Als Erstes befasst sich CTI diese Woche mit einem Bericht von IBM X-Force über die neue „Sphynx“-Variante der berüchtigten Ransomware BlackCat/ALPHV. Anschließend befasst sich CTI mit der von Microsoft entdeckten Sicherheitslücke, die es Angreifern mit Root-Rechten ermöglicht, die Überprüfungen des „System Integrity Protection“ (SIP) von macOS zu umgehen und „unlöschbare“ Malware zu installieren. Abschließend gibt CTI einen Überblick über einen aktuellen Bericht von Group-IB, in dem die jüngsten Aktivitäten des als „Dark Pink“ bezeichneten Akteurs detailliert beschrieben werden.
1. Die verbesserte BlackCat-Ransomware schlägt blitzschnell und mit heimlichen Taktiken zu
Ein neuer Bericht des IBM Security X-Force-Teams beschreibt wichtige neue Erkenntnisse zur Ransomware-Kampagne „ “ von BlackCat/ALPHV: (wird in einem neuen Tab geöffnet). Zu den Aktualisierungen zählen Verbesserungen hinsichtlich der Geschwindigkeit, der Tarnung und der Datenentnahmefunktionen der Ransomware.
Was ist BlackCat?
- CTI stuft BlackCat als eine der größten Bedrohungen durch Ransomware und Erpressung ein, denen Unternehmen heute ausgesetzt sind.
- Cyberkriminelle nutzen BlackCat in erster Linie, um Angriffe auf die Bereiche Regierung, Bildung, Fertigung, Gastgewerbe und Gesundheitswesen zu verüben.
- BlackCat versucht, bei seinen Angriffen eine doppelte Erpressungstaktik anzuwenden. Gestohlene Daten werden in der Regel auf der offiziellen Veröffentlichungsseite der Bande veröffentlicht, um den Zahlungsdruck auf die Erpressungsopfer zu erhöhen.
Wie der Autor des IBM-Berichts erläutert, wechselte BlackCat im Jahr 2022 zur n Programmiersprache Rust (öffnet in einem neuen Tab)– eine Entscheidung, die wahrscheinlich durch die Anpassungsmöglichkeiten, die die Sprache bietet, sowie durch ihre Eignung, die Erkennung und Analyse der Malware zu erschweren, beeinflusst wurde.
Eineinhalb Jahre, nachdem die BlackCat-Gruppe vermutlich erstmals in der Landschaft der Cyberbedrohungen aufgetaucht ist, zeigt sie keine Anzeichen einer Abschwächung. BlackCat/ALPHV zählt durchweg zu den profitabelsten Anbietern von Ransomware-as-a-Service (RaaS) der Spitzenklasse in der Cyberbedrohungslandschaft und konkurriert mit anderen führenden Erpressergruppen wie LockBit um den Löwenanteil der Lösegeldzahlungen.
Was ist eine Sphynx?
Sphynx ist eine leistungsstarke neue BlackCat-Variante, die laut der Analyse von IBM X-Force „eine Reihe aktualisierter Funktionen enthält, die die Bemühungen der Gruppe, der Aufdeckung zu entgehen, verstärken“.
Von IBM Security X-Force:
X-Force hat beobachtet, dass mit BlackCat verbundene Akteure ihre Vorgehensweisen kontinuierlich verfeinern, um die Wahrscheinlichkeit eines erfolgreichen Angriffs – insbesondere von Datendiebstahl und Verschlüsselung – zu erhöhen. Die Angreifer automatisierten den Teil der Operation, der der Datenexfiltration diente, mithilfe von ExMatter, einer maßgeschneiderten Malware, die in der Lage ist, sich selbst zu „löschen“ (Selbstlöschung). Darüber hinaus hat die BlackCat-Gruppe kürzlich eine neue Version ihrer Ransomware namens „Sphynx“ veröffentlicht, die über verbesserte Funktionen verfügt, mit denen Abwehrmaßnahmen umgangen werden sollen.
ExMatter ist ein .NET-Tool zur Datenexfiltration, das laut IBM X-Force ausschließlich von einem mit der BlackCat-Ransomware verbundenen Cluster verwendet wird, der von Microsoft als DEV-0504 (wird in einem neuen Tab geöffnet) erfasst wird. Was die zuvor erwähnten verbesserten Ausweichfähigkeiten von BlackCat betrifft, so enthält die Sphynx-Version von BlackCat nun Junk-Code und verschlüsselte Zeichenfolgen; diese Verbesserungen sollen die Erkennung und Analyse erschweren. Auch die an die ausführbare Datei übergebenen Befehlszeilenargumente wurden einer umfassenden Überarbeitung unterzogen – ein Merkmal, das sie von ihren früheren Varianten unterscheidet.
Während frühere Versionen den Parameter „access token“ zur Ausführung nutzten, wurde dieser Parameter in der neuesten Version vollständig entfernt und durch eine Reihe komplexerer Argumente ersetzt. Dies geschah wahrscheinlich, um die Erkennung der Ransomware zu erschweren, da Sicherheitsexperten nun keine Standardbefehle mehr zur Verfügung stehen, anhand derer sie Suchmaßnahmen durchführen könnten.
Dies ist nicht überraschend, da die BlackCat-Bande selbst angibt, dass die Malware komplett neu geschrieben wurde, wobei die erklärte Priorität dieses Updates darin bestand, „, um die Erkennung durch AV/EDR zu optimieren (öffnet in einem neuen Tab).“
21. Februar 2023: Die Ransomware-Gruppe ALPHV hat ihre Partner über ein neues „Produkt“-Update informiert. Ihre neue Ransomware-Variante trägt den Namen „Sphynx“.
Ein weiteres Merkmal, das die neue Variante von ihren Vorgängern unterscheidet, ist die Integration des BlackCat Sphynx Loaders.
Aus „The Hacker News“:
Sphynx enthält zudem einen Loader zur Entschlüsselung der Ransomware-Nutzlast, der bei seiner Ausführung Netzwerkabfragen durchführt, um nach weiteren Systemen zu suchen, Volumenschattenkopien löscht, Dateien verschlüsselt und schließlich die Lösegeldforderung hinterlässt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„BlackCat verdankt seine Langlebigkeit und Rentabilität zweifellos seiner Fähigkeit, sich ständig neu zu erfinden und dabei jedes Mal die Eigenschaften und Funktionen zu verbessern, die es der Malware ermöglichen, der Erkennung zu entgehen und Sicherheitsmechanismen zu umgehen.“
„Als Sicherheitsexperten müssen wir ebenso anpassungsfähig bleiben. „CTI wird diese Bedrohung weiterhin im Hinblick auf wesentliche Entwicklungen beobachten und bei Bedarf aktuelle Informationen bereitstellen.“
2. Microsoft entdeckt einen Fehler in macOS, der es Hackern ermöglicht, die SIP-Root-Einschränkungen zu umgehen
Ein Team von Microsoft-Sicherheitsforschern hat eine Sicherheitslücke entdeckt, die es Angreifern mit Root-Rechten ermöglicht, den System Integrity Protection (SIP) zu umgehen (öffnet in einem neuen Tab) und „unlöschbare“ Malware zu installieren. Angreifer können möglicherweise auch auf die privaten Daten der Opfer zugreifen, indem sie die Sicherheitsmaßnahmen von Apple im Rahmen des „Transparency, Consent, and Control“-Programms (TCC) umgehen.
Was Sie über CVE-2023-32369 wissen sollten
Die Sicherheitslücke – von Microsoft als „Migraine“ bezeichnet und unter den Bezeichnungen CVE-2023-32369 (wird in einem neuen Tab geöffnet) erfasst – betrifft die SIP-Technologie in macOS.
Von Microsoft:
SIP ist eine Sicherheitstechnologie namens „ “ in macOS (wird in einem neuen Tab geöffnet) , die den Root-Benutzer daran hindert, Vorgänge auszuführen, die die Systemintegrität gefährden könnten. Eine Umgehung von SIP könnte schwerwiegende Folgen haben, wie beispielsweise eine Erhöhung des Risikos, dass Angreifer und Malware-Autoren erfolgreich Rootkits installieren, dauerhafte Malware erstellen und die Angriffsfläche für weitere Techniken und Exploits vergrößern.
SIP – auch als „Rootless“ bezeichnet – verhindert, dass potenziell schädliche Software bestimmte Ordner und Dateien verändert, indem es dem Root-Benutzerkonto Einschränkungen auferlegt und dessen Befugnisse innerhalb bestimmter geschützter Bereiche des Betriebssystems begrenzt. Es basiert auf dem Leitprinzip, dass ausschließlich von Apple signierte Prozesse – oder solche, die über besondere Berechtigungen verfügen – auf die geschützten Komponenten von macOS zugreifen oder diese ändern dürfen.
Entdeckung und Erschließung
Die Forscher von Microsoft entdeckten die Sicherheitslücke sowie die Technik, mit der die üblichen Einschränkungen von SIP umgangen wurden, im Rahmen ihrer routinemäßigen Malware-Suche. Die Forscher von Microsoft richteten ihr Augenmerk auf Systemprozesse, die von Apple signiert sind und über die Berechtigung „com.apple.rootless.install.heritable“ verfügen (öffnet in einem neuen Tab).
Mithilfe dieser Methodik entdeckten die Forscher zwei untergeordnete Prozesse, die sich so manipulieren ließen, dass sie die Ausführung von beliebigem Code erzwingen und gleichzeitig die Überprüfungen des SIP umgehen konnten.
SIP und Ansprüche
Wie Microsoft erläutert, sichert SIP das System von Grund auf ab, indem es die Apple-Sandbox nutzt. Dies trägt zum Schutz der Plattform bei, ähnlich wie SELinux Linux-Systeme schützt.
„Eine der herausragendsten Funktionen von SIP ist die Möglichkeit, Dateisystembeschränkungen festzulegen, wodurch ganze Dateien und Verzeichnisse vor dem Überschreiben geschützt werden“, erklärt Microsoft. „Bei den Dateien und Verzeichnissen, die standardmäßig durch SIP geschützt sind, handelt es sich in der Regel um solche, die für die Integrität des Systems von Bedeutung sind.“
Darüber hinaus gibt es keine andere Möglichkeit, SIP auf einem laufenden System zu deaktivieren, als über das Wiederherstellungsbetriebssystem – eine Methode, die physischen Zugriff auf das Gerät erfordert. Daher handelt es sich bei einem SIP-Bypass um eine Sicherheitslücke, die es einem entfernten Benutzer ermöglicht, die entsprechenden Einschränkungen zu umgehen. Microsoft nennt zwei Beispiele dafür, wie eine solche Umgehung erreicht werden kann: entweder durch Umgehung der SIP-Einschränkungen beim Schreiben in SIP-geschützte Verzeichnisse oder durch das Erstellen einer SIP-geschützten Datei.
Als Nächstes kommen wir zu den macOS-Berechtigungen, die in der Dokumentation von Apple unter (wird in einem neuen Tab geöffnet) als „ein Recht oder Privileg, das einer ausführbaren Datei bestimmte Fähigkeiten gewährt“ beschrieben werden.
Es gibt keine Möglichkeit, diese Berechtigungen zu fälschen, da sie von Apple in großem Umfang zur Gewährleistung der Sicherheit innerhalb von macOS eingesetzt werden und nur ganz bestimmten Prozessen gewährt werden.
Es ist wichtig zu verstehen, dass ein Prozess, dem diese Berechtigungen gewährt werden, von Grund auf so konzipiert ist, dass er die Sicherheitsprüfungen von SIP umgehen darf.
Von Microsoft:
Eine besonders interessante Berechtigung ist die Berechtigung „com.apple.rootless.install.heritable“, die es dem Prozess und dem gesamten darunter liegenden Prozessbaum ermöglicht, die dateisystembasierten Sicherheitsmaßnahmen des „System Integrity Protection“ zu umgehen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Wie Microsoft erläutert, sind mit einem willkürlichen SIP-Bypass schwerwiegende Folgen verbunden – diese hängen vor allem mit der erheblichen Gefahr zusammen, dass Malware-Autoren Code erstellen können, der praktisch nicht mehr zu löschen ist.“
„Microsoft fasst die Auswirkungen in einer übersichtlichen Liste zusammen.“ Dazu gehören unter anderem die Entwicklung von nicht löschbarer Malware, die Vergrößerung der Angriffsfläche und vieles mehr. Sehen Sie sich diese hier an: (wird in einem neuen Tab geöffnet)."
„Apple hat die Sicherheitslücke inzwischen in den Sicherheitsupdates für , macOS Ventura 13,4 (wird in einem neuen Tab geöffnet), , macOS Monterey 12,6,6 (wird in einem neuen Tab geöffnet) sowie , macOS Big Sur 11,7,7 (wird in einem neuen Tab geöffnet) behoben, die vor zwei Wochen auf 18. Mai veröffentlicht wurden.“
3. Die „Dark Pink“-Hacker nehmen weiterhin Regierungs- und Militärorganisationen ins Visier
Ein aktueller Bericht der „ “-Gruppe Group-IB (wird in einem neuen Tab geöffnet) beschreibt detailliert die jüngsten Aktivitäten, die dem als „Dark Pink“ bezeichneten Akteur zugeschrieben werden. Bei dieser Hackergruppe handelt es sich um eine „Advanced Persistent Threat“ (APT), die in jüngster Zeit dabei beobachtet wurde, wie sie Regierungs-, Militär- und Bildungseinrichtungen in Indonesien, Brunei und Vietnam ins Visier nahm – wodurch die Liste der Opfer der Gruppe um fünf neue Organisationen in drei Ländern erweitert wurde. Die Hackergruppe „ “ (Dark Pink) (öffnet in einem neuen Tab) ist Berichten zufolge seit mindestens Mitte 2021 aktiv und verübt vor allem Angriffe auf verschiedene Organisationen im asiatisch-pazifischen Raum (APAC).
Der Bericht beschreibt einen neuen, hochentwickelten Angreifer, der in der Lage ist, maßgeschneiderte Malware einzusetzen, um vertrauliche Informationen von Regierungsbehörden und militärischen Einrichtungen in mehreren Ländern der APAC-Region zu stehlen.
Dark Pink verfügt über ein Toolkit mit maßgeschneiderter Malware; zudem wurde beobachtet, dass die Gruppe Malware über USB-Sticks verbreitet und Methoden wie das Side-Loading von DLL-Dateien sowie ereignisgesteuerte Ausführung nutzt, um ihre Payloads auf kompromittierten Systemen auszuführen.
Nun hat Group-IB – in einer Art Fortsetzung seines früheren Berichts „ Januar 2023 “ – die jüngsten Aktivitäten der Hackergruppe in einem Blogbeitrag mit dem Titel „Dark Pink kehrt mit einem Paukenschlag zurück: 5 neue Organisationen in 3 Ländern wurden zur Opferliste hinzugefügt“ dokumentiert.
Ein fulminantes Comeback
Nach den neuesten Forschungsergebnissen geben die Analysten von Group-IB an, fünf neue Opfer der „Dark Pink“-Gruppe entdeckt zu haben.
Darüber hinaus scheint der geografische Wirkungsbereich der Gruppe erheblich größer zu sein als bisher angenommen – eine Erkenntnis, die durch die Tatsache untermauert wird, dass Unternehmen mit Sitz in Brunei, Thailand und Belgien Ziel von Cyberangriffen wurden, die der Gruppe „Dark Pink“ zugeschrieben werden.
Von Group-IB:
Weitere Analysen haben ergeben, dass diese Gruppe nach wie vor aktiv ist, da „Dark Pink“ im vergangenen Januar ein Ministerium in Brunei und erst im April 2023 eine Regierungsbehörde in Indonesien angegriffen hat. Darüber hinaus konnten die Forscher von Group-IB drei weitere Angriffe aus dem Jahr 2022 dieser bestimmten APT-Gruppe zuordnen.
Wichtige Erkenntnisse
- Spear--Phishing ist nach wie vor der bevorzugte Weg der Gruppe, um sich zunächst Zugang zu verschaffen.
- Das Arsenal der Gruppe (das, wie im vorherigen Bericht von Group-IB beschrieben, fast ausschließlich aus maßgeschneiderten Tools zum Abzug von Dateien und Messenger-Daten bestand) wird von Dark Pink nach wie vor genutzt. Viele der Tools wurden erheblich verbessert.
- Viele dieser Verbesserungen helfen den Betreibern von „Dark Pink“, unentdeckt zu bleiben und verschiedenen automatisierten Abwehrmaßnahmen im Bereich der Cybersicherheit zu entgehen.
- Im Rahmen von Untersuchungen der „Threat Intelligence“-Abteilung von Group-IB wurde ein neues „Dark Pink“-Konto auf GitHub entdeckt. Eine weitere Analyse ergab, dass das Konto fast unmittelbar nach der Veröffentlichung von Informationen über die Hackergruppe im Januar eingerichtet wurde. Über dieses GitHub-Konto können die Betreiber von „Dark Pink“ Befehle an kompromittierte Systeme senden.
- Bei den jüngsten Angriffen der Gruppe „Dark Pink“ wurden gestohlene Daten über das HTTP-Protokoll mithilfe des Webhook-Dienstes abgezogen, wobei zudem Funktionen eines MS-Excel-Add-Ins genutzt wurden, um die Persistenz von TelePowerBot (einer vereinfachten Version von KamiKakaBot, , geschrieben in PowerShell,) zu gewährleisten.
- „Dark Pink“ nutzt zudem PowerShell-Befehle, um auf kompromittierten Geräten nach legitimer Software und Entwicklungstools zu suchen, in der Hoffnung, Ressourcen zu entdecken, die die Angreifer zur Fortsetzung ihrer Operationen missbrauchen könnten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Untersuchungen von Group-IB deuten darauf hin, dass die APT-Gruppe ‚Dark Pink‘ ein äußerst aktiver Akteur im Bereich der Cyberkriminalität ist, der sich der kontinuierlichen Weiterentwicklung seines maßgeschneiderten Arsenals verschrieben hat und dessen Schwerpunkt auf der Ausweitung seiner Aktivitäten liegt – sowohl in geografischer Hinsicht als auch branchenübergreifend.“
„Wie Group-IB hervorhebt: ‚APT-Gruppen sind bekannt für ihre Reaktionsfähigkeit und ihre Fähigkeit, ihre maßgeschneiderten Tools anzupassen, um einer Entdeckung stets zu entgehen, und Dark Pink bildet da keine Ausnahme.‘“
„Die jüngste Ausweitung des Angriffsmusters der Gruppe sowie ihr Engagement für die Verbesserung ihrer Fähigkeiten zur Umgehung von Analysen und zur Vermeidung von Erkennung sollten Sicherheitsexperten Anlass zur Sorge geben; und obwohl Dark Pink bislang noch nicht mit einer bestimmten Regierung oder einem bestimmten Nationalstaat in Verbindung gebracht wurde, sollte die Gruppe als erhebliche Bedrohung angesehen werden.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),, sowie , um eine Unterhaltung zu beginnen.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungen unter „ “ .
