CTI Roundup: Nordkoreanische Andariel-Gruppe greift mit EarlyRat-Malware an

Als Erstes in unserem Wochenrückblick befasst sich CTI mit der Ransomware-Gruppe „ 8Base “ und deren jüngstem Aktivitätsanstieg. Als Nächstes untersucht CTI „Volt Typhoon“ – eine mit China in Verbindung stehende APT-Gruppe (Advanced Persistent Threat), die neuartige Methoden einsetzt, um sich Zugang zu den Netzwerken ihrer Ziele zu verschaffen. Abschließend untersucht CTI einen neuen Bericht, aus dem hervorgeht, wie Andariel, ein von Nordkorea unterstützter Angreifer, im vergangenen Jahr bei Cyberangriffen, bei denen die Sicherheitslücke „ Log4j Log4Shell “ ausgenutzt wurde, eine bislang unbekannte Malware eingesetzt hat.

Die Ransomware „8Base “ verzeichnet einen sprunghaften Anstieg ihrer Aktivitäten und bedroht Unternehmen in den USA und Brasilien

Die Threat Analysis Unit von VMware hat ihren Analysebericht „ “ (wird in einem neuen Tab geöffnet) zur Ransomware-Gruppe „ 8Base “ veröffentlicht und führt einen massiven Anstieg der Aktivitäten im Mai und Juni dieses Jahres auf diese Bande zurück.

Hier sind einige wichtige Erkenntnisse aus dem Bericht:

• Es scheint, als sei „ 8Base “ eher die Fortsetzung einer bereits etablierten Ransomware-Gruppe als eine neue Operation. Dies ist auf Ähnlichkeiten zurückzuführen, die bei den Taktiken der jüngsten 8Base -Ransomware-Angriffe festgestellt wurden.
• Die Ransomware-Gruppe „ 8Base “, die sich selbst als „einfache Penetrationstester“ bezeichnet, ist bereits seit März 2022 aktiv, hat jedoch erst im Mai des Jahres 2023 ihre Website zur Veröffentlichung gestohlener Daten (wird in einem neuen Tab geöffnet) ins Leben gerufen. Die Gruppe steigerte die Zahl ihrer Angriffe im Mai rasant und führte auf ihrer Veröffentlichungsseite für diesen Monat etwa 30 Opfer auf, verglichen mit weniger als fünf im Vormonat.
• Die neu entdeckte Ransomware-Bande war für rund 15 % aller Ransomware-Angriffe im Jahr Mai 2023 verantwortlich. Um diese Zahl in einen Zusammenhang zu setzen: Die berüchtigte LockBit-Gruppe ( ) war im selben Monat für 18 % der Ransomware-Angriffe verantwortlich.
• Laut Malwarebytes und NCC-Gruppe (wird in einem neuen Tab geöffnet) wurde „ 8Base “ bis zum Stand vom Mai 2023 mit insgesamt 67 Angriffen in Verbindung gebracht. Von diesen Angriffen betrafen etwa 50 % der Opfer die Branchen Unternehmensdienstleistungen, verarbeitendes Gewerbe und Finanzwesen.
• 8Base scheint sich vorwiegend an kleine und mittlere Unternehmen (KMU) zu richten, wobei die meisten Opfer in den USA und in Brasilien zu finden sind.

8Base und RansomHouse: Inwiefern hängen diese beiden zusammen?

VMware stellte erhebliche Ähnlichkeiten zwischen dieser Operation und der Cyberkriminalitätsoperation „RansomHouse“ fest. Es ist jedoch wichtig zu beachten, dass RansomHouse verschiedene Arten von Ransomware einsetzt, die alle im Dark Web erhältlich sind. Die Gruppe verfügt über keine eigene, charakteristische Ransomware.

Forscher stellten fest, dass die Sprachmerkmale in den von diesen Gruppen verbreiteten Lösegeldforderungen zu 99 % übereinstimmten. Zudem führten sie einen direkten Vergleich der Leak-Seiten der einzelnen Gruppen durch und stellten erneut fest, dass der Wortlaut nahezu identisch war. Zudem wurden die Startseiten, die Nutzungsbedingungen und die FAQ-Seiten beider Leak-Seiten Wort für Wort kopiert.

Beim Vergleich der beiden Bedrohungsgruppen stellten die Forscher lediglich zwei wesentliche Unterschiede fest. Der erste wesentliche Unterschied besteht darin, dass RansomHouse seine Partnerschaften öffentlich bekannt gibt und aktiv nach neuen Partnern sucht, während 8Base dies nicht tut. Der zweite wesentliche Unterschied betrifft das Layout und die Gestaltung der Leak-Seiten selbst.

8Base und die Ransomware „Phobos“

Während Forscher nach einer Ransomware-Probe der Gruppe „ 8Base Ransom“ suchten, stießen sie auf eine Phobos-Ransomware-Probe, die für ihre verschlüsselten Dateien die Dateiendung .8base verwendet.

Eine eingehendere Untersuchung ergab, dass 8Base die Phobos-Version 2,9,1 verwendete, auf der SmokeLoader installiert war. Da Phobos als „Ransomware-as-a-Service“ (RaaS)- unter dem Namen „“ betrieben wird, ist es nicht verwunderlich, dass dies geschehen ist. Angreifer können Teile der Ransomware an ihre eigenen Bedürfnisse anpassen, was hier wahrscheinlich der Fall ist.

Zwar bot die Version 8Base mit der Dateiendung .8base zusätzliche Anpassungsmöglichkeiten, doch entsprach das Format des gesamten angehängten Teils dem von Phobos. Es enthielt ein Feld für die Identifikationsnummer, eine E-Mail-Adresse und eine Dateiendung.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Auch wenn LockBit und Cl0p in letzter Zeit den Ransomware-Markt zu dominieren scheinen, scheint 8Base sich dieser Herausforderung zu stellen. „Tatsächlich hat sich die Gruppe in den letzten 30 Tagen unter die beiden führenden Erpressergruppen eingereiht.“

„Leider liegen nur wenige öffentlich zugängliche Informationen über die Vorgehensweisen, Taktiken oder zugrunde liegenden Beweggründe dieser Gruppe vor.“

VMware fasst seine Überlegungen zu dieser Gruppe wie folgt zusammen:

Derzeit können wir lediglich vermuten, dass sie mehrere verschiedene Arten von Ransomware einsetzen – entweder als frühere Varianten oder als Teil ihrer üblichen Vorgehensweise. Was wir wissen, ist, dass diese Gruppe äußerst aktiv ist und kleinere Unternehmen ins Visier nimmt.

„Auch wenn bislang nur wenig über diese Gruppe bekannt ist, zählt 8Base nach wie vor zu den aktivsten Ransomware-Gruppen dieses Sommers.“

2. Die mit China in Verbindung stehende APT-Gruppe „Volt Typhoon“ nutzt neuartige Vorgehensweisen, um sich Zugang zu den Zielnetzwerken zu verschaffen

Forscher von CrowdStrike geben an, beobachtet zu haben, dass die mit China in Verbindung stehende APT-Gruppe (Advanced Persistent Threat), die unter den Bezeichnungen „ “, „Volt Typhoon“ (öffnet in einem neuen Tab) verfolgt wird, neuartige Methoden einsetzt, um sich einen ersten Zugriff auf die Zielnetzwerke zu verschaffen.

Das „Falcon Complete“-Team für Managed Detection and Response (MDR) von CrowdStrike verweist auf einen kürzlich aufgetretenen „Volt Typhoon“-Vorfall, auf den das Team reagierte, nachdem verdächtige Erkundungsbefehle eine Erkennung ausgelöst hatten.

Was ist Volt Typhoon?

Volt Typhoon ist eine staatlich geförderte Bedrohungsgruppe mit Sitz in China. Diese hochentwickelte APT-Gruppe betreibt in der Regel Cyberspionage und Informationsbeschaffung zur Unterstützung von nachrichtendienstlichen Anforderungen (IRs), die mit den staatlichen Interessen Chinas im Einklang stehen.

Erste öffentlich zugängliche Berichte über diesen Akteur heben hervor, dass „Volt Typhoon“ fast ausschließlich „Living-off-the-Land“-Techniken (LotL) einsetzt und häufig direkt am Tastenbrett arbeitet, um einer Entdeckung nach Möglichkeit zu entgehen.

Berichten zufolge ist „Volt Typhoon“ seit Mitte 2021 aktiv. Es richtet sich an Organisationen aus einer Vielzahl kritischer Sektoren, darunter Behörden, Schifffahrt, Telekommunikation, Fertigung, Informationstechnologie, Versorgungsunternehmen, Verkehr, Bauwesen und Bildungswesen.

Einem Bericht von Microsoft, der in Zusammenarbeit mit verschiedenen multinationalen Cybersicherheitsbehörden erstellt wurde, zufolge bestehen die jüngsten Cyberspionagekampagnen der „ “ „Volt Typhoon“ (öffnet in einem neuen Tab) aus verdeckten und gezielten Angriffen, die laut Microsoft „auf den Zugriff auf Anmeldedaten nach einer Kompromittierung sowie auf die Erkundung von Netzwerksystemen abzielen und sich gegen Organisationen mit kritischer Infrastruktur in den Vereinigten Staaten richten“.

Die jüngsten Einsätze von Volt Typhoon

Volt Typhoon wurde kürzlich dabei beobachtet, wie die Exploits „“, „ManageEngine Self-service Plus“, „ “ (öffnet sich in einem neuen Tab), „“ und „“ nutzte, um sich einen ersten Zugriff zu verschaffen. Anschließend setzten die Angreifer auf maßgeschneiderte Webshells, um sich einen dauerhaften Zugriff zu sichern, sowie auf LotL-Techniken, um sich seitlich im System zu bewegen.

Das „Falcon Complete“-Team von CrowdStrike reagierte gemeinsam mit dem „Falcon OverWatch“-Team des Unternehmens, das sich mit der Bedrohungssuche befasst, auf eine Erkennung, die durch verdächtige Erkundungsbefehle ausgelöst wurde, die auf einem Apache-Tomcat-Webserver ausgeführt wurden, auf dem ManageEngine ADSelfService Plus lief.

Von CrowdStrike:

Zu den in der Erkennung beschriebenen böswilligen Aktivitäten gehörten das Auflisten von Prozessen, das Testen der Netzwerkverbindung, das Sammeln von Benutzer- und Gruppeninformationen, das Einbinden von Freigaben, das Aufzählen von Domänenvertrauensbeziehungen über WMI sowie das Auflisten von DNS-Zonen über WMI. Die Aktivitäten von VANGUARD PANDA [im Folgenden als „Volt Typhoon – Tanium CTI“ bezeichnet] deuteten auf eine Vertrautheit mit der Zielumgebung hin, was sich in der raschen Abfolge ihrer Befehle sowie in der Verwendung spezifischer interner Hostnamen und IP-Adressen für Ping-Anfragen, der Einbindung von Remote-Freigaben und der Nutzung von Anmeldedaten im Klartext für WMI zeigte.

Im Rahmen der Untersuchung, die nach der Meldung der Aufklärungsaktivitäten durch CrowdStrike durchgeführt wurde, gelang es dem Incident-Response-Team, den kompromittierten Rechner rasch unter Kontrolle zu bringen, ihn wirksam zu isolieren und den Angreifer daran zu hindern, weitere Interaktionen mit dem kompromittierten Rechner durchzuführen.

Weitere beobachtete Vorgehensweisen

Zwar wurden bei diesem Vorfall alle Taktiken, Techniken und Vorgehensweisen (TTPs) beobachtet, die mit der Ausnutzung von CVE-2021-40593 (wird in einem neuen Tab geöffnet) in Verbindung stehen, doch fehlten die erwarteten Protokollartefakte, die die Ausnutzung dieser speziellen CVE durch die Angreifer eindeutig bestätigt hätten.

Dies könnte ein Hinweis auf die Bemühungen von „Volt Typhoon“ sein, nicht entdeckt zu werden und eine nachträgliche Analyse seiner Aktivitäten zu verhindern.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„CTI verfolgt die Aktivitäten von Volt Typhoon weiterhin mit großem Interesse und ist stets auf der Suche nach verlässlichen Berichten, die detaillierte Informationen zu den Entwicklungen und Verbesserungen hinsichtlich der Methodik und der TTPs dieses Akteurs enthalten.“

„Die von CrowdStrike gewonnenen Erkenntnisse über bisher noch nicht dokumentierte TTPs von ‚Volt Typhoon‘ stellen wertvolle, umsetzbare Informationen dar, die zum Schutz von Organisationen vor dieser Bedrohung sowie vor Akteuren, die ähnliche Taktiken anwenden, genutzt werden können.“

3. Die nordkoreanische Hackergruppe Andariel schlägt mit der neuen EarlyRat-Malware zu

Ein neuer Bericht, der im SecureList-Blog von Kaspersky veröffentlicht wurde, enthüllt, dass der von Nordkorea unterstützte Angreifer, der unter den Bezeichnungen „ “ und „Andariel“ bekannt ist, im vergangenen Jahr bei Cyberangriffen, bei denen die Sicherheitslücke Log4j Log4Shell ausgenutzt wurde, eine bislang unbekannte Malware – mit dem Namen „EarlyRat“ – eingesetzt hat.

Die Forscher von SecureList stießen im Rahmen einer kürzlich durchgeführten Untersuchung auf diese Kampagne und entdeckten nach eingehenderer Analyse sowohl die oben erwähnte, bislang nicht dokumentierte Malware-Familie als auch Erweiterungen des Spektrums an Taktiken, Techniken und Verfahren (TTPs) von Andariel.

Ein genauerer Blick auf Andariel

Andariel, das auch unter den Bezeichnungen „Silent Chollima“ und „Stonefly“ bekannt ist, gilt als Untergruppe der berüchtigten nordkoreanischen APT-Gruppe „“ („Lazarus Group“) .

Neben der Durchführung von Cyberspionageoperationen, die sich gegen ausländische Regierungs- und Militärstellen richten, die für Nordkorea von strategischem Interesse sind, führt Andariel Cyberkriminalitätskampagnen durch (öffnet in einem neuen Tab), um Einnahmen zu generieren und die angeschlagene Wirtschaft sowie die militärischen Operationen des häufig mit Sanktionen belegten Landes zu unterstützen.

Wie in einem Artikel zu diesem Thema beschrieben, der von The Hacker News veröffentlicht wurde, gehören zu den wichtigsten Waffen im Arsenal von Andariel unter anderem eine Ransomware-Variante namens „“, „Maui“ (öffnet in einem neuen Tab), „“, „“ sowie zahlreiche Fernzugriffstrojaner und Hintertüren wie „Dtrack“ (Valefor und Preft),, „NukeSped“ (öffnet in einem neuen Tab), „“, „“ (Manuscrypt) und MagicRAT (öffnet sich in einem neuen Tab) und YamaBot. (öffnet sich in einem neuen Tab)

Die Ausnutzung der Sicherheitslücke Log4Shell durch den Angreifer wurde zuvor vom AhnLab Security Emergency Response Center (ASEC (öffnet in einem neuen Tab)) und von Cisco Talos (öffnet in einem neuen Tab) im Zusammenhang mit dessen Angriffen auf nicht gepatchte VMware Horizon-Server im Jahr 2022 dokumentiert..

Neu dokumentierte Aktivität

Dem SecureList-Bericht zufolge wurde beobachtet, dass Andariel erneut Computer infizierte, indem es einen Exploit ( Log4j ) ausführte, was zudem zum Herunterladen weiterer Malware vom Command-and-Control-Server (C2) führte.

Zwar konnten die Forscher von Kaspersky die erste von dem Akteur heruntergeladene Malware nicht beobachten, doch stellten sie fest, dass unmittelbar nach der Ausnutzung der Sicherheitslücke die Backdoor „DTrack“ der Gruppe heruntergeladen wurde.

Den Forschern von Kaspersky gelang es, die von den Angreifern ausgeführten Befehle nachzuvollziehen, was sofort deutlich machte, dass diese Befehle von einem menschlichen Bediener ausgeführt wurden – was durch die zahlreichen Fehler und Tippfehler, die sie feststellten, belegt wurde.

Einsatz von Standardwerkzeugen

Den Forschern von Kaspersky gelang es zudem, die Palette der handelsüblichen Tools zu identifizieren, die von den Andariel-Betreibern während der Befehlsausführungsphase installiert und eingesetzt wurden; diese Tools wurden später auch für die weitere Ausnutzung der Zielsystemen verwendet.

Im Folgenden finden Sie einige Beispiele:

• Supremo Remote-Desktop
• 3Proxy
• Stromleitung
• Kitt
• Dumpert
• NTDSDumpEx
• ForkDump

EarlyRat: Eine Einführung

Wie im SecureList-Bericht dargelegt, haben die Forscher von Kaspersky erstmals eine Version von EarlyRat im Rahmen der Untersuchung eines der Log4j Vorfälle entdeckt, die Andariel zugeschrieben werden.

Damals ging man davon aus, dass die Malware über Log4j heruntergeladen wurde. Die Suche nach weiteren Proben führte jedoch zur Entdeckung von Phishing-Dokumenten, deren eigentliches Ziel darin bestand, EarlyRat auf kompromittierte Geräte zu schleusen.

Interessant ist, dass die Phishing-E-Mails mit dem Betreff „ “ ( ) im Rahmen dieser Kampagne nicht besonders ausgefeilt sind. Darüber hinaus fordern die Phishing-Dokumente die Zielpersonen zudem dazu auf, Makros zu aktivieren. Dies ist insofern bemerkenswert, als viele Cyberkriminelle auf andere Optionen wie XLL-Dateien, ISO-Images und MSI-Dateien umgestiegen sind, nachdem Microsoft im vergangenen Jahr Makros für mehrere Office-Anwendungen standardmäßig blockiert hatte.

Funktionalität

Was die Funktionsweise von EarlyRat betrifft, so ist die Malware relativ einfach aufgebaut. Es kann Befehle ausführen – und das ist offenbar schon das Aufregendste, was dieses Gerät zu bieten hat.

Wie viele Fernzugriffstrojaner (RATs) ist auch EarlyRat so konzipiert, dass er unmittelbar nach dem Start mit der Erfassung von Systeminformationen beginnt.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Auch wenn EarlyRat vielleicht nicht die ausgefeilteste Malware ist, sind die Lazarus-Gruppe und ihre Unterkomponenten für die CTI von großem Interesse und erfordern eine genaue Beobachtung. „Die Fähigkeit dieser Gruppen, Cyberspionageoperationen durchzuführen und gleichzeitig finanziell motivierte Cyberkriminalitätskampagnen zu betreiben, macht sie zu einer komplexeren und vielschichtigen Bedrohung.“

„CTI nimmt dies zur Kenntnis, sobald wir von neuen TTPs oder Malware erfahren, die von Lazarus und ähnlichen Akteuren eingesetzt werden, da es sich hierbei um einen Bedrohungsakteur handelt, der eine Vielzahl von Tools (von denen viele maßgeschneidert sind) einsetzt, bestehende Malware kontinuierlich aktualisiert und häufig neue Malware sowie Methoden zu deren Verbreitung entwickelt.“

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .