In der Zusammenfassung dieser Woche berichtet CTI über die jüngsten Aktivitäten der BlackCat-Ransomware-Betreiber, einschließlich der neuesten Aktualisierungen ihrer Tools. Im Folgenden untersucht CTI zwei nordkoreanische staatlich gestützte Bedrohungsakteure, die der Lazarus-Gruppe angehören, sowie deren jüngste Ausnutzung der Schwachstelle CVE-2023-42793. CTI schließt mit einer Aufschlüsselung der Vorgehensweisen, mit denen Angreifer neue Techniken einsetzen, um Macs zu kompromittieren, was Apple dazu veranlasst hat, seine Abwehrmaßnahmen weiterzuentwickeln und den integrierten Malware-Schutz zu verbessern.
1. Die Betreiber von BlackCat stellen das Dienstprogramm „Munchkin“ vor
Die Betreiber hinter , der BlackCat-Ransomware (wird in einem neuen Tab geöffnet) haben kürzlich Aktualisierungen ihrer Tools angekündigt, darunter ein Dienstprogramm namens „Munchkin“, mit dem Angreifer die BlackCat-Nutzlast auf Remote-Rechner und Freigaben innerhalb von Netzwerken verbreiten können.
Eine kürzlich erworbene Instanz von Munchkin wird in einer angepassten virtuellen Alpine-Maschine geladen, wodurch der Angreifer virtuelle Maschinen (VMs) nutzen kann, um Sicherheitslösungen zu umgehen.
Über die Ransomware „BlackCat“
BlackCat agiert als „Ransomware-as-a-Service“ (RaaS), wodurch Partner die Möglichkeit haben, die Tools des Anbieters zu nutzen und dafür einen Anteil am Gewinn zu erhalten. Während sich die Gruppe in der Vergangenheit vor allem auf Opfer innerhalb der Vereinigten Staaten konzentrierte, hat sie ihren Aktionsradius im Laufe der Jahre erweitert und sich weiterentwickelt, um zusätzliche Fähigkeiten und Verschleierungsmechanismen zu nutzen.
BlackCat konzentrierte sich in der Vergangenheit auf Opfer innerhalb der Vereinigten Staaten. Aufgrund ihrer zunehmenden Beliebtheit hat diese Malware-Familie jedoch in jüngster Zeit ihren Wirkungsbereich erweitert. Die Malware-Familie hat sich im Laufe der Jahre kontinuierlich weiterentwickelt, um zusätzliche Funktionen und Verschleierungsmechanismen zu nutzen.
BlackCat stellt das Dienstprogramm „Munchkin“ vor
Die Gruppe hat kürzlich ein neues Tool namens „Munchkin“ vorgestellt, das ein Linux-basiertes Betriebssystem mit „Sphynx“ bereitstellt, der neuesten Variante von „BlackCat“. Administratoren können das Dienstprogramm „Munchkin“ verwenden, um BlackCat auf Remote-Rechnern auszuführen oder Remote-SMB/CIFS-Verbindungen zu verschlüsseln.
- Das neue Munchkin-Dienstprogramm von BlackCat wird den Opfern als ISO-Datei bereitgestellt, die in eine neu installierte Instanz der Virtualisierungssoftware VirtualBox geladen wird.
- Die ISO-Datei ist eine angepasste Implementierung des Alpine-Betriebssystems. Der Angreifer hat sich wahrscheinlich aufgrund des geringen Speicherbedarfs für diese Lösung entschieden. Beim Ausführen des Betriebssystems werden mehrere Befehle ausgeführt, die es der Malware ermöglichen, das Root-Passwort der virtuellen Maschine zu ändern.
- Anschließend wird über das integrierte Dienstprogramm „tmux“ eine neue Terminalsitzung erstellt, über die die Malware-Binärdatei mit dem Namen „controller“ ausgeführt wird, woraufhin die virtuelle Maschine heruntergefahren wird.
- Die Controller-Malware wird im Verzeichnis „/app“ zusammen mit mehreren anderen zugehörigen Dateien gehostet. Zu den besonders wichtigen Dateien zählen unter anderem /app/controller, /app/config und /app/payload. Es sind zudem mehrere weitere Python-Skripte vorhanden, die bei späteren Aktualisierungen innerhalb der VM verwendet werden können. Viele der Skripte können für laterale Bewegungen, das Auslesen von Passwörtern und die weitere Ausführung von Malware genutzt werden.
Controller-Malware
Die Controller-Malware ist in Rust geschrieben und weist große Ähnlichkeiten mit der BlackCat-Malware-Familie auf.
Nach der Ausführung werden mehrere Zeichenfolgen mittels einer einzigartigen Ein-Byte-XOR-Operation entschlüsselt. Anschließend führt es grundlegende Überprüfungen durch, um sicherzustellen, dass sich die erwarteten Konfigurations- und Payload-Dateien im Verzeichnis /app befinden. Sofern dies bestätigt wird, wird die Konfigurationsdatei ausgewertet. Andernfalls wird das Programm mit einer Fehlermeldung beendet.
Die Datei „/app/config“ enthält unter anderem Informationen zu Zugriffstoken, Aufgaben-IDs, Anmeldedaten der Opfer, URLs der BlackCat-Opfer, Dateitypen und Pfade auf der Sperrliste sowie Hosts und Freigaben, die verschlüsselt werden sollen. Anschließend wird das Verzeichnis „/payloads/“ erstellt und eingebunden, das zur Bereitstellung von BlackCat-Instanzen dient. Der Controller verwendet „/app/payload“ als Vorlage, um maßgeschneiderte BlackCat-Beispiele zu erstellen. In der Vorlagendatei befinden sich mehrere spezifische Markierungen, nach denen der Controller sucht und die er zur Anpassung der Datei verwendet.
Die erstellten Dateien werden mit fortlaufenden Nummern im Format /payloads/0 benannt. Sobald die Payloads erstellt sind, durchläuft die Malware die bereitgestellte Konfiguration mit dem Ziel, alle angegebenen SMB/CIFS-Laufwerke zu infizieren. Nachdem die Malware ihre Ausführung beendet hat, wird die virtuelle Maschine heruntergefahren und führt keine weiteren Aktionen mehr aus.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
BlackCat zählt bereits seit geraumer Zeit zu den aktivsten Ransomware-Gruppen. Die kontinuierliche Erweiterung des Betriebs um neue Funktionen und Werkzeuge, wie beispielsweise das neueste Munchkin-Dienstprogramm, trägt eindeutig zu seinem anhaltenden Erfolg bei.
Die neueste Taktik, bei der eine maßgeschneiderte virtuelle Maschine zur Verbreitung von Malware genutzt wird, gewinnt unter Angreifern langsam an Beliebtheit, und wir könnten in naher Zukunft vermehrt davon hören.
2. Akteure der nordkoreanischen „Lazarus“-Gruppe nutzen eine Sicherheitslücke in JetBrains TeamCity aus
Laut Microsoft nutzen zwei nordkoreanische staatlich geförderte Bedrohungsakteure ( ) der Lazarus-Gruppe die folgenden CVE-2023-42793 (öffnet in einem neuen Tab) aus: . Die Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht, betrifft mehrere Versionen des JetBrains TeamCity-Servers – einer Anwendung für kontinuierliche Integration und kontinuierliche Bereitstellung (CI/CD).
Die Angreifer nutzen diese Schwachstelle wahrscheinlich aus, um Backdoor-Malware zu installieren und Angriffe auf die Software-Lieferkette durchzuführen.
Diamant-Graupel und Onyx-Graupel
Bei den beiden von Microsoft beobachteten Angreifern handelt es sich um „Diamond Sleet“ und „Onyx Sleet“ (auch bekannt als „ “ und „Andariel“). Beide gehören zu dem berüchtigten nationalstaatlichen Akteur, der als „Lazarus-Gruppe“ bekannt ist.
- „Diamond Sleet“ zielt in der Regel weltweit auf Unternehmen aus den Bereichen Medien, IT-Dienstleistungen und Verteidigung ab; in jüngster Zeit wurden auch Angriffe auf Sicherheitsforscher beobachtet. Die Gruppe hat bereits in der Vergangenheit Angriffe im Stil von Angriffen auf die Software-Lieferkette durchgeführt.
- Onyx Sleet richtet sich in erster Linie an Unternehmen aus den Bereichen Verteidigung und IT-Dienstleistungen mit Sitz in Südkorea, den USA und Indien. Sie nutzen eine breite Palette von Tools zur Aufrechterhaltung ihrer Präsenz und machen sich häufig N-Day-Sicherheitslücken zunutze, um sich einen ersten Zugriff zu verschaffen.
Angriffspfad 1: Diamant-Graupel
Der Angriff beginnt mit einer erfolgreichen Kompromittierung der TeamCity-Server über die Sicherheitslücke CVE-2023-42793 .
Im Anschluss an die Sicherheitslücke nutzte Diamond Sleet PowerShell, um zusätzliche Schadcode-Pakete von legitimer Infrastruktur herunterzuladen, die zuvor kompromittiert worden war. Diese Payloads werden im Verzeichnis „C:\ProgramData“ als „ Forest64.exe“ und „ 4800-84DC-063A6A41C5C“ gespeichert, wobei die erstgenannte Datei prüft, ob die zweitgenannte vorhanden ist.
Der entschlüsselte Inhalt von 4800-84DC-063A6A41C5C ist die Konfigurationsdatei für die ForestTiger-Malware. Die Datei „ Forest64.exe“ erstellt geplante Aufgaben, die beim Systemstart ausgeführt werden, um die Persistenz der Malware zu gewährleisten. Zudem wird die „ForestTiger“-Backdoor genutzt, um Anmeldedaten über LSASS auszulesen.
Angriffspfad 2: Diamant-Graupel
Derselbe Angreifer setzt zudem Payloads ein, die bei Angriffen zum Manipulieren der DLL-Suchreihenfolge zum Einsatz kommen, nachdem er die Sicherheitslücke CVE-2023-42793 ausgenutzt hat. Zu diesem Zweck nutzen sie PowerShell, um schädliche DLLs aus ihrer Infrastruktur herunterzuladen. Diese DLL wird zusammen mit einer legitimen ausführbaren Datei bereitgestellt.
Wenn die Datei „Version.dll“ von der legitimen Datei „clip.exe“ geladen wird, lädt sie den Inhalt einer „readme.md“-Datei, die von der Infrastruktur des Angreifers heruntergeladen wird, und entschlüsselt diesen. Diese Datei enthält Daten zur Entschlüsselung des in der Version.dll eingebetteten positionsunabhängigen Codes, wodurch die letzte Stufe des RAT gestartet wird. Die ausführbare Datei der zweiten Stufe entschlüsselt eine Konfigurationsdatei, die URLs enthält, die die Malware für C2 verwenden wird. Auch hier stellte Microsoft fest, dass der Angreifer Anmeldedaten über LSASS ablegte.
Angriffspfad 3: Diamant-Graupel
Der dritte beobachtete Angriffsweg wird von Onyx Sleet ausgeführt. Auch dies beginnt mit der erfolgreichen Ausnutzung der Sicherheitslücke CVE-2023-42793 .
In diesem Beispiel erstellt der Angreifer auf kompromittierten Systemen ein neues Benutzerkonto mit dem Namen „krtbgt“, das vermutlich dazu dient, sich als das legitime Windows-Konto „KRBTGT“ auszugeben. Dieses Konto wird anschließend über den Befehl „net use“ zur Gruppe „Lokale Administratoren“ hinzugefügt. Onyx Sleet setzt eine einzigartige Nutzlast ein, die von der eigenen Infrastruktur entweder in den Ordner „C:\Windows\Temp\temp.exe“ oder in den Ordner „C:\Windows\ADFS\bg\inetmgr.exe“ heruntergeladen wird. Die Nutzlast entschlüsselt eine eingebettete PE-Ressource, die anschließend in den Arbeitsspeicher geladen und ausgeführt wird. Bei der inneren Nutzlast handelt es sich um ein Proxy-Tool, das zur Herstellung von Persistenz dient und als „HazyLoad“ identifiziert wurde.
Es wurde zudem beobachtet, dass dieser Angreifer das erstellte „krtbgt“-Konto nutzte, um sich über RDP bei dem kompromittierten Gerät anzumelden – dabei stoppte er den TeamCity-Dienst, extrahierte Anmeldedaten über LSASS und installierte Tools, um in Browsern gespeicherte Anmeldedaten abzurufen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Microsoft beobachtet diese Aktivitäten bereits seit Anfang Oktober, obwohl bereits im vergangenen Monat ein Patch für diese TeamCity-Sicherheitslücke veröffentlicht wurde – was deutlich macht, dass es nach wie vor anfällige Instanzen gibt, die noch nicht gepatcht wurden.
Die beiden bei dieser Aktivität beobachteten Angreifer stehen beide in Verbindung mit der Lazarus-Gruppe, nutzten jedoch nach der Ausnutzung der CVE-2023-42793 -Sicherheitslücke unterschiedliche Tool-Sets und Angriffswege, um ihre Ziele zu erreichen.
Die Lazarus-Gruppe und alle mit ihr verbundenen Cluster stellen eine hochentwickelte Bedrohung dar und sind in der Lage, schwerwiegende Angriffe durchzuführen. Ihre TTPs ändern sich mit jedem Angriff rasant, weshalb es wichtig ist, über ihre jüngsten Aktivitäten auf dem Laufenden zu bleiben und sicherzustellen, dass Sie über geeignete Erkennungsmechanismen verfügen.
3. Angreifer nehmen macOS mit immer ausgefeilteren Techniken ins Visier
2023 hat mehrere neue Methoden zur Kompromittierung von Macs aufgezeigt. Infolgedessen entwickelt Apple seine Abwehrmaßnahmen weiter und erweitert sein Antimalware-Tool „XProtect“ kontinuierlich um neue Regeln.
Ein neuer Bericht von SentinelOne beleuchtet einige der wichtigsten, kürzlich entdeckten MacOS-Malware- (öffnet in einem neuen Tab) und erläutert detailliert, wie sich Angreifer anpassen und ihre Vorgehensweise optimieren, um MacOS-Geräte erfolgreich zu kompromittieren.
Persistenz hat für Infostealer keine Priorität mehr
In diesem Jahr ist eine Zunahme von macOS-Malware-Familien zu verzeichnen, die bewusst auf Persistenz verzichten. Dies ist charakteristisch für Infostealer, da diese ihr Ziel in der Regel bereits bei der ersten Ausführung erreichen.
Angesichts der Tatsache, wie lukrativ gestohlene Daten für Angreifer sein können, besteht für diese in der Regel keine Notwendigkeit, auf dem Gerät präsent zu bleiben. Durch die Exfiltration von Daten erhalten Angreifer häufig genau das, was sie für weiteren Zugriff und weitere Angriffe benötigen.
Im Aufwind: Gezieltes Social Engineering
Angreifer wenden mittlerweile ausgefeiltere Social-Engineering-Techniken an, insbesondere bei Vorfällen im Zusammenhang mit macOS.
Beispielsweise verleitet MacOS-Malware wie , RustBucket (wird in einem neuen Tab geöffnet),und die Opfer dazu, ein „vertrauliches“ Dokument zu öffnen und einen PDF-Viewer herunterzuladen, der im Hintergrund Malware ausführt. RustBucket erfordert, dass Benutzer die Sicherheitsmechanismen von Apples macOS außer Kraft setzen.
Forscher haben zudem weniger ausgefeilte Schadsoftware beobachtet, die auf kleine Unternehmen abzielt. Die macOS-MetaStealer-Kampagne sprach ihre Opfer mit Social-Engineering-Köder wie „Ausschreibungsbedingungen“ und „Brief_Presentation-Task_Overview“ an. Bei den Dateien handelte es sich um Festplatten-Images, die als PDF-Dokumente getarnte Infostealer-Malware enthielten.
Verstärkter Einsatz öffentlich zugänglicher Tools für offensive Sicherheitsmaßnahmen
Es ist üblich, dass Angreifer offensive Sicherheitswerkzeuge für Windows-Systeme einsetzen, wie das Beispiel von Cobalt Strike deutlich macht. Derselbe Trend zeichnet sich nun auch in der Welt der macOS-Malware ab. Beispielsweise bündeln Projekte wie , Geacon (wird in einem neuen Tab geöffnet),und die Funktionen von Cobalt Strike in Go-basierten Payloads. Viele wurden in gefälschten Versionen von Unternehmensanwendungen wie SecureLink entdeckt, die Signale an die Adresse C2s aussendeten.
Das Open-Source-Red-Teaming-Tool „Mythic“ sowie verschiedene Payloads wie „Poseidon“ wurden ebenfalls in jüngsten macOS-Kampagnen beobachtet. Diese fungieren als Implantat und Verwaltungssuite C2 , ähnlich wie Cobalt Strike. Poseidon verfügt über integrierte Verschleierungsfunktionen und verschlüsselte Kommunikationswege und bietet Angreifern damit ein leistungsstarkes Instrumentarium.
SentinelOne weist darauf hin, dass Apples Malware-Blockierungsdienst „XProtect“ bislang noch keine Signatur zur Erkennung von Poseidon-Payloads enthält, was zusätzliche Sicherheitsmaßnahmen erforderlich macht.
Vom Obstgarten leben
„Living-off-the-land“-Techniken (LOLbin) wurden in der Vergangenheit bei Angriffen eingesetzt, die auf andere Payloads abzielten. Unter macOS gewinnen diese Techniken, die manchmal als „Living-off-the-Orchard“ (LOOBins) bezeichnet werden, jedoch zunehmend an Anerkennung.
Zu den am häufigsten verwendeten integrierten Werkzeugen gehören:
- System_profiler zur Erfassung von Daten über lokale Installationen
- Sw_vers zum Erfassen der Betriebssystemversion und des Builds
- Curl zum Herunterladen und zur Exfiltration von Daten
Zu den häufigsten Malware-Familien, die in 2023 und in den vergangenen Jahren beobachtet wurden, gehört „ “ Adload (wird in einem neuen Tab geöffnet), die eine Kombination aus LOLBins nutzt.
Missbrauch von Open-Source-Software zur anfänglichen Kompromittierung
JokerSpy (wird in einem neuen Tab geöffnet) Im Laufe des Sommers tauchte eine Malware auf, die mehrere Komponenten enthielt, darunter zwei Python-Backdoors, das Red-Team-Tool „SwiftBelt“ sowie eine auf Swift basierende Mach-O-Datei, die versucht, sich als Apples XProtect-Dienst auszugeben. Forscher gehen davon aus, dass einige dieser Angriffe über einen mit einem Trojaner infizierten QR-Code-Generator namens „QRLog“ initiiert wurden.
Schutz von Nutzdaten durch mehrstufige, modulare Malware
Einer der komplexesten Angriffe auf die Lieferkette in diesem Jahr führte durch böswillige Manipulationen an der Client-Software „ 3CX’s “ für die Anrufweiterleitung namens „3CXDesktopApp“ zu einer Kompromittierung nachgelagerter Unternehmen. Für den macOS-Teil der Infektionskette wurden verschiedene Anfangs- und Zwischenstadien der Malware entdeckt, doch die eigentliche Payload der Endphase ist unbekannt. Die bekannten Varianten der Malware waren eindeutig auf Tarnung ausgelegt und waren darauf angewiesen, dass die Nutzer die mit dem Trojaner infizierte Anwendung starteten, um ihre Persistenz zu gewährleisten. Es sammelte in begrenztem Umfang Daten über das Konto 3CX des Hosts, bevor es diese Informationen an den Angreifer übermittelte und sich anschließend selbst löschte.
Ebenso umfasste der Angriff „ “ von JumpCloud (wird in einem neuen Tab geöffnet) unter Juli 2023 mehrere Phasen, um die Tarnung zu gewährleisten und die Payloads in späteren Phasen zu schützen. Beide Kampagnen wurden Akteuren zugeschrieben, die mit der DVRK in Verbindung stehen und deren Schwerpunkt auf Angriffen auf die Lieferkette liegt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Analyse von SentinelOne gibt Aufschluss darüber, wie Angreifer zunehmend auf macOS abzielen. Das Sicherheitsteam von Apple hat offenbar daran gearbeitet, seine Bemühungen zur Erkennung von Malware, die auf die eigene Plattform abzielt, zu verbessern, doch die Fortschritte waren nur langsam.
Ein Beispiel hierfür ist die MacOS-Malware „Atomic Stealer“, über die bereits im Mai erstmals berichtet wurde. Apple hat im Oktober erst kürzlich Regeln für „Atomic Stealer“ in XProtect hinzugefügt. Dieses Beispiel verdeutlicht, wie wichtig es ist, neu auftretende Bedrohungen schnell zu erkennen und sich dagegen zu schützen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
