dateien der nächste große Trend bei nordkoreanischen APTs?“ „Das wird sich erst mit der Zeit zeigen.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne teilen möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
