Die staatlich unterstützte russische Hackergruppe „ APT29 continues “ sorgt für Schlagzeilen und Kopfzerbrechen. In dieser Woche befassen wir uns eingehend mit der neuen Funktion des Angreifers namens „MagicWeb“, die nach einer Kompromittierung zum Einsatz kommt und es APT29 ermöglicht, sich als beliebige Person innerhalb eines kompromittierten Netzwerks zu authentifizieren. Zudem untersuchen wir, wie APT29 die Azure Active Directory-Dienste ausnutzt, um Konten von Organisationen in den USA und aus NATO-Mitgliedstaaten zu hacken. Darüber hinaus bieten wir Ihnen Einblicke dazu, wie Hacker das Sliver-Toolkit als Alternative zu Cobalt Strike nutzen.
1. Microsoft erläutert APT29’s Techniken zur Authentifizierung als beliebige Person nach einem Sicherheitsvorfall
Ein neuer Bericht des Microsoft Threat Intelligence Center (MSTIC) enthüllt, wie die vom russischen Staat unterstützte APT-Gruppe (Advanced Persistent Threat) „ APT29 “ – auch bekannt als „Nobelium“ und „Cozy Bear“ – ein Pionierwerk im Bereich der „“-Post-Exploitation-Tools namens „MagicWeb“ entwickelt hat: (öffnet in einem neuen Tab). Dieses Tool ermöglicht es Angreifern, sich als beliebiger Benutzer zu authentifizieren.
Microsoft hat eine Funktion zur Aufrechterhaltung des Zugriffs nach einer Kompromittierung entdeckt, die wir „MagicWeb“ nennen und die der als NOBELIUM identifizierte Angreifer nutzt, um sich dauerhaften Zugriff auf die von ihm kompromittierten Umgebungen zu sichern. Ausführliche technische Analysen und Anleitungen zur Jagd finden Sie hier: msft.it/6016jeB4i
Wer ist APT29?
Falls Sie neu bei APT29 sind: Diese Gruppe ist äußerst aktiv, vielseitig und in der Lage, mehrere Kampagnen gleichzeitig durchzuführen. Zu den Zielgruppen der Gruppe zählen Regierungsorganisationen, Nichtregierungsorganisationen (NGOs), zwischenstaatliche Organisationen (IGOs) sowie Thinktanks mit Sitz in den USA, Europa und Zentralasien.
Was ist MagicWeb?
APT29 nutzt nun eine als „MagicWeb“ bezeichnete Funktion für die Zeit nach dem Einbruch, die es der Gruppe ermöglicht, einen dauerhaften Zugriff auf kompromittierte Umgebungen aufrechtzuerhalten und sich lateral zu bewegen. MagicWeb besteht aus einer schädlichen DLL, die die Manipulation von Tokens ermöglicht, die von einem Active Directory Federated Services (AD FS)-Server generiert werden. MagicWeb verarbeitet die für die Authentifizierung erforderlichen Benutzerauthentifizierungszertifikate, im Gegensatz zu Signaturzertifikaten.
Die Forscher von MSTIC gehen davon aus, dass MagicWeb höchstwahrscheinlich zu einem bestimmten Zeitpunkt im Verlauf einer andauernden Kompromittierung eingesetzt wurde und von APT29 genutzt wurde, um den Zugriff während „strategischer Abhilfemaßnahmen, die eine Entfernung verhindern könnten“, aufrechtzuerhalten.
In dem Bericht heißt es weiter: „… in ‚ September 2021‘ hat Microsoft eine Post-Exploitation-Fähigkeit namens FoggyWeb (öffnet in einem neuen Tab) beschrieben, deren Methoden und Absichten denen von MagicWeb ähneln.“ FoggyWeb war in der Lage, die Konfigurationsdatenbank kompromittierter AD FS-Server zu exfiltrieren, die Token-Signaturzertifikate von (öffnet in einem neuen Tab) sowie die Token-Entschlüsselungszertifikate von (öffnet in einem neuen Tab) zu entschlüsseln und zusätzliche Malware-Komponenten herunterzuladen und auszuführen. „MagicWeb geht über die Erfassungsfunktionen von FoggyWeb hinaus, indem es einen verdeckten Zugriff direkt ermöglicht.“
Maßnahmen zur Risikominderung für MagicWeb
APT29’s ability to deploy MagicWeb hinges entirely upon obtaining access to the highly privileged credentials with administrative access to AD FS servers. Daher ist es von entscheidender Bedeutung, AD FS-Systeme als hochrangige, äußerst kritische Ressourcen zu behandeln und ihnen dieselben Schutzmaßnahmen zukommen zu lassen, die Sie auch für Domänencontroller oder andere Ressourcen in Ihrer IT-Infrastruktur anwenden würden, die als kritisch eingestuft werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Wie MSTIC deutlich gemacht hat, ist MagicWeb als Funktion für die APT29 kein völlig neues Terrain – ebenso wenig wie der Missbrauch von Identitäten und zugangsberechtigten Konten durch die Gruppe.“
Angesichts der hohen Raffinesse von APT29’s , seiner bisherigen Bilanz an hochkarätigen Sicherheitsverletzungen, seiner kontinuierlichen methodischen Weiterentwicklungen und der Erweiterungen seines Malware-Arsenals ist es erfreulich zu sehen, dass MSTIC gegen Ende seines Berichts einige empfohlene Leitlinien für die Suche sowie fortgeschrittene Suchabfragen bereitgestellt hat. „Sowohl Microsoft Defender Antivirus als auch Defender for Endpoint erkennen diese Bedrohung bzw. geben eine entsprechende Warnmeldung aus.“
2. Russische Hacker nutzen Azure-Dienste aus, um Microsoft- 365 -Konten der USA und der NATO zu hacken
Jüngste Berichte des Cybersicherheitsunternehmens Mandiant zeigen, dass APT29 aktiv Microsoft-Konten 365 ins Visier nimmt, die Organisationen in den USA und der NATO gehören (wird in einem neuen Tab geöffnet) , um sensible Daten zu stehlen.
APT29’s Die jüngsten Aktivitäten sind durch Spionagekampagnen gekennzeichnet, bei denen weiterhin großer Wert auf operative Sicherheit (OPSEC) gelegt wird und die sich durch ausgefeilte Taktiken gegen Microsoft 365 auszeichnen.
Mandiant hebt die folgenden APT29 TTPs hervor, die bei jüngsten Operationen zum Einsatz kamen:
- Deaktivierung von Lizenzen: Microsoft 365 nutzt verschiedene Lizenzen, um den Zugriff der Benutzer auf die Dienste seiner Produktfamilie zu regeln. Diese Lizenzen legen häufig auch Sicherheitseinstellungen fest, wie beispielsweise die Aufbewahrungsdauer von Protokollen und die Dokumentation des Zugriffs auf E-Mail-Nachrichten.
Die Purview-Prüfung aktiviert die Prüfung „Zugriffe auf E-Mail-Nachrichten“, die bei jedem Zugriff auf eine E-Mail-Nachricht die User-Agent-Zeichenkette, den Zeitstempel, die IP-Adresse und den Benutzer aufzeichnet. Das Protokoll erfasst jede Art des Zugriffs auf E-Mails, unabhängig davon, ob dieser über die Graph-API, Outlook, einen Browser oder auf andere Weise erfolgt.
- Übernahme inaktiver Konten durch MFA: Trotz der zahlreichen Vorteile der Multi-Faktor-Authentifizierung (MFA) ist diese nach wie vor anfällig für Angriffe – und Angreifer entwickeln ständig neue Methoden, um sie zu umgehen. Mandiant hat bereits zuvor erläutert, wie Angreifer die Push-basierte MFA von missbrauchen (wird in einem neuen Tab geöffnet) , um Nutzer mit Benachrichtigungen zu überhäufen, bis diese schließlich die Aufforderung akzeptieren und dem Angreifer Zugriff gewähren.
- Fokus auf OPSEC: Wie die jüngste Aktivitätswelle zeigt, beweist die APT29 weiterhin ein großes Engagement für OPSEC sowie für Sicherheits- und Tarnungsmethoden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Für diejenigen unter uns, die den größten Teil ihrer beruflichen Laufbahn damit verbracht haben, die Entwicklung von APT29’s mitzuverfolgen, ist klar, dass dieser Akteur den Zugang zu den Ressourcen, Schulungen und Werkzeugen, über die die staatlich geförderten Hackerteams Russlands verfügen – insbesondere jene mit eindeutigen Verbindungen zum staatlichen Geheimdienstapparat –, optimal genutzt hat. APT29 hat ein starkes Engagement bei der kontinuierlichen Weiterentwicklung und Verbesserung seiner technischen Vorgehensweisen gezeigt, insbesondere was die Verfeinerung der von APT29 eingesetzten Methodik zur Aufrechterhaltung eines hohen Maßes an OPSEC betrifft.“
Es handelt sich um eine Gruppe, die sich als voll und ganz fähig erwiesen hat, mit dem technologischen Fortschritt Schritt zu halten, und – um einen Ausdruck aus dem „Outlook“-Abschnitt von Mandiant zu verwenden – CTI geht voll und ganz davon aus, „dass APT29 mit der Entwicklung von Techniken und Taktiken Schritt halten wird, um auf neuartige und heimliche Weise auf Microsoft 365 zuzugreifen.“
3. Hacker nutzen das Sliver-Toolkit als Alternative zu Cobalt Strike
Ein Blogbeitrag von 24. August Microsoft (wird in einem neuen Tab geöffnet)berichtet, dass Angreifer die beliebte und äußerst effektive Penetrationstest-Suite „Cobalt Strike“ zugunsten ähnlicher, jedoch weniger bekannter Frameworks wie , „Brute Ratel“ (wird in einem neuen Tab geöffnet) und zuletzt dem als „Sliver“ bekannten plattformübergreifenden Open-Source-Kit aufgegeben haben.
Nach Angaben von Microsoft haben die Forscher des Unternehmens beobachtet, dass das „Sliver“-Command-and-Control-Framework (C2) zunehmend bei Angriffskampagnen eingesetzt wird, die von staatlich geförderten Akteuren und auf Ransomware und Erpressung spezialisierten Cyberkriminalitätsgruppen durchgeführt werden, und dass es zudem von einer Reihe weiterer Akteure genutzt wird, um einer Entdeckung zu entgehen.
Sliver wurde erstmals im Jahr 2019 vorgestellt und an Sicherheitsexperten vermarktet. Es handelt sich um ein Open-Source-Framework, das in Go geschrieben wurde und auf GitHub verfügbar ist. Sliver verfügt über mehrere Standardfunktionen des C2 -Frameworks, darunter die Unterstützung mehrerer gleichzeitiger Benutzer, verschiedene Listener-Typen, benutzerdefinierte Erweiterungen und die Generierung von Nutzdaten. Microsoft gibt an, seit dem Dezember 2020 beobachtet zu haben, dass Angreifer Sliver in ihre Toolkits integrieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Cobalt Strike ist seit langem ein bevorzugtes Framework für Angreifer aller Art. Daher sind die Erkennungsstrategien der Verteidiger stetig ausgereifter geworden, und da die Einsatzmethoden der Cyberkriminellen bereits umfassend dokumentiert sind, ist es kaum verwunderlich, dass immer mehr Angreifer sich anderen Malware-Frameworks wie Sliver zuwenden. Ob nun gerade dieses Framework zum neuen „MVP“ der Cyberkriminalität wird oder ob diese Auszeichnung letztendlich einem anderen Framework zuteilwird, ist letztlich von geringer Bedeutung – vorausgesetzt, dass Unternehmen proaktiv daran arbeiten, Strategien zur Erkennung und Prävention künftiger Fälle der böswilligen Aktivitäten zu entwickeln, zu deren Auslösung Sliver und ähnliche Systeme beitragen können.“
Möchten Sie erfahren, wie die „Converged Endpoint Management (XEM)“-Lösung von Tanium dazu beitragen kann, Ihr Unternehmen vor Cyberbedrohungen zu schützen? Testen Sie Tanium noch heute.
Sie können hier auch unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von „ “ einsehen:.
