Die erste Runde in dieser Woche ist ein Blick auf die Entwickler hinter der berüchtigten Raccoon Stealer Malware und das Ende ihrer Hiatus aus Hackerforen. Als nächstes behandelt CTI Mandiants Verfolgung des Interesses von Bedrohungsakteuren an KI-Funktionen. Zum Schluss schließt CTI nach einer zweimonatigen Pause mit einer Aufschlüsselung des Monti Ransomware-Betriebs ab.
1. Raccoon Stealer Malware erscheint erneut
Die Entwickler hinter der berüchtigten Raccoon Stealer-Malware (öffnet sich in einer neuen Registerkarte) haben ihre Unterbrechung von Hackerforen beendet und bewerben eine neue Version. Diese Entdeckung kommt ein paar Monate, nachdem einer seiner Hauptbetreiber aufgrund seiner Rolle im Raccoon Malware-as-a-Service (MaaS)-Betrieb (eröffnet in einer neuen Registerkarte) verhaftet wurde.
Racoon Stealer: Eine kurze Einführung
Raccoon Stealer wurde erstmals 2019 beobachtet, als er in verschiedenen Cyberkriminalforen als Informationsstealer beworben wurde. Die Malware erlangte aufgrund ihrer Einfachheit Popularität, da sie viele erweiterte Funktionen ausließ und sich mehr auf die Ermöglichung von Diebstahl konzentrierte.
Raccoon-Vorfälle beginnen häufig während Malspam-Kampagnen mit der Bereitstellung bösartiger Anhänge. Die Malware verbreitet sich auch über Exploit-Kits von Drittanbietern und andere Malware-Familien.
Im Jahr wurde einer der wichtigsten Raccoon Stealer-Betreiber Oktober 2022, der für die Infrastruktur des Betriebs verantwortlich war, angehalten. Das FBI konnte gestohlene Daten von mehreren Computern sammeln, die mit der Malware infiziert waren. Diese Verhaftung hat den Betrieb vorübergehend gestoppt – bis vor Kurzem, als Raccoon seine Rückkehr in einem Hacking-Forum-Post bekanntgab.
Neue Funktionen von Raccoon
- Schnellsuche nach Cookies und Pässen: Ein neues Admin-Panel bietet eine einfache Möglichkeit, nach URLs zu suchen. Diese Funktion macht es schnell und einfach, bestimmte Links in großen Datensätzen zu finden – selbst wenn es um Millionen von Dokumenten und Tausende von verschiedenen Links geht. Die Hinzufügung einer Schnellsuchkomponente markiert einen bedeutenden Schritt nach vorn für die Malware und bietet ein neues Maß an Komfort für Bedrohungsakteure.
- Automatische Bot-Blockierung und Panel-Anzeige: Der Infostealer verfügt über ein neues System zur Erkennung ungewöhnlicher Aktivitätsmuster, wie z. B. mehrere Zugriffe von derselben IP-Adresse oder demselben Bereich. Dieses verdächtige Verhalten führt zum automatischen Löschen von Datensätzen, die mit der Aktivität verbunden sind, was es für Sicherheitstools schwieriger macht, Automatisierung und Bots zu nutzen , um die Malware zu erkennen.
- Berichtssystem: In dieser Version wurde ein Berichtssystem hinzugefügt, um IP-Adressen zu blockieren, die von Crawlern und Bots verwendet werden, was verhindert, dass sie den Raccoon-Datenverkehr überwachen.
- Protokollstatistiken: Protokollstatistiken ermöglichen es Bedrohungsakteuren, die den Infostealer kaufen, die wichtigsten Länder nach der Anzahl der Protokolle anzuzeigen.
Zusätzliche Beobachtungen
Verhalten und Fähigkeiten
Raccoon Stealer zielt auf eine Reihe von Anwendungen ab und verwendet bestimmte Techniken, um Daten zu stehlen. Es extrahiert die Anwendungsdatei, die sensible Daten enthält, kopiert sie in einen temporären Ordner und erstellt/schreibt eine Textdatei mit den gestohlenen Daten in den Ordner der Anwendung.
Um die Anmeldedaten von Anwendungen zu erhalten und zu entschlüsseln, erfasst und lädt sie die DLLs herunter, die mit der Anwendung verbunden sind. Die gestohlenen Daten werden in einer log.zip-Datei kompiliert, bevor sie an den Befehls- und Kontrollserver (C2) des Bedrohungsakteurs gesendet werden.
Bedienfeld
Raccoon-Abonnenten haben auch Zugriff auf ein zentrales Bedienfeld auf einem Tor-Onion-Service. Das Panel ermöglicht es ihnen, Kampagnenkonfigurationen zu generieren und zu verwalten, Raccoon-Malware-Payloads zu erstellen und gestohlene Daten anzuzeigen. Es ist auf Englisch und Russisch verfügbar und wird über einen Benutzernamen und ein Passwort aufgerufen, der vermutlich beim Abonnieren erhalten wird.
Das Bedienfeld nutzt JavaScript-Ressourcen, auf die ohne Authentifizierung zugegriffen werden kann. Dies ermöglichte es Forschern, einige aktuelle Funktionen zu bestimmen. Sie enthält auch Text im Zusammenhang mit der Benutzervereinbarung und den FAQ-Abschnitten. Die offengelegte JavaScript-Ressource ergab die folgenden Menüoptionen, die den Administratoren von Raccoon zur Verfügung stehen: alle Protokolle, Statistiken, Nachrichten, Proxys und Benutzer.
Statistik-Panel
Ein Statistikpanel bietet einen Überblick über aktive Raccoon Stealer-Kampagnen. Der Kontoabschnitt zeigt die aktuellen Salden an, die wahrscheinlich mit Zeichnungsfonds zusammenhängen. Sie zeigt auch die Konfigurationsoption für MFA und eine Passwort-Reset-Funktion an.
Erstellt/konfiguriert
Basierend auf dem FAQ-Teil können Abonnenten einen einzigen Build generieren, obwohl auch mehrere Konfigurationen unterstützt werden und aus der C2 Mid-Kampagne aktualisiert/heruntergeladen werden können.
Nach der Definition und Auswahl einer Konfiguration ermöglicht der Build-Prozess dem Bedrohungsakteur, eine DLL oder ausführbare Datei zu erstellen, um die Nutzlast bereitzustellen und zu starten. Das neue Raccoon MaaS ermöglicht auch, dass die neu erstellte Nutzlast in einer VM getestet wird, die von den Raccoon-Betreibern verwaltet wird. Der Test sendet eine Benachrichtigung über das Bedienfeld an den Teilnehmer, um ihn über die erfolgreiche Ausführung und Kommunikation mit dem C2 zu warnen.
Nutzlast
Viele Bedrohungsakteure verwenden jetzt bösartige Dokumentanhänge, um Racoon-Payloads während Malspam-Kampagnen bereitzustellen.
Jede Nutzlast versucht, mit scheinbar gutartigen oder legitimen URLs zu kommunizieren, während der eine verschlüsselte Zeichenfolge gesammelt/verarbeitet wird, um die wahre C2 -URL abzurufen. Sie kommuniziert derzeit mit Websites, die Telegram URL-Verkürzungsdienste anbieten.
Raccoon Stealer extrahiert Anmeldedaten, Cookies und Zahlungskartendaten aus vielen Webbrowsern und Kryptowährungs-Wallets. Zusätzlich zum Datendiebstahl sammelt die Malware Systeminformationen, einschließlich Details zum Betriebssystem der Build-Version, Hardware und installierten Apps. Ein Exfiltrations-ZIP-Archiv wird verwendet, um diese Daten auf einen C2 -Gate-Server hochzuladen.
Zusätzliche Nutzlasten
Sobald Raccoon Stealer seine Datenexfiltration abgeschlossen hat, kann der Bedrohungsakteur den Download/die Ausführung zusätzlicher Nutzdaten initiieren. Diese Nutzlasten ändern sich je nach Endziel des Bedrohungsakteurs. Einige kürzliche Beobachtungen umfassen die Bereitstellung zusätzlicher Malware zur Aufrechterhaltung des Fernzugriffs sowie die Kryptojacking-Payloads.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Die Updates der berüchtigten Raccoon Stealer-Malware zeigen, wie ausgefeilt ihre Betreiber werden. Sie zeigt auch, dass die Beteiligung und Verhaftung von FBI nicht immer ausreichen, um Bedrohungsakteure und Malware-Betreiber zu beseitigen.“
„Die Hinzufügung einer VM-Umgebung für Bedrohungsakteure, um ihre Raccoon-Builds zu detonieren und zu testen, ist ziemlich neu und wird den Info-Diealer wahrscheinlich ansprechender machen.“
2. Generative KI-Nutzung bleibt trotz steigendem Interesse begrenzt
Seit einigen Jahren überwacht Mandiant das Interesse von Bedrohungsakteuren an KI-Funktionen (öffnet sich in einer neuen Registerkarte). Basierend auf ihren Beobachtungen bleibt die Einführung von KI bei Angriffen begrenzt und hauptsächlich mit Social Engineering verbunden.
Nichtsdestotrotz wird KI aktiv in der Wildnis eingesetzt, wobei die operativen Akteure derzeit KI-generierte Inhalte in ihren Kampagnen verwenden.
Nutzung generativer KI im Informationsbetrieb
Laut Mandiant haben KI-Technologien das Potenzial, die Fähigkeiten von Bedrohungsakteuren erheblich zu erweitern.
Das liegt daran, dass generative KI es Amateur-Bedrohungsakteuren ermöglicht, qualitativ hochwertigere Inhalte in großem Maßstab zu erstellen und gleichzeitig sprachliche Barrieren zu beseitigen. KI-generierte Inhalte können auch überzeugender sein. Ein Beispiel dafür ist in KI-Modellen zu sehen, die auf realen Personenstimmen für Audio-Fertigungen trainiert werden.
Die Einführung von KI bei operativen Akteuren
Die Einführung von KI wird wahrscheinlich je nach Medienform variieren. Dies ist auf die Verfügbarkeit von Werkzeugen und die Effektivität jeder Medienform zurückzuführen, um eine emotionale Reaktion hervorzurufen.
- KI-generierte Bilder: Mandiant hat mehrere Betriebsinstanzen identifiziert, die KI-generierte Bilder nutzen. Die öffentliche Verfügbarkeit von Tools, die KI-generierte Bilder erstellen, hat wahrscheinlich zur häufigen Nutzung beigetragen. Bedrohungsakteure haben zusätzliche Schritte unternommen, um den KI-generierten Ursprung ihrer Profilfotos zu verschleiern, indem sie Filter hinzufügen oder Gesichtsfunktionen retouchieren.
- KI-generiertes Video: Die öffentlich verfügbare KI-Videotechnologie besteht derzeit aus Videovorlagen mit anpassbaren KI-generierten Avataren, die Sprach-zu-Text-Sprache und Videomanipulationstools wie Face-Swaping-Dienste vorfinden. Mandiant hat diese Technologien in den letzten Jahren in Kampagnen beobachtet. Zum Beispiel hat der Bedrohungsakteur Dragonbridge zuvor einen KI-generierten Präsentator in einer Kampagne verwendet.
- KI-generierter Text: Mandiant hat nur eine Instanz von Informationsbetriebsakteuren beobachtet, die auf KI-generierten Text verweisen. Mandiant geht jedoch davon aus, dass das jüngste Aufkommen öffentlich verfügbarer Tools zu einer schnellen Einführung führen könnte.
- KI-generiertes Audio: Mandiant hat wenig bis keine Verwendung von KI-generiertem Audio beobachtet. Sie haben Benutzer solcher Technologien wie 4chan beobachtet, die Audiospuren öffentlicher Figuren erstellen und unangemessene Aussagen machen.
Verbesserung von Verlockungsmaterialien
Bedrohungsakteure können große Sprachmodelle (LLMs) verwenden , um überzeugenderes Material zu generieren, das auf bestimmte Zielgruppen zugeschnitten ist, auch ohne die Sprache des Ziels zu verstehen. LLMs ermöglichen es Bedrohungsakteuren, Textausgabe zu erstellen, die in Phishing-Kampagnen effektiv ist.
Mandiant hat auch Hinweise auf finanziell motivierte Akteure beobachtet, die manipulierte Video- und Sprachinhalte in BEC-Betrugen (Business E-Mail Compromise) verwenden. Es gab auch Fälle von KI-generierten Sprachimitationsbetrugen, bei denen der Bedrohungsakteur als Familienmitglied des Opfers auftritt, um eine emotionale Reaktion hervorzurufen.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„In letzter Zeit wurde viel darüber gesprochen, was KI in der Bedrohungslandschaft tun könnte und wie es Bedrohungsakteure ermöglichen kann. Mandiant macht eine gute Arbeit, um einige der beängstigenden potenziellen Situationen zu beschreiben, die es verursachen könnte, bietet aber auch ein kleines Gefühl der Erleichterung, indem es seine bisher begrenzte Verwendung in der Wildnis bemerkt.“
„Da wir wissen, dass Bedrohungsakteure ihre TTPs regelmäßig weiterentwickeln, um auf neue Technologien zu reagieren, ist es nicht überraschend, dass viele Forscher in Zukunft einen erhöhten Einsatz von KI in Kampagnen erwarten.“
3. Monti Ransomware zielt mit neuem Linux-Locker auf VMware ESXi-Server ab
Der Monti Ransomware-Betrieb (öffnet sich in einer neuen Registerkarte) ist nach einer zweimonatigen Pause von der Auflistung der Opfer auf ihrer Datenleckstelle zurückgekehrt.
Monti Ransomware verwendet jetzt einen neuen Linux-Locker, um VMware ESXi-Server anzuvisieren. Der vorherige Locker basierte stark auf dem durchgesickerten Code von Conti, aber Forscher haben festgestellt (öffnet sich in einer neuen Registerkarte), dass die neue Variante erhebliche Abweichungen von ihren Linux-basierten Vorgängern aufweist.
Über Monti Ransomware
Monti Ransomware verfügt sowohl über Windows- als auch Linux-basierte Varianten und begann erstmals, Juni 2022 aufgrund seiner Ähnlichkeit mit Conti-Ransomware Aufmerksamkeit zu gewinnen. Der Betrieb hat viele weithin anerkannte TTPs der schädlichen Conti-Gruppe genutzt, zusätzlich zur Verwendung eines Großteils des durchsickernen Quellcodes von Conti.
Die Ransomware-Gruppe Monti hat scheinbar eine zweimonatige Pause eingelegt, um Opfer auf ihrer Datenleckstelle auszusetzen, hat aber seitdem den Betrieb wieder aufgenommen, der auf Opfer in den Rechts- und Regierungsbereichen abzielt. Mit ihrer Rendite kommt eine neue Linux-basierte Variante von Monti.
Frühere Monti Linux-Varianten basierten größtenteils auf Conti-Quellcode, während diese neue Version einen anderen Verschlüsselungscode mit einigen unterschiedlichen Verhaltensweisen verwendet. Zum Zeitpunkt dieser Entdeckung hatten nur drei Anbieter diese Variante auf VirusTotal als bösartig markiert. Trend Micro verglich diese Variante mit älteren Monti Linux-Varianten und fand eine Ähnlichkeitsrate von 29 %, was darauf hindeutet, dass mehrere Änderungen vorgenommen worden sein mussten.
Infektionsmarker
Neu bei dieser Variante ist, dass sie die Bytes MONTI anhängt, gefolgt von zusätzlichen 256 Bytes, die mit dem Verschlüsselungsschlüssel verknüpft sind. Die Ransomware überprüft, ob die Dateigröße 261 Byte oder darunter beträgt, entsprechend der Größe des Infektionsmarkers, den sie nach der Verschlüsselung anfügt.
Wenn dies der Fall ist, wird die Ransomware mit ihrem Infektionsprozess fortfahren. Wenn dies nicht wahr ist, überprüft Monti die letzten 261 Bytes der Datei, um das Vorhandensein der MONTI-Zeichenkette zu bestätigen. Wenn die Datei bereits verschlüsselt ist, wird sie übersprungen.
Verschlüsselung
Trend Micro hat festgestellt, dass diese neue Ransomware-Variante AES-256-CTR -Verschlüsselung unter Verwendung von evp_enc aus der OpenSSL-Bibliothek im Vergleich zu Salsa20 verwendete, die in der alten Variante verwendet wurde. Die neue Stichprobe verwendet auch verschiedene Verschlüsselungsmethoden für Dateien, die sich ausschließlich auf die Dateigröße für ihren Verschlüsselungsprozess verlassen.
Die Ransomware verschlüsselt nur die ersten 100 000 Bytes der Datei und fügt ihren Infektionsmarker am Ende der Datei an, wenn sie größer als 1,048MB , aber kleiner als 4,19MB ist. Wenn die Datei diese Größe überschreitet, verwendet sie eine Umschaltrechtsoperation, um die Gesamtgröße der zu verschlüsselnden Datei zu berechnen. Alle Dateien mit einer Größe kleiner als 1,048MB werden verschlüsselt.
Wie frühere Varianten werden alle Dateien mit der Dateierweiterung .monti angehängt. Die Ransomware-Notiz readme.txt wird ebenfalls in jedes Verzeichnis abgelegt. Darüber hinaus hat Trend Micro einen Entschlüsselungscode beobachtet, der darauf hindeutet, dass der Akteur seine Funktionalität testen könnte. Dieser Entschlüsselungscode erwies sich jedoch als unwirksam, da er einen privaten Schlüssel erfordert, der nur dem Autor bekannt ist.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Monti Ransomware machte aufgrund seines relativ geringen Angriffsvolumens nie viele Schlagzeilen in den Nachrichten, aber das ist nicht zu sagen, dass es als Bedrohung ignoriert werden sollte.
Die Bedrohungsakteure hinter diesem Vorgang beginnen nun, sich von der ausschließlichen Verwendung von undichtem Conti-Quellcode abzuwenden und fügen neue Funktionen hinzu. Monti folgt dem Weg vieler anderer Ransomware-Banden, indem er daran arbeitet, seine Fähigkeit zu verbessern, Erkennung zu umgehen.“
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium , um ein Gespräch zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
