In unserem Wochenrückblick analysieren wir eine gemeinsame Cybersicherheitswarnung, in der der Einsatz von Social Engineering und Identitätsbetrug durch staatlich geförderte Cyber-Akteuren mit Verbindungen zur nordkoreanischen Regierung hervorgehoben wird. Anschließend gibt CTI einen Überblick über einen Bericht zur gespaltenen Identität eines als „Asylum Ambuscade“ bekannten Akteurs, der sich im Grenzbereich zwischen Cyberkriminalität und Cyberspionage bewegt. Abschließend befasst sich CTI eingehend mit einem Bericht über die mit der Ransomware „Cyclops“ in Verbindung stehenden Angreifer und deren neues Programm zum Diebstahl von Informationen.
1. Washington und Seoul entlarven Nordkoreas „Kimsuky“-Cyber-Spione
In einer gemeinsamen Cybersicherheitswarnung von „ 1. Juni “ wird der Einsatz von Social Engineering und Identitätsbetrug durch die Gruppe „“ Kimsuky (auch bekannt als „ TA406 “ und „Thallium“) hervorgehoben – eine staatlich geförderte „Advanced Persistent Threat“-Gruppe mit Verbindungen zur Demokratischen Volksrepublik Korea. Der Bericht wurde vom Federal Bureau of Investigation (FBI), dem US-Außenministerium und der National Security Agency (NSA) in Zusammenarbeit mit dem Nationalen Nachrichtendienst (NIS), der Nationalen Polizeibehörde (NPA) und dem Außenministerium (MOFA) der Republik Korea (ROK) verfasst.
Die böswilligen Aktivitäten dienen Berichten zufolge der Ausnutzung von Computernetzwerken (CNE) und richten sich gegen Personen, die weltweit in Forschungszentren, Thinktanks, akademischen Einrichtungen und Nachrichtenmedienorganisationen tätig sind.
Der Hauptzweck der gemeinsamen Warnmeldung besteht darin, die Vorgehensweise von Kimsuky bei Cyberangriffen hervorzuheben – insbesondere den Einsatz von Social Engineering und Identitätsbetrug. Die Behörden sind der Ansicht, dass die Aufdeckung der Taktiken, Techniken und Vorgehensweisen (TTPs) einer der aktivsten und effektivsten APTs der DVRK das Bewusstsein für deren Kampagnen schärfen und potenziellen Zielen dabei helfen wird, grundlegende Maßnahmen zur Cybersicherheit zu ergreifen.
Was Sie über Kimsuky wissen sollten
Das seit dem Jahr 2012 bestehende Unternehmen Kimsuky richtet sich vor allem an Diplomaten, Nichtregierungsorganisationen, Thinktanks und Experten für Fragen im Zusammenhang mit der koreanischen Halbinsel.
Aus „ “ The Record: (wird in einem neuen Tab geöffnet)
Nach Angaben von Geheimdiensten und Cybersicherheitsforschern wird die Gruppe von Nordkoreas militärischem Nachrichtendienst, dem „Reconnaissance General Bureau“ (RGB), kontrolliert, gegen den der Sicherheitsrat der Vereinten Nationen Sanktionen verhängt hat.
Wie in der neuen gemeinsamen Stellungnahme erläutert wird, spielt Kimsuky eine wichtige Rolle im Cyberprogramm der DVRK, das dem Regime einen Großteil seiner weitreichenden Informationsbeschaffung liefert und einen wesentlichen Teil der Spionagefähigkeiten der DVRK ermöglicht.
Die verbündeten Cybersicherheitsbehörden, die für die Mitverfassung der gemeinsamen Warnmeldung verantwortlich sind – sowie die Regierungen, denen sie dienen –, gehen davon aus, dass „zu den vorrangigen Zielen des Cyberprogramms des nordkoreanischen Regimes die Aufrechterhaltung eines kontinuierlichen Zugangs zu aktuellen nachrichtendienstlichen Informationen über die Vereinigten Staaten, Südkorea und andere Länder von Interesse gehört, um jegliche politische, militärische oder wirtschaftliche Bedrohung für die Sicherheit und Stabilität des Regimes abzuwehren.“
Laut der gemeinsamen Stellungnahme ist Kimsuky administrativ einer Einheit innerhalb des nordkoreanischen RGB unterstellt, und zu seinen Aufgaben in dieser Funktion gehören seit mindestens 2012 die Durchführung umfassender Cyberkampagnen zur Unterstützung verschiedener Ziele des RGB sowie die Erhebung von Daten zur Erfüllung der nachrichtendienstlichen Anforderungen (IRs) des RGB. Alle Aktivitäten dienen der übergeordneten Hauptaufgabe von Kimsuky: dem nordkoreanischen Regime gestohlene Daten und wertvolle geopolitische Erkenntnisse zur Verfügung zu stellen.
Wie Kimsuky Social Engineering und Spear-Phishing einsetzt
Spear- -Phishing-Angriffe sind die wichtigsten Mittel des Angreifers, um sich zunächst Zugang zum Zielnetzwerk zu verschaffen und Zugriff auf die Ressourcen und Geräte des Opfers zu erlangen.
Die Betreiber von Kimsuky haben mehr als ein Jahrzehnt damit verbracht, die Kunst der Erstellung betrügerischer Nachrichten zu verfeinern, wobei jede Nachricht speziell darauf zugeschnitten ist, die jeweilige Zielgruppe anzusprechen – und zu täuschen –, um sie dazu zu verleiten, unwissentlich einen Sicherheitsverstoß auszulösen.
Aus der gemeinsamen Stellungnahme:
Eine Spear-Phishing-Kampagne von Kimsuky beginnt mit umfassenden Recherchen und Vorbereitungen. Cyberakteure aus der DVRK nutzen häufig öffentlich zugängliche Informationen, um potenzielle, wertvolle Ziele zu identifizieren, und passen anschließend ihre Online-Identitäten so an, dass sie für ihre Opfer realistischer und ansprechender wirken.
Die Betreiber von Kimsuky scheuen keine Mühen, um einem Spear-Phishing-Angriff einen authentischen Anschein zu verleihen. So erstellen die Akteure von Kimsuky beispielsweise E-Mail-Adressen, die den E-Mail-Adressen der tatsächlichen Personen, deren Identität sie anzunehmen versuchen, stark ähneln sollen; außerdem registrieren sie authentisch wirkende Domains, deren einziger Zweck darin besteht, die schädlichen Inhalte einer Spear-Phishing-Nachricht zu hosten. Akteure aus der DVRK nutzen häufig Domains, die auf den ersten Blick gängigen Internetdiensten und Medienseiten sehr ähnlich sind, um ihre Ziele wirksamer zu täuschen.
Weitere bemerkenswerte Spear-Phishing-Taktiken
Die Akteure von Kimsuky geben sich häufig als bekannte Nachrichtenagenturen und Journalisten aus und nutzen dabei Domains mit Tippfehlern, um Spear-Phishing-E-Mails von Adressen zu versenden, die legitimen Quellen sehr ähnlich sind.
Cyberakteure aus der DVRK schlüpfen häufig in die Rolle realer Personen, um Vertrauen zu gewinnen und in ihrer digitalen Kommunikation eine gute Beziehung aufzubauen. Häufig kompromittieren sie E-Mail-Konten realer Personen und führen Recherchen durch, indem sie die legitime Kommunikation im kompromittierten Posteingang untersuchen, um überzeugender zu wirken, falls der Angreifer beschließt, sich in einen bestehenden Kommunikationsfaden einzuschalten. Durch das Durchforsten des E-Mail-Posteingangs des Opfers einer Identitätsfälschung kann der Angreifer nicht nur nach neuen Zielen suchen, sondern auch wertvolle Informationen wie Kontaktlisten, Mitgliedschaften in Vereinen usw. sammeln. Der nordkoreanische Akteur kann zudem die E-Mail-Signatur des Opfers nutzen, um überzeugendere Spear-Phishing-Nachrichten zu verfassen.
Aus der gemeinsamen Stellungnahme:
„Es ist zudem bekannt, dass Cyberakteure aus der DVRK E-Mail-Konten von Außenpolitik-Experten kompromittieren und anschließend ein zweites E-Mail-Konto einrichten, wobei sie das E-Mail-Konto und die Identität des Experten nutzen, um mit anderen wichtigen Zielen zu kommunizieren.“
Auch die Akteure von Kimsuky nutzen mehrere Identitäten, um eine Zielperson anzusprechen, wobei sie häufig zusätzliche Identitäten einsetzen, um die Glaubwürdigkeit der Hauptidentität zu untermauern. Das Weiterleiten von Nachrichten aus vertrauenswürdigen Quellen ist eine ähnliche Taktik, die bei Akteuren aus der DVRK beobachtet wurde.
Zwar können einige erste Spear-Phishing-E-Mails einen schädlichen Link oder ein schädliches Dokument enthalten (das in der Regel passwortgeschützt ist, um E-Mail-Sicherheitsmaßnahmen zu umgehen), doch ist es weitaus üblicher, dass die erste E-Mail keinerlei schädliche Inhalte enthält, da ihr eigentlicher Zweck darin besteht, eine Beziehung aufzubauen – und, was noch wichtiger ist, Vertrauen zu schaffen.
Nach dem erfolgreichen Kontakt mit einem Ziel gehen Akteure aus der DVRK dazu über, das Konto, das Gerät oder das Netzwerk des Ziels zu kompromittieren, indem sie schädliche Inhalte versenden – häufig in Form eines schädlichen Makros, das in ein Textdokument eingebettet ist. Laut der gemeinsamen Mitteilung ist dieses Dokument entweder direkt an die E-Mail angehängt oder in einem Datei-Hosting-Dienst wie Google Drive oder Microsoft OneDrive gespeichert. Werden diese schädlichen Makros aktiviert, bauen sie unbemerkt Verbindungen zur Kimsuky-Command-and-Control-Infrastruktur (C2) auf, mit dem Ziel, Zugriff auf das Gerät des Opfers zu erlangen.
In einigen Fällen entwickeln die Akteure von Kimsuky betrügerische – wenn auch äußerst überzeugende – Versionen tatsächlicher Websites, Portale oder Anwendungen, um Zugangsdaten zu erbeuten.
Aus der gemeinsamen Stellungnahme:
Die Kompromittierung eines Zielkontos kann zu dauerhaftem Zugriff auf die Kommunikation des Opfers führen, häufig mithilfe einer von Kimsuky-Akteuren eingesetzten Malware namens „BabyShark“. Es ist zudem bekannt, dass die Akteure von Kimsuky das E-Mail-Konto eines Opfers so konfigurieren, dass alle E-Mails unbemerkt automatisch an eine andere, von den Akteuren kontrollierte E-Mail-Adresse weitergeleitet werden.
Angreifer geben sich häufig als Journalisten, Wissenschaftler und Forscher von Thinktanks aus und nehmen diese mit Social-Engineering-Taktiken ins Visier. Mitteilungen, die im Rahmen solcher Identitätsbetrugsversuche versendet werden, dienen häufig dazu, Antworten auf außenpolitische Anfragen einzuholen, Umfragen durchzuführen, Interviewanfragen zu stellen, Dokumente einzusehen, Lebensläufe anzufordern und Zahlungen für die Erstellung von Forschungsarbeiten anzubieten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Informationen, die von staatlich geförderten Akteuren der DVRK wie Kimsuky gestohlen und ausgenutzt werden sollen, unterscheiden sich von Kampagne zu Kampagne erheblich.“ So heißt es beispielsweise in einer Erklärung des südkoreanischen Ministeriums, dass Kimsuky direkt oder indirekt an der Satellitenentwicklung Nordkoreas beteiligt gewesen sei, „indem er Spitzentechnologien in den Bereichen Waffenentwicklung, Satelliten und Raumfahrt gestohlen hat“.
„Wie üblich wies Nordkorea die Kritik aus Washington und anderen Ländern hinsichtlich des Starts zurück und bekräftigte sein souveränes Recht auf Weltraumforschung.“
„Wie oben dargelegt und in dem Artikel von ‚The Record‘ zu diesem Thema erneut betont wurde, sind Identitätsbetrugs-Kampagnen von Gruppen wie Kimsuky gefährlich, da manche Zielpersonen die von diesen Angriffen ausgehende Bedrohung möglicherweise unterschätzen – ‚entweder, weil sie ihre Forschungsarbeiten und ihre Kommunikation nicht als sensibel einstufen, oder weil ihnen nicht bewusst ist, inwiefern diese Aktivitäten die umfassenderen Cyberspionagebemühungen des Regimes unterstützen‘.“
2. „Asylum Ambuscade“: Crimeware oder Cyberspionage?
Ein neuer Bericht, der im „We Live Security“-Blog von ESET veröffentlicht wurde, beleuchtet die gewissermaßen gespaltene Identität eines Angreifers, der unter den Bezeichnungen „ “, „Asylum Ambuscade“, „ “ (öffnet in einem neuen Tab), „“ und „“ verfolgt wird und sich auf dem schmalen Grat zwischen Cyberkriminalität – insbesondere der Verbreitung von Crimeware – und Cyberspionage bewegt.
Was ist „Asylum Ambuscade“?
„Asylum Ambuscade“ ist in erster Linie eine Cyberkriminalitätsgruppe – wenn auch eine, die „nebenbei“ eine beträchtliche Bandbreite an Cyberspionageoperationen durchführt. Die Gruppe ist seit dem Jahr 2020 tätig.
Die Existenz und die Aktivitäten der Gruppe wurden erstmals in „ März 2022“ öffentlich gemacht, dank Forschern von Proofpoint (öffnet in einem neuen Tab) , die eine „wahrscheinlich von einem Nationalstaat geförderte Phishing-Kampagne (öffnet in einem neuen Tab) beschrieben, bei der das E-Mail-Konto eines möglicherweise kompromittierten Angehörigen der ukrainischen Streitkräfte genutzt wurde, um europäische Regierungsmitarbeiter ins Visier zu nehmen, die an der logistischen Betreuung von Flüchtlingen aus der Ukraine beteiligt waren.“
Die Tatsache, dass diese Aktivität scheinbar aus heiterem Himmel auftauchte, entging den Forschern von Proofpoint nicht, die das Wort „ambuscade“ – also „Hinterhalt“ – in den Namen aufnahmen.
In den Jahren und Monaten vor dem Ausbruch des Russland-Ukraine-Konflikts tauchten jedoch zahlreiche Hackergruppen und deren Ableger in der gesamten Bedrohungslandschaft auf. Was zeichnet diese Gruppe also aus?
„Asylum Ambuscade“ ist eine Crimeware-Gruppe, die es auf Bankkunden und Kryptowährungshändler in verschiedenen Regionen, darunter Nordamerika und Europa, abgesehen hat. Die Gruppe betreibt zudem Spionage gegen staatliche Stellen in Europa und Zentralasien. Und die meisten seiner Implantate nutzen Skriptsprachen wie AutoHotkey, JavaScript, Lua, Python und VBS.
Lassen wir also – wenn auch nur für einen Moment – außer Acht, dass es sich um einen Cyber-Angreifer handelt, dessen Fähigkeiten eher denen einer finanziell motivierten Cyberkriminellen-Gruppe entsprechen, und betrachten wir, womit sich „Asylum Ambuscade“ in seiner Freizeit beschäftigt: Spionage.
Cyber-Spionage-Kampagnen
„Asylum Ambuscade“ soll Berichten zufolge bereits seit mindestens 2020 Cyberspionage-Kampagnen durchgeführt haben. In dem Blogbeitrag von „We Live Security“ werden frühere Anschläge auf Regierungsvertreter und Mitarbeiter staatlicher Unternehmen in Zentralasien und Armenien als Beleg für diese Tatsache angeführt.
Aus dem Bericht von Proofpoint geht eindeutig hervor, dass die Gruppe im Jahr 2022 gezielt gegen Beamte vorging, die mit den Regierungen verschiedener europäischer Länder an der Grenze zur Ukraine in Verbindung standen. Ziel dieser Kampagnen war der Diebstahl von Informationen und Webmail-Zugangsdaten aus den offiziellen Webmail-Portalen, die von den ins Visier genommenen Regierungsangehörigen genutzt wurden.
Die Angriffe im Rahmen dieser Kampagnen begannen häufig mit Spear-Phishing-E-Mails, denen manipulierte Excel-Anhänge mit bösartigem VBA-Code beigefügt waren. Dieser Code diente dazu, MSI-Pakete von einem Remote-Server herunterzuladen, der unter der Kontrolle der Angreifer stand, und „SunSeed“ zu installieren, einen in Lua geschriebenen Downloader.
Das soll nicht heißen, dass es bei den Anhängen an Abwechslung mangelte. Im Juni nutzte „ 2022 Asylum Ambuscade“ die in „ “ ausführlich beschriebene Sicherheitslücke „Follina“ aus (CVE-2022-30190 (wird in einem neuen Tab geöffnet)). Dies stellte eine erhebliche Abweichung von der üblichen Verwendung bösartigen VBA-Codes dar.
Bei diesen Angriffsvarianten würden die Angreifer, sofern sie das Zielgerät als lohnenswert erachten, die nächste Stufe einleiten – die Installation von „AHKBOT“. AHKBOT ist ein in AutoHotkey geschriebener Downloader, dessen Funktionalität mithilfe verschiedener Plugins erweitert werden kann und der die Informationsgewinnung vom kompromittierten Rechner erleichtert. Dies ist nur ein kleiner Ausschnitt aus dem Instrumentarium der Gruppe.
Kampagnen zur Cyberkriminalität
Berichten zufolge führt „Asylum Ambuscade“ seit Anfang 2020 finanziell motivierte Cyberkriminalitätskampagnen durch. Und seit dem Januar 2022 haben seine kriminellen Online-Aktivitäten weltweit sage und schreibe 4 500 Opfer gefordert. Die Opfer dieser Gruppe sind vor allem in Nordamerika zu finden, doch wurden auch Opfer in Asien, Afrika, Europa und Südamerika verzeichnet.
Was die Angriffsmuster von „Asylum Ambuscade“ betrifft, so ist die Opfergruppe der Gruppe recht vielfältig und umfasst Privatpersonen, Kryptowährungshändler sowie eine Reihe kleiner und mittlerer Unternehmen (KMU) aus verschiedenen Branchen.
Zwar ist der Zweck, der einem Großteil der Aktivitäten und Angriffsziele des Angreifers zugrunde liegt, ziemlich offensichtlich (so zielt die Gruppe beispielsweise auf Kryptowährungshändler ab, um Kryptowährung zu stehlen), doch sind einige ihrer Ziele auf den ersten Blick nicht so offensichtlich. So räumen die Autoren des Blogbeitrags beispielsweise ein, dass nur wenig darüber bekannt ist, auf welche Weise „Asylum Ambuscade“ den Zugang zu kleinen und mittleren Unternehmen monetarisiert. Die Forscher vermuten jedoch, dass der Täter den Zugriff möglicherweise einfach an andere cyberkriminelle Organisationen verkauft, die den gestohlenen Zugriff dann nutzen, um Ransomware zu verbreiten oder andere Formen der Erpressung bzw. des Datendiebstahls zu begehen. Die Autoren weisen zudem darauf hin, dass sich dies in keiner der beobachteten Telemetriedaten bestätigt hat.
Was die Angriffskette betrifft, die von „Asylum Ambuscade“ zur Unterstützung ihrer Crimeware-Aktivitäten genutzt wird, so gibt es erhebliche Überschneidungen mit dem Kompromittierungszyklus, der zur Erreichung der Cyberspionageziele der Gruppe eingesetzt wird. Der offensichtlichste Unterschied ist der anfängliche Zugriffsvektor.
Dem Bericht zufolge nutzt die Gruppe im Rahmen ihrer Cyberkriminalitätskampagnen als sekundären Angriffsvektor bösartige Google-Anzeigen, die die Opfer auf Websites umleiten, auf denen bösartige JavaScript-Dateien bereitgestellt werden: , (wird in einem neuen Tab geöffnet),und .
Aus „We Live Security“:
Mehrere HTTP-Weiterleitungen in einem Verkehrsleitsystem (TDS). Das von der Gruppe verwendete TDS wird von Proofpoint als „ 404 TDS“ bezeichnet. Dies ist kein ausschließliches Merkmal von „Asylum Ambuscade“, und wir haben festgestellt, dass es beispielsweise von einem anderen Angreifer zur Verbreitung von Qbot genutzt wurde.
Die Gruppe hat zudem SunSeed-Äquivalente unter Verwendung anderer Skriptsprachen wie Tcl und VBS sowie ein AHKBOT-ähnliches Programm in Node.js entwickelt, das die Autoren des Berichts als NODEBOT bezeichnen.
Quellenangabe
Angesichts der auffälligen Ähnlichkeiten in nahezu allen Aspekten der Kompromittierungsketten liegt es auf der Hand, dass sowohl die Cyberspionage- als auch die Cyberkriminalitätskampagnen das Werk einer einzigen Gruppe sind. Diese Behauptung wird zudem durch die Tatsache untermauert, dass sowohl SunSeed als auch AHKBOT in großem Umfang bei Angriffen eingesetzt wurden, die beide Ziele verfolgten. Die Autoren der Quelle, auf der dieser Überblick basiert, bezweifeln, dass SunSeed und AHKBOT derzeit auf dem Schwarzmarkt verkauft werden.
Aus „We Live Security“:
Wir gehen nicht davon aus, dass SunSeed und AHKBOT auf dem Schwarzmarkt verkauft werden. Im Vergleich zu anderen im Handel erhältlichen Crimeware-Tools sind diese Werkzeuge nicht besonders ausgefeilt; die Zahl der Opfer ist recht gering, wenn es sich um ein Toolset handelt, das von mehreren Gruppen gemeinsam genutzt wird, und die Netzwerkinfrastruktur ist über alle Kampagnen hinweg einheitlich… Daher sind wir der Ansicht, dass „Asylum Ambuscade“ eine Cyberkriminalitätsgruppe ist, die nebenbei auch Cyberspionage betreibt.
An dieser Stelle geht der Blogbeitrag sehr detailliert auf die technischen Aspekte des Toolset von „Asylum Ambuscade“ ein und liefert Analysen und Einblicke zu allen Aspekten – von den bösartigen JavaScript-Dateien, die im Rahmen der meisten Crimeware-Kampagnen der Gruppe eingesetzt wurden, bis hin zu den maßgeschneiderten Downloadern der ersten und zweiten Stufe sowie den unzähligen Plugins, die SunSeed und AHKBOT unterstützen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Asylum Ambuscade ist in erster Linie eine cyberkriminelle Bedrohungsgruppe, da die übergeordnete Motivation der Gruppe offenbar finanzieller Natur ist.“
„Vor diesem Hintergrund und da es äußerst ungewöhnlich ist, dass ein Cyberkrimineller nebenbei gezielte Cyberspionageoperationen durchführt, kann man mit Fug und Recht behaupten, dass es sich bei den diesem Akteur zugeschriebenen Spionageaktivitäten durchaus um Auftragsarbeit handeln könnte, die im Auftrag der Regierung eines bislang nicht identifizierten Nationalstaates oder auf Ersuchen einer staatlich unterstützten Hackergruppe durchgeführt wurde, die versucht, sich davon zu distanzieren.“
„Es ist nicht ungewöhnlich, dass staatlich geförderte Akteure bestimmte Aspekte ihrer Arbeit an Cyber-Söldner ‚auslagern‘. Da fallen mir beispielsweise sofort die APTs aus dem Iran ein. Es scheint jedoch, als stecke hier mehr dahinter, als man auf den ersten Blick vermuten würde. „CTI wird diese sich weiterentwickelnde Angelegenheit weiterhin verfolgen.“
3. Die Kombination aus „Cyclops“-Ransomware und Datendiebstahl-Software: eine doppelte Bedrohung
Ein aktueller Bericht von Uptycs befasst sich eingehend mit den Angreifern, die mit der Ransomware „ “ Cyclops in Verbindung stehen: (wird in einem neuen Tab geöffnet) sowie deren neuem Angebot zum Diebstahl von Informationen.
Die Ransomware „Cyclops“ zielt auf alle gängigen Betriebssysteme ab, darunter Windows, Linux und macOS. Die Operation verbreitet nun eine neue Binärdatei, die darauf ausgelegt ist, Daten sowohl von Windows- als auch von Linux-Geräten zu stehlen.
Wie Forscher den Zyklopen entdeckten
Im Rahmen einer routinemäßigen Überwachung des Dark Webs stieß Uptycs auf einen neuen „ “-Ransomware-as-a-Service-Anbieter (RaaS) unter , der Ransomware-Dienste sowie eine separate Binärdatei zum Diebstahl von Daten anbietet. Der Angreifer hinter dem RaaS-Dienst bewirbt diese Angebote in verschiedenen Foren und verlangt einen Anteil an den Gewinnen derjenigen, die seine Dienste in Anspruch nehmen. Zudem bietet es ein separates Modul, über das Ransomware auf drei verschiedene Betriebssysteme verteilt wird.
Binäranalyse von Ransomware
Wie bereits erwähnt, gibt es von der Ransomware „Cyclops“ Varianten für Windows, Linux und macOS.
Windows
Uptycs hat die Windows-Archivdatei aus dem Cyclops-Admin-Panel heruntergeladen und dabei festgestellt, dass darin die Builder-Binärdatei sowie eine „readme.txt“-Datei enthalten waren.
Der Angreifer gab intern eine Builder-ID zur Erstellung einer Lösegeld-Payload mit dem Namen „locker.exe“ weiter. Diese Schadcode-Ladung ist darauf ausgelegt, sowohl lokale als auch vernetzte Rechner zu infizieren, und die dazugehörige Textdatei enthält die Anweisungen zur Ausführung der Schadcode-Ladung.
Die Schadsoftware scannt und identifiziert die auf dem Zielrechner ausgeführten Prozesse und beendet alle Prozesse, die ihren Verschlüsselungsvorgang möglicherweise stören könnten.
Die Nutzlast nutzt die GetLogicalDriveStrings-API, um Informationen zu den logischen Laufwerken des Systems abzurufen. Nachdem die Laufwerksbuchstaben ermittelt wurden, werden die Ordner aufgelistet und eine Lösegeldforderung mit dem Titel „How To Restore Your Files.txt“ auf der Festplatte abgelegt. Das Programm überprüft vor der Verschlüsselung die Dateiendung, um festzustellen, ob sie mit einer vordefinierten Liste übereinstimmt. Sollte die Datei nicht übereinstimmen, wird sie verschlüsselt und mit der Dateiendung „.cyclops“ versehen.
Ein Angreifer, der diese Ransomware-Binärdatei nutzt, kann Details zu Schattenkopien aus dem System eines Opfers abrufen, indem er einfach die Abfrage „SELECT*FROM Wind32_ShadowCopy“ ausführt. Die Ausgabe enthält unter anderem die jeweilige Schattenkopie-ID, den Erstellungszeitpunkt, das Volume, den Namen und weitere Angaben. Die Nutzlast leitet daraufhin die Löschung einer bestimmten Schattenkopie ein, die anhand ihrer ID identifiziert wird. Das Löschen erfolgt durch die Ausführung des Befehlszeilenprogramms „Windows Management Instrumentation“ (WMIC).
Linux
Bei der Linux-Variante handelt es sich um eine mit Go kompilierte Datei, bei der die Funktionsnamen entfernt wurden, um das Reverse Engineering zu erschweren.
Nach der Ausführung des Beispiels stellte Uptycs fest, dass es Optionen bot, um Dateien in einem bestimmten Pfad oder in virtuellen Maschinen zu verschlüsseln sowie eine ausführliche Ausgabe zu aktivieren.
Diese Variante legt in jedem verschlüsselten Ordner eine Lösegeldforderung ab und erstellt anschließend einen Bericht über gefundene Dateien, verschlüsselte Dateien, Dateien, bei deren Verschlüsselung Fehler aufgetreten sind, den Zeitpunkt und weitere Angaben.
macOS
Der Hash für diese Variante ist eine mit Go kompilierte Datei und liegt im Format einer Mach-O-Binärdatei vor.
Bei der Ausführung bietet das Programm Optionen zur Verschlüsselung von Dateien in einem bestimmten Pfad, von virtuellen Maschinen oder zur Aktivierung einer ausführlichen Ausgabe.
Je nach gewählter Option zur Ausführung der Erpressung werden die verschlüsselten Dateien zusammen mit der Lösegeldforderung in einem dafür vorgesehenen Ordner abgelegt.
Binäranalyse von „Stealer“
Uptycs befasst sich derzeit noch eingehend mit den technischen Details der „Cyclops“-Stealer-Varianten, hat jedoch die Erkenntnisse weitergegeben, über die das Unternehmen derzeit verfügt.
Windows-Stealer: Uptycs hat den Windows-Stealer über das Cyclops-Admin-Panel heruntergeladen. Nach dem Entpacken der heruntergeladenen Archivdatei erhielten die Forscher zwei Dateien: „stealer.exe“ und „config.json“.
Der Stealer ist eine ausführbare Binärdatei für x64 Systeme und extrahiert verschiedene Systeminformationen von den angegriffenen Rechnern. Der Dieb liest anschließend seine Datei „config.json“, die eine Liste von Dateinamen mit den entsprechenden Dateiendungen und Größen enthält.
Der Datendieb wird anschließend die Verzeichnisse durchgehen und prüfen, ob bestimmte Dateien sowie bestimmte Dateiendungen vorhanden sind. Wird eine Übereinstimmung gefunden, wird eine neue, passwortgeschützte ZIP-Datei erstellt, die eine exakte Kopie der Datei samt ihrer Ordnerstruktur enthält. Diese Daten werden anschließend auf den Server des Angreifers übertragen.
Linux-Stealer: Ähnlich wie bei der Linux-Variante wurden in der Archivdatei zwei Dateien entdeckt: „stealer.linux“ und „config.json“.
Dieser Datendieb liest zunächst die Datei „config.json“, die wiederum eine Liste von Dateinamen mit den entsprechenden Dateiendungen und Größen enthält. Genau wie die Windows-Variante wird das Programm Verzeichnisse durchforsten, auf das Vorhandensein bestimmter Dateien und Dateierweiterungen prüfen und für die gefundenen Treffer eine passwortgeschützte ZIP-Datei erstellen.
Die ZIP-Dateien werden anschließend auf api[.]bayfiles[.]com/upload und api[.]anonfiles[.]com/upload hochgeladen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Cyclops ist ein relativ neuer RaaS-Betrieb, über den erst kürzlich erstmals berichtet wurde.“ „Die Operation zielt mit ihrer Ransomware nicht nur auf Windows, Linux und macOS ab, sondern hat ihr Angebot um eine Malware zum Diebstahl von Informationen erweitert.“
„Diese Angebote, in Verbindung mit dem komplexen Verschlüsselungsschema, deuten eindeutig darauf hin, dass der hinter der Operation stehende Angreifer über ausgefeilte Fähigkeiten verfügt.“ Wenn man bedenkt, dass Cyclops all dies bietet, obwohl es noch nicht sehr lange existiert, wird deutlich, wie schnell eine bisher unbekannte Ransomware-Operation zu einer bedeutenden Bedrohung werden kann.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne teilen möchten? Besuchen Sie , das Diskussionsforum von Tanium, um eine Unterhaltung zu beginnen.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
