Den Auftakt in unserem Wochenrückblick bildet ein Blick auf die Entwickler hinter der berüchtigten Malware „Raccoon Stealer“ sowie das Ende ihrer Pause in Hackerforen. Anschließend befasst sich CTI mit der von Mandiant durchgeführten Untersuchung des Interesses von Angreifern an KI-Fähigkeiten. Abschließend liefert CTI nach einer zweimonatigen Pause eine detaillierte Analyse der „Monti“-Ransomware-Operation.
1. Die Malware „Raccoon Stealer“ taucht erneut auf
Die Entwickler der berüchtigten Malware „ “ („Raccoon Stealer“) (wird in einem neuen Tab geöffnet) haben ihre Pause in Hackerforen beendet und bewerben nun wieder eine neue Version. Diese Entdeckung erfolgte einige Monate, nachdem einer der Hauptbetreiber aufgrund seiner Beteiligung an der „ “-Raccoon-Malware-as-a-Service (MaaS)- (öffnet in einem neuen Tab) verhaftet worden war.
Racoon Stealer: Eine kurze Einführung
„Raccoon Stealer“ wurde erstmals im Jahr 2019 beobachtet, als es in verschiedenen Foren für Cyberkriminalität als Informationsdieb beworben wurde. Die Malware gewann aufgrund ihrer Einfachheit an Beliebtheit, da sie auf viele fortgeschrittene Funktionen verzichtete und sich stattdessen stärker auf den Diebstahl konzentrierte.
Raccoon-Vorfälle beginnen häufig im Rahmen von Malspam-Kampagnen mit dem Versand bösartiger Anhänge. Die Malware verbreitet sich zudem über Exploit-Kits von Drittanbietern und andere Malware-Familien.
Im Rahmen der Operation „ Oktober 2022“ wurde einer der wichtigsten Betreiber der „Raccoon Stealer“-Gruppe festgenommen, der für die Infrastruktur der Operation verantwortlich war. Dem FBI gelang es, gestohlene Daten von mehreren Computern zu sichern, die mit der Schadsoftware infiziert waren. Diese Festnahme führte zu einer vorübergehenden Unterbrechung der Operation – bis vor kurzem, als Raccoon in einem Beitrag in einem Hackerforum seine Rückkehr ankündigte.
Die neuen Funktionen von Raccoon
- Schnellsuche nach Cookies und Passwörtern: Ein neues Admin-Panel bietet eine einfache Möglichkeit, nach URLs zu suchen. Mit dieser Funktion lassen sich bestimmte Links in großen Datensätzen schnell und einfach finden – selbst bei Millionen von Dokumenten und Tausenden verschiedener Links. Die Integration einer Schnellsuchfunktion stellt einen bedeutenden Fortschritt für die Malware dar und bietet den Angreifern ein neues Maß an Komfort.
- Automatische Bot-Blockierung und Anzeige im Kontrollpanel: Der Info-Stealer verfügt über ein neues System zur Erkennung ungewöhnlicher Aktivitätsmuster, wie beispielsweise mehrfache Zugriffe von derselben IP-Adresse oder demselben IP-Bereich. Dieses verdächtige Verhalten führt zur automatischen Löschung der mit dieser Aktivität verbundenen Datensätze, wodurch es für Sicherheitswerkzeuge von , die Automatisierungs en und Bots nutzen, schwieriger wird, die Malware zu erkennen.
- Meldesystem: In dieser Version wurde ein Meldesystem hinzugefügt, um IP-Adressen zu sperren, die von Crawlern und Bots verwendet werden, und so zu verhindern, dass diese den Datenverkehr von Raccoon überwachen.
- Protokollstatistiken: Anhand der Protokollstatistiken können Angreifer, die den Info-Stealer erwerben, die Länder mit den meisten Protokollen einsehen.
Weitere Anmerkungen
Verhalten und Fähigkeiten
Raccoon Stealer zielt auf eine Reihe von Anwendungen ab und nutzt dabei spezifische Techniken, um Daten zu stehlen. Das Programm extrahiert die Anwendungsdatei, die sensible Daten enthält, kopiert sie in einen temporären Ordner und erstellt bzw. schreibt eine Textdatei mit den gestohlenen Daten in den Ordner der Anwendung.
Um die Anmeldedaten aus Anwendungen zu erfassen und zu entschlüsseln, wird das Programm die mit der Anwendung verbundenen DLLs abrufen und herunterladen. Die gestohlenen Daten werden in einer Datei namens „log.zip“ zusammengefasst, bevor sie an den Command-and-Control-Server (C2) des Angreifers gesendet werden.
Bedienfeld
Raccoon-Abonnenten haben zudem Zugriff auf ein zentrales Kontrollpanel über einen Tor-Onion-Service. Über das Panel können sie Kampagnenkonfigurationen erstellen und verwalten, Raccoon-Malware-Payloads erstellen sowie gestohlene Daten einsehen. Es ist auf Englisch und Russisch verfügbar und der Zugriff erfolgt über einen Benutzernamen und ein Passwort, die Sie vermutlich bei der Anmeldung erhalten haben.
Das Bedienfeld nutzt JavaScript-Ressourcen, auf die ohne Authentifizierung zugegriffen werden kann. Dadurch konnten die Forscher einige der derzeitigen Funktionen ermitteln. Außerdem werden Texte zu den Abschnitten „Nutzungsbedingungen“ und „Häufig gestellte Fragen“ angezeigt. Die offengelegte JavaScript-Ressource enthüllte die folgenden Menüoptionen, die den Administratoren von Raccoon zur Verfügung stehen: alle Protokolle, Statistiken, Neuigkeiten, Proxys und Benutzer.
Statistik-Fenster
Ein Statistik-Fenster bietet einen Überblick über aktive „Raccoon Stealer“-Kampagnen. Im Bereich „Konto“ werden die aktuellen Guthaben angezeigt, die sich voraussichtlich auf Abonnementgebühren beziehen. Außerdem werden die Konfigurationsoptionen für die MFA sowie eine Funktion zum Zurücksetzen des Passworts angezeigt.
Builds/Konfiguration
Wie aus dem FAQ-Abschnitt hervorgeht, können Abonnenten einen einzelnen Build erstellen; es werden jedoch auch mehrere Konfigurationen unterstützt, die ab der C2 . Kampagnenhälfte aktualisiert bzw. heruntergeladen werden können.
Nach der Definition und Auswahl einer Konfiguration ermöglicht der Build-Prozess dem Angreifer, eine DLL oder eine ausführbare Datei zu erstellen, um die Nutzlast zu übertragen und auszuführen. Das neue Raccoon MaaS ermöglicht es zudem, die neu entwickelte Nutzlast in einer von den Raccoon-Betreibern verwalteten virtuellen Maschine zu testen. Im Rahmen des Tests wird dem Teilnehmer über das Bedienfeld eine Benachrichtigung gesendet, die ihn über die erfolgreiche Ausführung und die Kommunikation mit dem C2 informiert.
Nutzlast
Zahlreiche Angreifer nutzen mittlerweile schädliche Dokumentanhänge, um im Rahmen von Malspam-Kampagnen Racoon-Payloads zu verbreiten.
Jede Payload versucht, mit scheinbar harmlosen oder legitimen URLs zu kommunizieren; dabei wird eine verschlüsselte Zeichenfolge erfasst bzw. verarbeitet, um die eigentliche C2 -URL zu ermitteln. Derzeit kommuniziert es mit Websites, die URL-Kürzungsdienste für Telegram anbieten.
Raccoon Stealer extrahiert Anmeldedaten, Cookies und Zahlungskartendaten aus zahlreichen Webbrowsern und Kryptowährungs-Wallets. Neben dem Datendiebstahl erfasst die Malware Systeminformationen, darunter Angaben zur Build-Version des Betriebssystems, zur Hardware und zu den installierten Anwendungen. Ein ZIP-Archiv zur Datenexfiltration wird verwendet, um diese Daten auf einen C2 -Gate-Server hochzuladen.
Zusätzliche Nutzlasten
Sobald „Raccoon Stealer“ die Datenexfiltration abgeschlossen hat, kann der Angreifer den Download bzw. die Ausführung weiterer Payloads einleiten. Diese Nutzdaten variieren je nach dem Endziel des Angreifers. Zu den jüngsten Beobachtungen zählen unter anderem das Einsetzen zusätzlicher Malware zur Aufrechterhaltung des Fernzugriffs sowie Cryptojacking-Payloads.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Aktualisierungen der berüchtigten Malware ‚Raccoon Stealer‘ zeigen, wie raffiniert ihre Betreiber mittlerweile vorgehen. Dies zeigt zudem, dass das Eingreifen des FBI und Festnahmen nicht immer ausreichen, um Bedrohungsakteure und Malware-Betreiber unschädlich zu machen.“
„Die Einführung einer VM-Umgebung, in der Angreifer ihre Raccoon-Builds ausführen und testen können, ist recht neuartig und wird den Info-Stealer wahrscheinlich attraktiver machen.“
2. Der Einsatz generativer KI ist trotz wachsenden Interesses nach wie vor begrenzt
Seit einigen Jahren beobachtet Mandiant das Interesse von Angreifern an KI-Fähigkeiten (wird in einem neuen Tab geöffnet). Ihren Beobachtungen zufolge ist der Einsatz von KI bei Angriffen nach wie vor begrenzt und steht in erster Linie im Zusammenhang mit Social Engineering.
Dennoch wird KI bereits aktiv in der Praxis eingesetzt, wobei Akteure aus dem Bereich der operativen Maßnahmen derzeit KI-generierte Inhalte in ihren Kampagnen verwenden.
Einsatz generativer KI in Informationsoperationen
Laut Mandiant haben KI-Technologien das Potenzial, die Fähigkeiten von Angreifern erheblich zu erweitern.
Dies liegt daran, dass generative KI es auch unerfahrenen Angreifern ermöglicht, Inhalte von höherer Qualität in großem Umfang zu erstellen und dabei sprachliche Barrieren zu überwinden. Von KI generierte Inhalte könnten zudem überzeugender sein. Ein Beispiel hierfür sind KI-Modelle, die anhand der Stimmen realer Personen trainiert werden, um Audiofälschungen zu erstellen.
Die Einführung von KI bei den Akteuren im operativen Bereich
Die Einführung von KI wird voraussichtlich je nach Medienform unterschiedlich ausfallen. Dies ist auf die Verfügbarkeit der entsprechenden Mittel sowie auf die Wirksamkeit der jeweiligen Medienform zurückzuführen, emotionale Reaktionen hervorzurufen.
- Durch KI erzeugte Bilder: Mandiant hat mehrere Fälle von Operationen identifiziert, bei denen durch KI erzeugte Bilder zum Einsatz kamen. Die öffentliche Verfügbarkeit von Tools zur Erstellung KI-generierter Bilder hat wahrscheinlich zu deren häufiger Nutzung beigetragen. Angreifer haben zusätzliche Maßnahmen ergriffen, um die durch KI erzeugte Herkunft ihrer Profilfotos zu verschleiern, indem sie Filter hinzugefügt oder Gesichtszüge retuschiert haben.
- KI-generierte Videos: Die derzeit öffentlich zugängliche KI-Videotechnologie umfasst Videovorlagen mit anpassbaren, KI-generierten Avataren, die per Sprach-zu-Text-Funktion vorlesen, sowie Tools zur Videobearbeitung wie beispielsweise Dienste zum Austausch von Gesichtern. Mandiant hat diese Technologien in den letzten Jahren im Rahmen verschiedener Kampagnen beobachtet. So hat beispielsweise die Hackergruppe „Dragonbridge“ in einer Kampagne bereits einen KI-generierten Moderator eingesetzt.
- Durch KI generierter Text: Mandiant hat bislang nur einen einzigen Fall beobachtet, in dem Akteure im Bereich der Informationsoperationen auf durch KI generierten Text Bezug genommen haben. Mandiant geht jedoch davon aus, dass das jüngste Aufkommen öffentlich zugänglicher Tools zu einer raschen Verbreitung führen könnte.
- Durch KI erzeugte Audiodateien: Mandiant hat festgestellt, dass durch KI erzeugte Audiodateien kaum oder gar nicht verwendet werden. Sie haben beobachtet, dass Nutzer solcher Technologien, wie beispielsweise „ 4chan“, Tonaufnahmen von Persönlichkeiten des öffentlichen Lebens erstellen, in denen diese unangemessene Äußerungen tätigen.
Verbesserung der Materialien für Köder
Angreifer können große Sprachmodelle (LLMs) nutzen, um überzeugenderes Material zu erstellen, das auf bestimmte Zielgruppen zugeschnitten ist, selbst wenn sie die Sprache der Zielperson nicht verstehen. Mithilfe von LLMs können Angreifer Textinhalte erstellen, die sich besonders gut für Phishing-Kampagnen vom Typ „ “ eignen:.
Mandiant hat zudem Hinweise darauf festgestellt, dass finanziell motivierte Akteure manipulierte Video- und Audioinhalte bei Betrugsmaschen im Rahmen von „Business Email Compromise“ (BEC) einsetzen. Es gab zudem Fälle von Betrugsversuchen mittels KI-generierter Stimmenimitation, bei denen sich der Angreifer als Familienmitglied des Opfers ausgibt, um eine emotionale Reaktion hervorzurufen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„In letzter Zeit wurde viel darüber diskutiert, wie sich KI auf die Bedrohungslage auswirken könnte und inwiefern sie Angreifern neue Möglichkeiten eröffnet. „Mandiant beschreibt sehr anschaulich einige der beängstigenden potenziellen Szenarien, die dadurch entstehen könnten, vermittelt aber auch ein gewisses Maß an Erleichterung, indem es darauf hinweist, dass die Nutzung in der Praxis bislang begrenzt ist.“
„Da wir wissen, dass Angreifer ihre TTPs regelmäßig weiterentwickeln, um auf neue Technologien zu reagieren, ist es nicht verwunderlich, dass viele Forscher davon ausgehen, dass KI in Zukunft verstärkt in Angriffskampagnen zum Einsatz kommen wird.“
3. Die Ransomware „Monti“ greift VMware-ESXi-Server mit einer neuen Linux-Verschlüsselungsvariante an
Die Ransomware-Gruppe „Monti“ (wird in einem neuen Tab geöffnet) ist nach einer zweimonatigen Pause, in der keine Opfer mehr auf ihrer Website für Datenlecks aufgeführt wurden, wieder aktiv.
Die Ransomware „Monti“ nutzt nun einen neuen Linux-Locker, um VMware-ESXi-Server anzugreifen. Die bisherige „Locker“-Variante basierte weitgehend auf dem von Conti durchgesickerten Code, doch Forscher von haben festgestellt, dass (wird in einem neuen Tab geöffnet) die neue Variante erhebliche Abweichungen von ihren Linux-basierten Vorgängern aufweist.
Über die Ransomware „Monti“
Die Ransomware „Monti“ ( ) existiert sowohl in Windows- als auch in Linux-basierten Varianten und erregte erstmals im Jahr Juni 2022 aufgrund ihrer Ähnlichkeit mit der Ransomware „Conti“ Aufmerksamkeit. Bei dieser Operation wurden zahlreiche weithin bekannte TTPs der berüchtigten Conti-Gruppe genutzt, zusätzlich zur Verwendung eines Großteils des durchgesickerten Quellcodes von Conti.
Die Ransomware-Gruppe „Monti“ hat offenbar eine zweimonatige Pause eingelegt, in der sie keine Opfer auf ihrer Website für Datenlecks veröffentlichte, hat ihre Aktivitäten jedoch inzwischen wieder aufgenommen und zielt dabei auf Opfer aus den Bereichen Rechtswesen und öffentliche Verwaltung ab. Mit ihrer Rückkehr erscheint eine neue, auf Linux basierende Variante von Monti.
Frühere Varianten von Monti Linux basierten größtenteils auf dem Quellcode von Conti, während diese neue Version einen anderen Verschlüsselungsalgorithmus mit einigen abweichenden Verhaltensweisen verwendet. Zum Zeitpunkt dieser Entdeckung hatten lediglich drei Anbieter diese Variante auf VirusTotal als schädlich gekennzeichnet. Trend Micro hat diese Variante mit älteren Monti-Linux-Varianten verglichen und eine Übereinstimmungsrate von 29 % festgestellt, was darauf hindeutet, dass mehrere Änderungen vorgenommen worden sein müssen.
Infektionsmarker
Eine Neuerung bei dieser Variante besteht darin, dass die Bytes „MONTI“ angehängt werden, gefolgt von weiteren 256 Bytes, die mit dem Verschlüsselungsschlüssel verknüpft sind. Die Ransomware prüft, ob die Dateigröße 261 Byte oder weniger beträgt, was der Größe des Infektionsmarkers entspricht, den sie nach der Verschlüsselung an die Datei anhängt.
Sollte dies zutreffen, setzt die Ransomware ihren Infektionsprozess fort. Sollte dies nicht der Fall sein, überprüft Monti die letzten 261 Bytes der Datei, um das Vorhandensein der Zeichenfolge „MONTI“ zu bestätigen. Falls die Datei bereits verschlüsselt ist, wird sie übersprungen.
Verschlüsselung
Trend Micro hat festgestellt, dass diese neue Ransomware-Variante die Verschlüsselung AES-256-CTR unter Verwendung von „evp_enc“ aus der OpenSSL-Bibliothek einsetzte, während in der alten Variante die Verschlüsselung Salsa20 verwendet wurde. Das neue Beispiel nutzt zudem verschiedene Verschlüsselungsmethoden für Dateien und stützt sich bei seinem Verschlüsselungsprozess ausschließlich auf die Dateigröße.
Die Ransomware verschlüsselt lediglich die ersten 100 000 Bytes der Datei und fügt ihren Infektionsmarker am Ende der Datei an, sofern diese größer als 1,048MB , aber kleiner als 4,19MB ist. Sollte die Datei diese Größe überschreiten, wird eine Rechtsverschiebung durchgeführt, um die Gesamtgröße der zu verschlüsselnden Datei zu berechnen. Alle Dateien, deren Größe kleiner als 1,048MB ist, werden verschlüsselt.
Wie bei früheren Varianten erhalten alle Dateien die Dateiendung .monti. Die Lösegeldforderung „readme.txt“ wird ebenfalls in jedem Verzeichnis abgelegt. Darüber hinaus hat Trend Micro einen Entschlüsselungscode entdeckt, der darauf hindeutet, dass der Angreifer möglicherweise dessen Funktionalität testet. Es stellte sich jedoch heraus, dass dieser Entschlüsselungscode unwirksam war, da er einen privaten Schlüssel erfordert, der nur dem Verfasser bekannt ist.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Ransomware ‚Monti‘ hat aufgrund ihres relativ geringen Angriffsvolumens in den Nachrichten kaum für Schlagzeilen gesorgt, doch das bedeutet nicht, dass sie als Bedrohung ignoriert werden sollte.
Die Angreifer hinter dieser Operation weichen nun allmählich von der ausschließlichen Verwendung des durchgesickerten Conti-Quellcodes ab und fügen eigene neue Funktionen hinzu. „Monti folgt dem Beispiel vieler anderer Ransomware-Gruppen und arbeitet daran, seine Fähigkeiten zur Umgehung der Erkennung zu verbessern.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
