Im Bericht dieser Woche geben wir einen Überblick über eine aktuelle Kampagne, die dem berüchtigten russischen Cyberangreifer APT28 (auch bekannt als „Fancy Bear“) zugeschrieben wird und bei der Berichten zufolge eine neuartige Technik zur Codeausführung zum Einsatz kommt, die nur minimale menschliche Interaktion erfordert, um Angriffe durchzuführen.
Im Folgenden präsentieren wir einen strategischen Lagebericht zu der jüngsten Warnung der Ukraine, dass Russland eine neue Angriffswelle auf die kritische Infrastruktur des Landes plane.
Abschließend befassen wir uns eingehend mit einer neuen Kampagne, die sich gegen mehrere Rüstungsunternehmen richtet, die in der Waffenherstellung tätig sind, darunter auch einen Zulieferer, der Komponenten für die Kampfflugzeuge vom Typ F-35 Lightning II herstellt.
1. Hacker nutzen PowerPoint-Dateien zur Verbreitung von „Mouseover“-Malware
Cluster25 hat eine relativ neuartige und seltene Technik zur Codeausführung identifiziert: (wird in einem neuen Tab geöffnet) . Diese Technik nutzt die Mausbewegungen der Opfer in Microsoft PowerPoint, um ein bösartiges PowerShell-Skript auszulösen. Forscher gehen davon aus, dass die Kampagne in einzigartiger Weise mit dem vom russischen Staat unterstützten Akteur „ APT28“, auch bekannt als „Fancy Bear“, in Verbindung steht.
Bei dem in dieser Kampagne beobachteten Köderdokument handelt es sich um eine PowerPoint-Datei, die eine interessante Technik zur Codeausführung ausnutzt. Es ist so konzipiert, dass es ausgelöst wird, wenn der Benutzer den Präsentationsmodus von PowerPoint startet und die Maus bewegt.
Einem Bericht des Threat-Intelligence-Unternehmens Cluster25 zufolge hat die Gruppe „ APT28 “ (auch bekannt als „Fancy Bear“), die der russischen GRU zugeschrieben wird, PowerPoint-Dateien zur Verbreitung von Malware per „Mouseover“ genutzt: https://t.co/5BEf2PM6S2 @BleepinComputer
— 780. Militärgeheimdienstbrigade (Cyber) (@780thC) 27. September 2022
Der PowerPoint-Köder
Die betreffende PowerPoint-Datei enthält zwei Folien, die jeweils denselben Inhalt aufweisen. Die erste Folie ist jedoch auf Englisch verfasst, die zweite auf Französisch.
Nach allem, was man äußerlich erkennen kann, steht das Dokument in Zusammenhang mit der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD), einer zwischenstaatlichen Organisation, die sich für die Förderung des wirtschaftlichen Fortschritts und des Handels weltweit einsetzt. Die Folien selbst enthalten Anweisungen für die Teilnehmer zur Nutzung einer in die Videokonferenzanwendung Zoom integrierten Dolmetschfunktion.
Der PowerPoint-Exploit nutzt eine einzigartige Technik zur Codeausführung, die durch die Ausnutzung von Hyperlinks ausgelöst wird – im Gegensatz zur traditionelleren Methode „Programm/Makro ausführen“ (was möglicherweise darauf zurückzuführen ist, dass Microsoft kürzlich bestimmte Makros in seinen Office-Produkten standardmäßig gesperrt hat). Der Schadcode wird bereits bei geringster Benutzerinteraktion aktiviert – insbesondere, wenn der Benutzer im Präsentationsmodus den Mauszeiger bewegt.
Bei der Codeausführung wird über das Dienstprogramm „SyncAppvPublishingServer“ ein PowerShell-Skript ausgeführt; anschließend wird eine JPEG-Datei aus OneDrive heruntergeladen und ausgeführt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es ist sicherlich nicht ungewöhnlich, dass Angreifer Malware über Office-Dateien verbreiten, wobei in den meisten Fällen offenbar eher Excel- und Word-Dokumente als PowerPoint-Dateien genutzt werden.“
„Wie viele der in den letzten Monaten beobachteten Phishing-Kampagnen vom Typ ‚ ‘ verzichtet auch dieser Angriff auf den Einsatz bösartiger Makros und nutzt stattdessen ein raffiniertes ‚Mouseover‘-Ereignis als vom Benutzer ausgelösten Auslöser, durch den der Schadcode ausgeführt wird – wobei der Benutzer nicht einmal physisch auf den Link klicken muss.“ „Diese Technik ist zwar nicht neu, aber zweifellos selten und bemerkenswert und es lohnt sich, sie im Auge zu behalten.“
„Die enorme Anstrengung, die oft erforderlich ist, um Mitarbeiter dazu anzuleiten, nicht auf verdächtig aussehende Links zu klicken, ist eine Sache; eine ganz neue Dimension der Komplexität entsteht jedoch, wenn bereits das Bewegen des Mauszeigers über einen Link erhebliche böswillige Aktivitäten auslösen kann.“ „Die Überarbeitung von Sensibilisierungs- und Schulungsprogrammen zu den Themen Phishing und Social Engineering , um diesem Risiko Rechnung zu tragen, stellt eine besondere Herausforderung dar, da die ‚Hover-Technik‘ häufig eine der wichtigsten Abwehrmaßnahmen ist, die Mitarbeitern vermittelt wird, um die Echtheit einer Nachricht besser einschätzen zu können, wenn sie auf verdächtige E-Mails stoßen.“
2. Russland plant „massive Cyberangriffe“ auf kritische Infrastruktur – so warnt die Ukraine
In einer kürzlich vom ukrainischen Verteidigungsministerium veröffentlichten Warnmeldung „ “ (wird in einem neuen Tab geöffnet) wird davor gewarnt, dass vom russischen Staat unterstützte Angreifer massive Cyberangriffe sowohl auf kritische Infrastruktureinrichtungen ukrainischer Unternehmen als auch auf solche der Verbündeten der Ukraine planen.
Die Ukraine warnt vor unmittelbar bevorstehenden Cyberangriffen der GRU
In der Warnung heißt es, der Angriff werde sich gegen Unternehmen im Energiesektor richten. Interessanterweise heißt es in der Warnung weiter, dass diese Angriffe stark an die Angriffe auf die ukrainischen Energiesysteme in den Jahren 2015 und 2016 erinnern werden, als Hacker, die unter der Schirmherrschaft des russischen GRU (Militärgeheimdienst) operierten, Berichten zufolge zwei Angriffswellen durchführten – wobei bei jeder Welle eine äußerst leistungsfähige Malware zum Einsatz kam.
Die jüngste Warnung folgt auf mehrere militärische Vorstöße der Ukraine, die zur Rückeroberung ausgedehnter Stadtgebiete geführt haben, die monatelang unter russischer Kontrolle standen. Forscher verweisen zudem auf den jüngsten Einberufungsbeschluss Russlands (eine Aufforderung zur Mobilisierung von weiteren 300 000 russischen Staatsbürgern zur Unterstützung des Konflikts des Landes mit der Ukraine) als möglichen Auslöser für Russlands verstärkten Rückgriff auf offensive Cyberaktivitäten zur Erreichung militärischer Ziele, um so eine zusätzliche Belastung angesichts des anhaltenden Mangels an Militärpersonal zu vermeiden.
Forscher untersuchen frühere Cyberangriffe auf die Infrastruktur der Ukraine
Die Forscher sind sich uneinig, was die Einschätzung der Wahrscheinlichkeit betrifft, dass im Jahr 2022 eine erfolgreiche Hacking-Kampagne gegen das ukrainische Stromnetz durchgeführt wird. Die Cyberabwehr-Einheiten der Ukraine scheinen bei der Erkennung und Abwehr böswilliger Aktivitäten in den Netzwerken der Organisationen, die die kritische Infrastruktur des Landes bilden, an Kompetenz gewonnen zu haben (man denke beispielsweise an die von CERT-UA durchgeführte Aufdeckung der „Industroyer“-Malware (wird in einem neuen Tab geöffnet) in der Netzwerkumgebung eines regionalen Energieversorgers).
Andererseits deuten Berichte darauf hin, dass die Angriffe „ 2015“, „ 2016“ sowie jüngere Vorfälle der staatlich unterstützten russischen APT-Gruppe „Sandworm“ zugeschrieben werden – und in einem Punkt sind sich die Forscher einig: „Sandworm“ gilt als eine der weltweit elitärsten staatlich geförderten Hackergruppen.
Sollte man zudem den jüngsten Berichten von Mandiant (öffnet in einem neuen Tab) sowie ähnlichen Daten anderer Unternehmen im Bereich Cyber-Bedrohungsanalyse Glauben schenken, sind die vom Kreml bezahlten APTs nicht die einzigen unmittelbaren Bedrohungen, denen die Ukraine ausgesetzt ist. Cyber-Hacktivisten mit mutmaßlichen Verbindungen zur russischen GRU ( ) sorgten in letzter Zeit ebenfalls für Schlagzeilen (öffnet in einem neuen Tab) aufgrund ihrer Distributed-Denial-of-Service-Angriffe (DDoS) und Defacement-Angriffe auf ukrainische Websites (Experten gehen davon aus, dass sie als Tarnorganisation für Informationsoperationen und zerstörerische Cyberaktivitäten dienen, die vom Kreml koordiniert werden).
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Ukraine hat – zur Überraschung eines Großteils der Welt – angesichts der militärischen Angriffe Russlands bislang starken Widerstand geleistet. Es bleibt jedoch abzuwarten, ob die ukrainischen Cyberabwehrkräfte in der Lage sein werden, einen ähnlich starken Widerstand gegen einige der gefürchtetsten Hacker der Welt aufrechtzuerhalten.“
„Zweifellos sind das Ausmaß und die Häufigkeit der Cyberangriffe, die zwischen den an diesem andauernden Konflikt beteiligten Konfliktparteien beobachtet werden, beispiellos in der Weltgeschichte.“ „Die Taktiken, Techniken und Vorgehensweisen (TTPs), die während dieser Phase der Instabilität zum Tragen kommen, werden unweigerlich über den Einsatzraum und dessen Cyber-Kampfraum hinauswirken und damit einmal mehr beweisen, dass nichts in einem Vakuum geschieht und dass Konflikte – ganz gleich, wie weit entfernt sie auch sein mögen – uns letztendlich alle betreffen werden.“
„Die einzige Frage, die noch offen bleibt, lautet: Was werden wir aus all dem lernen, und wie werden wir diese Erkenntnisse nutzen?“
3. Forscher decken eine verdeckte Angriffskampagne auf, die sich gegen Militärdienstleister richtet
Ein aktueller Bericht von Securonix Threat Labs analysiert eine neue Kampagne unter dem Namen „ “, die sich gegen mehrere Militärzulieferer richtet: (wird in einem neuen Tab geöffnet) , die in der Waffenherstellung tätig sind, darunter auch ein Unternehmen, das für die Herstellung und Lieferung von Komponenten für F-35 Lightning II-Kampfflugzeuge zuständig ist.
Die Kampagne beginnt – wie so oft – mit einer Phishing-E-Mail an Mitarbeiter, die zu einer mehrstufigen Infektion führt; die Aktion zeichnet sich durch ihre „Secure C2 “-Infrastruktur und mehrere Verschleierungsebenen in den PowerShell-Phasen der Angriffe aus.
Laut Securonix war Spear-Phishing das wichtigste Mittel für den ersten Angriff. Der Angriff selbst wurde ab dem Spätsommer des Jahres 2022 durchgeführt und richtete sich gegen mindestens zwei namhafte Organisationen, die derzeit als Militärdienstleister tätig sind.
Die Kampagne nutzt ein bösartiges Skript, das versucht, verschiedene Persistenzmethoden anzuwenden, darunter die Einbettung in die Registrierung, das Einfügen als geplante Aufgabe auf dem betroffenen Host sowie die Nutzung von WMI zur Erstellung eines neuen Abonnements, um bösartigen Code als Befehlszeilenargumente auszuführen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Zwar sind die übergreifenden Taktiken, die bei dieser Kampagne zum Einsatz kommen, Sicherheitsforschern wohlbekannt, doch scheint der hinter dieser Kampagne stehende Angreifer viel Aufwand in die Entwicklung solider Techniken zur Verhinderung von Analysen und forensischer Untersuchung sowie entsprechender Gegenmaßnahmen gesteckt zu haben.“ In einem Vorgehen, das weithin als untypisch für Cyberkriminelle angesehen wird, die hinter den meisten Phishing-Kampagnen stehen, auf die mehrstufige Aktivitäten nach der Ausnutzung folgen, scheint dieser Bedrohungsakteur bestrebt gewesen zu sein, während des gesamten Angriffszyklus ein hohes Maß an operativer Sicherheit (OPSEC) aufrechtzuerhalten, anstatt alle Anstrengungen darauf zu konzentrieren, die Phasen nach der Ausnutzung der Operation technisch komplexer zu gestalten, wodurch sichergestellt wird, dass die Malware der Kampagne schwerer zu erkennen und zu analysieren ist.“
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyberbedrohungen im Rahmen der „ “.
