CTI Roundup: Microsoft warnt vor Mercury- und DEV-1084-Angriffen auf hybride Umgebungen

Den Auftakt der Zusammenfassung dieser Woche bildet ein Bericht von CTI, der einen Überblick über einen besorgniserregenden Bericht von Microsoft gibt, in dem von der Aufdeckung einer zerstörerischen Operation berichtet wird, bei der Angriffe auf Ressourcen sowohl in lokalen als auch in Cloud-Umgebungen verübt wurden.

CTI schließt mit einer Zusammenfassung der jüngsten Cyberspionagekampagne der russischen Hackergruppe „Nobelium“, die auf einer Warnmeldung des polnischen Militärgeheimdienstes basiert.

1. Mercury und DEV-1084: Destruktiver Angriff auf eine hybride Umgebung

Microsoft Threat Intelligence hat die (wird in einem neuen Tab geöffnet)zerstörerischen Aktivitäten aufgedeckt, die sowohl lokale als auch Cloud-Umgebungen angriffen.

Die Angriffe wurden von „Mercury“ ermöglicht – einem vom Iran unterstützten staatlich gestützten Akteur –, der wahrscheinlich in Zusammenarbeit mit dem Akteur „DEV-1084“ destruktive Maßnahmen im Anschluss an die Ausnutzung der Sicherheitslücke durchführte und während des Angriffs von lokalen Systemen in die Cloud wechselte.

Der Angriff zielt darauf ab, die Aktivitäten als herkömmliche Ransomware-Kampagne zu tarnen, wobei das letztendliche Ziel in der Zerstörung und Störung liegt.

• Mercury: Mercury, auch bekannt unter den Bezeichnu , MuddyWater (wird in einem neuen Tab geöffnet), ist ein staatlich gestützter Angreifer mit Verbindungen zur iranischen Regierung. Genauer gesagt wurde „Mercury“ mit dem iranischen Ministerium für Nachrichtendienst und Sicherheit (MOIS) in Verbindung gebracht. Frühere Angriffe von Mercury richteten sich ausschließlich gegen lokale Umgebungen in Behörden und privaten Organisationen verschiedener Branchen, darunter Telekommunikation, Kommunalverwaltung, Verteidigung, Erdöl und Erdgas. Die bisherigen Opfer stammten größtenteils aus dem Nahen Osten, Asien, Afrika, Europa und Nordamerika. Mercury rückte im vergangenen Jahr (wird in einem neuen Tab geöffnet)ins Rampenlicht, als das Unternehmen auf den Zug aufsprang, um die Sicherheitslücken Log4j und 2 auszunutzen.
• DEV-1084: DEV-1084 ist ein weiterer von Microsoft beobachteter iranischer Angreifer, von dem angenommen wird, dass er bei seiner jüngsten Kampagne mit Mercury zusammengearbeitet hat. DEV-1084 hat Anfang dieses Jahres öffentlich die Identität „DarkBit“ angenommen, und zwar im Rahmen eines Ransomware- und Erpressungsangriffs unter dem Namen „“, der sich gegen das Technion richtete: (wird in einem neuen Tab geöffnet). Dieser Angriff richtete sich gegen Israel und nutzte Befehlszeilenoptionen sowie optimierte Verschlüsselungsroutinen.

Die Verbindungen zwischen diesen beiden Bedrohungsgruppen ergeben sich aus Überschneidungen bei der Infrastruktur, den IP-Adressen und den verwendeten Tools. Derzeit ist unklar, in welcher genauen Beziehung diese beiden Akteure zueinander stehen und ob sie unabhängig voneinander agieren oder ob DEV-1084 eine Untergruppe von Mercury ist, die nur dann in Erscheinung tritt, wenn die Betreiber von Mercury den Auftrag erhalten, solche zerstörerischen Angriffe durchzuführen.

Angriff auf eine hybride Umgebung

Microsoft geht davon aus, dass sich „Mercury“ den ersten Zugriff durch die Fernausnutzung eines nicht gepatchten, mit dem Internet verbundenen Geräts verschafft. Mercury scheint daraufhin den Zugriff an DEV-1084 zu übergeben.

Es scheint, als hätten die Angreifer bei ihrem ersten Einbruch mehrere Versuche unternommen und seien schließlich durch die Ausnutzung offengelegter, anfälliger Anwendungen erfolgreich gewesen.

Nachdem sie sich Zugriff verschafft hatten, setzten die Angreifer verschiedene Tools und Techniken ein, um eine dauerhafte Präsenz aufzubauen. Dazu gehörten:

• Installation von Web-Shells
• Hinzufügen lokaler Benutzerkonten vor der Erweiterung der Berechtigungen zum lokalen Administrator
• Installation legitimer Fernzugriffstools, darunter RPort, Ligolo und eHorus
• Installation einer maßgeschneiderten „ “-PowerShell-Backdoor über das Skript „ “
• Das Stehlen von Zugangsdaten

Anschließend führten die Angreifer Erkundungsmaßnahmen durch, wobei sie native Windows-Tools und -Befehle wie „netstat“ und „nltest“ nutzten.

Mithilfe gestohlener Zugangsdaten gelang es den Angreifern, sich innerhalb der Umgebung lateral zu bewegen. Zu diesen Maßnahmen gehören zeitgesteuerte Remote-Aufgaben zum Starten einer maßgeschneiderten PowerShell-Backdoor, WMI zum Ausführen von Befehlen sowie Remote-Dienste zum Ausführen verschlüsselter PowerShell-Befehle. Die neu infizierten Geräte waren von denselben Persistenzmechanismen betroffen, wie sie oben aufgeführt sind.

Microsoft weist darauf hin, dass die Angreifer mitunter Wochen (und in einigen Fällen sogar Monate) abwarteten, bevor sie zum nächsten Schritt der Angriffskette übergingen.

Auswirkungen auf die lokalen Systeme

Die Angreifer manipulierten Sicherheitstools mithilfe von Gruppenrichtlinienobjekten (GPO) und nutzten die Zugangsdaten mit weitreichenden Berechtigungen, um Zugriff auf Domänencontroller zu erlangen. Dadurch konnten sie sich auf eine Verschlüsselung in großem Umfang vorbereiten.

Mithilfe von GPO wurde eine geplante Aufgabe registriert, um die Ransomware zu starten, die zuvor in die NETLOGON-Freigaben mehrerer Domänencontroller geladen worden war. Die Ransomware-Nutzlast verschlüsselt die auf dem System befindlichen Dateien und fügt ihnen die Dateiendung „DARKBIT“ hinzu.

Von der lokalen Installation zur Cloud

Die Angreifer manipulierten Sicherheitstools mithilfe von Gruppenrichtlinienobjekten (GPO) und nutzten die Zugangsdaten mit weitreichenden Berechtigungen, um Zugriff auf Domänencontroller zu erlangen. Dadurch konnten sie sich auf eine Verschlüsselung in großem Umfang vorbereiten. Mithilfe von GPO wurde eine geplante Aufgabe registriert, um die Ransomware zu starten, die zuvor in die NETLOGON-Freigaben mehrerer Domänencontroller geladen worden war. Die Ransomware-Nutzlast verschlüsselt die auf dem System befindlichen Dateien und fügt ihnen die Dateiendung „DARKBIT“ hinzu.

Auswirkungen der Cloud

Den Angreifern gelang es, Azure-Ressourcen in großem Umfang zu löschen, die Exchange-Webserver-API zu missbrauchen und sich in E-Mail-Konten einzuloggen.

• Löschen von Azure-Ressourcen: Die Angreifer verschafften sich über PIM – Azure Privileged Identity Management – die Berechtigung „Global Administrator“ und erweiterten diesen Zugriff, um Zugriffsrechte auf Verwaltungsgruppen und Azure-Abonnements zu erlangen. Dieses kompromittierte Administratorkonto wurde zusammen mit dem Azure AD Connector-Konto zur Zerstörung der Azure-Umgebung genutzt. Die Löschung umfasste die Beseitigung von Serverfarmen, virtuellen Maschinen, Speicherkonten und virtuellen Netzwerken innerhalb weniger Stunden.
• Missbrauch der Exchange Web Server-API: Die Angreifer verschafften sich über die Exchange Web Services uneingeschränkten Zugriff auf Postfächer, indem sie einer legitimen OAuth-Anwendung die entsprechenden Berechtigungen und die Zustimmung des Administrators gewährten. Diese Berechtigungen ermöglichten es dem Angreifer, die OAuth-Anwendung mit Zertifikaten zu aktualisieren, um böswillige Aktivitäten durchzuführen. Die Angreifer nutzten anschließend die Berechtigungen dieser Anwendung, um „GetItem“-Vorgänge durchzuführen und Tausende von Suchvorgängen zu starten – möglicherweise, um Postfachdaten zu extrahieren oder in den Postfächern nach sensiblen Daten zu suchen.
• E-Mail-Identitätsbetrug: Das kompromittierte Administratorkonto wurde genutzt, um dem Azure AD Connector-Konto SMTP-Berechtigungen zum „Versenden im Namen“ zu erteilen. Diese Aktion wurde mithilfe des PowerShell-Cmdlets „Set-Mailbox“ am Postfach eines hochrangigen Mitarbeiters durchgeführt. Anschließend wurden E-Mails verfasst und sowohl an interne als auch an externe Empfänger versendet.

Extraktion von Anmeldedaten

Zwei Wochen vor dem Einsatz der Ransomware wurden kompromittierte Anmeldedaten verwendet, um Zugriff auf das Azure AD Connect-Gerät zu erlangen. Zu diesem Zeitpunkt richteten die Angreifer einen SSH-Tunnel zu einem von ihnen kontrollierten Gerät ein.

Kurz vor dem Einsatz der Ransomware hat sich eine bekannte IP-Adresse eines Angreifers beim Azure AD Connector-Cloudkonto angemeldet. Bei dieser Anmeldung wurden weder das Passwort der Zugangsdaten erraten noch geändert, was darauf hindeutet, dass der Angreifer wahrscheinlich über das Passwort für dieses Konto verfügte.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Hybride Angriffe, die im Rahmen eines einzigen Angriffs sowohl lokale als auch Cloud-Umgebungen ins Visier nehmen, sind nicht gerade an der Tagesordnung.“ „Zwar mag es Malware mit mehreren Varianten geben, die sowohl auf lokale als auch auf Cloud-Umgebungen abzielen können, doch der eigentliche Vorgang des Wechsels von der lokalen Umgebung in die Cloud im Rahmen eines einzigen Angriffs wird bei den von uns derzeit beobachteten Angreifern weitaus seltener festgestellt.“

„In diesem Zusammenhang stellt die Verlagerung von Mercury weg von einer ausschließlichen Ausrichtung auf lokale Umgebungen hin zu Angriffen sowohl auf lokale als auch auf Cloud-Umgebungen eine mögliche Weiterentwicklung der Vorgehensweise der Akteure dar, die die Bedrohungslandschaft prägen, und verdeutlicht die zunehmende Ausnutzung von Cloud-Umgebungen.“ Diese Kampagne stützt sich auf TTPs, die nicht unbedingt neu oder innovativ sind. „Beispielsweise sind der Diebstahl von Anmeldedaten, die Ausweitung von Berechtigungen, die Installation von Web-Shells und die Umsetzung bösartiger Gruppenrichtlinien allesamt Vorgehensweisen, die wir bereits in früheren Kampagnen beobachtet haben.“

„Was diese Kampagne auszeichnet, ist die wirkungsvolle Art und Weise, in der sie diese TTPs kombiniert, um sich Zugang zu zwei verschiedenen Arten von Netzwerkumgebungen zu verschaffen.“ Obwohl dieser Angriff offenbar von zwei zusammenarbeitenden Akteuren durchgeführt wird, scheinen beide Aktivitätscluster mit dem übergeordneten, im Iran ansässigen Akteur „MuddyWater“ in Verbindung zu stehen. Dies ist nicht überraschend, da staatlich unterstützte iranische Akteure dafür bekannt sind, bestimmte Teile ihrer Operationen an Dritte auszulagern.“

2. Russische Hacker stehen im Zusammenhang mit groß angelegten Angriffen auf die NATO und die EU

Laut einer Mitteilung des polnischen Militärgeheimdienstes hat dessen Computer Emergency Response Team die von Russland staatlich geförderte Hackergruppe „ “ APT29 – oder , „Nobelium“ (öffnet in einem neuen Tab) – mit einer jüngsten Welle weitreichender Angriffe in Verbindung gebracht, die sich im Rahmen einer groß angelegten Cyberspionagekampagne sowohl gegen NATO- als auch gegen EU-Länder richteten.

Details zur Kampagne

Zwar wird in der Sicherheitswarnung von CERT.PL unter „ “ (öffnet in einem neuen Tab) ausdrücklich darauf hingewiesen, dass die Kampagne noch andauert, doch scheint das vorrangige Ziel der Operation von Nobelium die groß angelegte Erfassung sensibler Informationen zu sein – und zwar solcher, die mit den Zielen der russischen Regierung im Einklang stehen und diese fördern. Zu den Zielen zählen diplomatische Vertretungen der NATO und der Außenministerien der EU-Mitgliedstaaten sowie afrikanischer Staaten.

Was die Viktimologie und die Angriffsmuster betrifft, so ist dies für Nobelium keineswegs Neuland. CERT.PL berichtet jedoch, dass sich diese Operation trotz der Tatsache, dass sich die Infrastruktur und die TTPs teilweise (oder vollständig) mit früheren Aktivitäten von Nobelium überschneiden, durch die im Rahmen dieser Kampagne eingesetzte einzigartige Software auszeichnet, da diese offenbar bisher noch nicht „öffentlich beschrieben“ wurde.

In dem Bericht wird dargelegt, dass neue Tools sowohl gleichzeitig als auch unabhängig voneinander eingesetzt wurden; dahinter steht die Überlegung, dass Nobelium systematisch Tools ersetzt, deren Wirksamkeit nachlässt, und es dem Akteur so ermöglicht, sein gewohnt hohes operatives Tempo (OPTEMPO) aufrechtzuerhalten.

Details zum Angriff

Wie in der Warnmeldung von CERT.PL beschrieben, begannen die Angriffe im Rahmen dieser Kampagne stets mit Spear- -Phishing-, bei denen E-Mails, die den Anschein erweckten, von europäischen Botschaften zu stammen, an bestimmte Mitarbeiter in diplomatischen Funktionen versandt wurden.

• Die Nachrichten enthielten entweder eine Einladung zu einem Treffen oder die Bitte um Zusammenarbeit bei der Erstellung von Dokumenten.
• Jede Nachricht enthielt einen Link; dieser befand sich entweder im Textkörper der E-Mail oder in einem angehängten PDF-Dokument.
• Der Link war so gestaltet, dass der Eindruck entstand, er würde dem Empfänger den Zugriff auf den Kalender des nachgebildeten Botschafters ermöglichen, ihm die Einsicht in Besprechungsdetails gestatten oder das Opfer zu einer herunterladbaren Datei führen.

Tatsächlich leitete der Link die Empfänger auf eine kompromittierte Website weiter, die ein bösartiges Skript enthielt – einen Code, der öffentlich als „ “ bezeichnet wird: ENVYSCOUT (öffnet sich in einem neuen Tab) – ein Dropper, der von Nobelium mindestens seit 2021 eingesetzt wird.

Aus CERT.PL:

Dabei kommt die sogenannte „HTML-Smuggling“-Technik zum Einsatz – bei der eine auf der Seite platzierte schädliche Datei beim Öffnen der Seite mithilfe von JavaScript entschlüsselt und anschließend auf das Gerät des Opfers heruntergeladen wird. Dadurch lässt sich die schädliche Datei auf der Serverseite, auf der sie gespeichert ist, schwerer erkennen. Auf der Webseite wurde zudem eine Information angezeigt, die das Opfer davon überzeugen sollte, dass es den richtigen Anhang heruntergeladen hatte.

Dem Bericht zufolge setzte der Angreifer drei verschiedene Versionen von ENVYSCOUT ein – wobei im Verlauf der Kampagne nach und nach neue Mechanismen hinzugefügt wurden, um einer Entdeckung zu entgehen und die Analyse zu erschweren.

Änderungen bei den Dateiformaten

CERT.PL weist darauf hin, dass bei früheren Kampagnen, die Nobelium zugeschrieben wurden, häufig ZIP- oder ISO-Dateien zur Verbreitung von Malware verwendet wurden. Im Rahmen dieser Kampagne hat der Angreifer die Verwendung von .IMG-Dateien in sein übliches Repertoire aufgenommen.

Da .ISO- und .IMG-Datenträgerabbilder beim Öffnen automatisch im Dateisystem eingebunden werden, wird ihr Inhalt im Windows-Explorer angezeigt. Zudem weisen diese Dateitypen kein „Mark-of-the-Web“-Kennzeichen (MOTW) auf, was bedeutet, dass Windows den Benutzer nicht darauf hinweist, dass die Dateien aus dem Internet stammen.

Der Angreifer setzte eine Reihe von Techniken ein, um die Opfer dazu zu verleiten, die Schadsoftware auszuführen.

Aus CERT.PL:

Eine davon war eine Windows-Verknüpfungsdatei (LNK), die vorgab, ein Dokument zu sein, tatsächlich jedoch eine versteckte DLL-Bibliothek mit den Tools des Angreifers ausführte. Zudem wurde die Technik des „DLL-Sideloadings“ beobachtet, bei der eine signierte ausführbare Datei verwendet wurde, um Code aus einer versteckten DLL-Bibliothek zu laden und auszuführen, indem diese im selben Verzeichnis unter einem Namen abgelegt wurde, der entsprechend den Einträgen in der Importtabelle gewählt wurde. In einer späteren Phase der Kampagne enthielt der Name der ausführbaren Datei zahlreiche Leerzeichen, um die „exe“-Erweiterung schwerer erkennbar zu machen.

Eingesetzte Werkzeuge

Neben ENVYSCOUT setzte Nobelium in verschiedenen Phasen der Kampagne eine Vielzahl von Tools ein. Sie sind in der folgenden Liste von CERT.PL aufgeführt, mit Links zu einer detaillierten technischen Analyse der einzelnen Einträge:

• SNOWYAMBER  (wird in einem neuen Tab geöffnet): Ein Tool, das erstmals bei Oktober 2022 zum Einsatz kam und die Notion7 service -Schnittstelle missbraucht, um zu kommunizieren und weitere schädliche Dateien herunterzuladen. Es wurden zwei Varianten dieses Tools festgestellt.
• HALFRIG (wird in einem neuen Tab geöffnet): erstmals verwendet in „ Februar 2023“. Dieses Tool unterscheidet sich von den anderen durch den eingebetteten Code, der das COBALT STRIKE-Tool ausführt.
• QUARTERRIG (wird in einem neuen Tab geöffnet): Ein Tool, das erstmals in „ März 2023“ zum Einsatz kam und einen Teil des Codes mit HALFRIG gemeinsam nutzt. Es wurden zwei Versionen dieses Tools festgestellt.

Aus CERT.PL:

Die Tools „SNOWYAMBER“ und „QUARTERRIG“ wurden als sogenannte Downloader eingesetzt. Beide Tools übermittelten dem Angreifer sowohl die IP-Adresse als auch den Computernamen und den Benutzernamen. Anhand dieser Daten wurde geprüft, ob das Opfer für den Angreifer von Interesse war und ob es sich um eine Umgebung zur Malware-Analyse handelte. Sofern der infizierte Arbeitsplatzrechner die manuelle Überprüfung bestanden hatte, wurden die oben genannten Downloader verwendet, um die kommerziellen Tools COBALT STRIKE oder BRUTE RATEL bereitzustellen und zu starten. HALFRIG hingegen fungiert als sogenannter Loader – es enthält die COBALT STRIKE-Nutzlast und führt diese automatisch aus.

Zwar ist diese Kampagne insofern etwas einzigartig, als sie das Auftauchen neuer Malware kennzeichnet (die im Verlauf der Kampagne verschiedenen Aktualisierungen und Änderungen unterzogen wurde), doch beschreibt CERT.PL mehrere Elemente der Operation als wiederholbar und führt insbesondere die folgenden Angriffsmerkmale auf:

1. Die Art und Weise, wie die Infrastruktur aufgebaut ist. Der Urheber der Spionagekampagne nutzt vorzugsweise anfällige Websites, die zufälligen Organisationen gehören.
2. E-Mail-Design. Alle in den Kampagnen verwendeten, eingeworbenen E-Mails griffen das Thema des Schriftwechsels zwischen diplomatischen Vertretungen auf.
3. Die Nutzung eines Tools, das öffentlich als „ENVYSCOUT“ bezeichnet wird. Dieses Skript wird vom Schauspieler bereits seit mindestens 20219 verwendet. Während der Kampagne wurden Änderungen am Code des Tools festgestellt, die jedoch dessen Funktionalität nicht wesentlich beeinträchtigten.
4. Dem Opfer wurde ein Link zum ENVYSCOUT-Tool bereitgestellt, und zwar in Form eines Links, der entweder in den Text der E-Mail oder in den Text einer angehängten PDF-Datei eingebettet war.
5. Verwendung von ISO- - und IMG-Disk-Images.
6. Einsatz einer als „DLL-Sideloading“ bezeichneten Technik , bei der eine nicht schädliche, digital signierte ausführbare Datei verwendet wird, um die Tools des Angreifers zu starten.
7. Einsatz kommerzieller Tools wie „ “, „COBALT STRIKE“ und „BRUTE RATEL“.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Es ist anzumerken, dass die Leitlinien zu dieser speziellen Sicherheitslücke bereits seit April 2021 vorliegen. Zwar sorgt die Verwendung des Begriffs „Zero-Day“ in der Überschrift eines Blogbeitrags zweifellos für Aufmerksamkeit, doch unter Cybersicherheitsexperten herrscht Uneinigkeit darüber, ob es sich bei dieser konkreten Schwachstelle tatsächlich um eine Zero-Day-Sicherheitslücke handelt.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .