Im Bericht dieser Woche geben wir einen Überblick über eine kürzliche Kampagne, die dem berüchtigten russischen Bedrohungsakteur APT28 (auch bekannt als Fancy Bear) zugeschrieben wurde, der Berichten zufolge eine neuartige Code-Ausführungstechnik nutzt, die minimale menschliche Interaktion zum Starten von Angriffen umfasst.
Als nächstes präsentieren wir einen Bericht über strategische Intelligenz zu der jüngsten Warnung der Ukraine, dass Russland eine neue Welle von Angriffen auf die kritische Infrastruktur des Landes plant.
Schließlich tauchen wir tief in eine neue Kampagne ein, die sich an mehrere militärische Auftragnehmer richtet, die an der Waffenherstellung beteiligt sind, einschließlich eines Lieferanten, der an der Herstellung von F-35 Lightning II-Kampfflugzeugkomponenten beteiligt ist.
1. Hacker verwenden PowerPoint-Dateien für die „Mouseover“-Malware-Bereitstellung
Cluster25 hat eine etwas neuartige und seltene Code- Ausführungstechnik (öffnet sich in einer neuen Registerkarte) identifiziert, die sich auf die Mausbewegungen der Opfer in Microsoft PowerPoint verlässt, um ein bösartiges PowerShell-Skript auszulösen. Forscher glauben, dass die Kampagne eindeutig mit dem russischen staatlich unterstützten Bedrohungsakteur APT28, auch bekannt als Fancy Bear, verknüpft ist.
Das in dieser Kampagne beobachtete Verlockungsdokument ist eine PowerPoint-Datei, die eine interessante Code-Ausführungstechnik nutzt. Sie wird ausgelöst, wenn der Benutzer den Präsentationsmodus von PowerPoint startet und die Maus bewegt.
Ein Bericht des Threat Intelligence-Unternehmens Cluster25 besagt, dass APT28 (auch bekannt als „Fancy Bear“), eine Bedrohungsgruppe, die der russischen GRU zugeschrieben wird, PowerPoint-Dateien für die „Mouseover“-Malware-Bereitstellung https://t.co/5BEf2PM6S2 @BleepinComputer
– 780th Military Intelligence Brigade (Cyber) (@780thC) verwendet hat. 27. September 2022
Die PowerPoint-Verlockung
Die betreffende PowerPoint-Datei enthält zwei Folien, die jeweils den gleichen Inhalt enthalten. Die erste Folie ist jedoch auf Englisch und die zweite auf Französisch verfasst.
Bei allen äußeren Erscheinungen ist das Dokument mit der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) verknüpft, einer zwischenstaatlichen Organisation, die daran arbeitet, den wirtschaftlichen Fortschritt und den Handel weltweit zu fördern. Die Folien selbst präsentieren den Empfängern Anweisungen zur Verwendung einer Interpretationsoption, die nativ zur Zoom-Videokonferenzanwendung ist.
PowerPoint nutzt eine einzigartige Code-Ausführungstechnik, die durch die Nutzung von Hyperlinks im Gegensatz zum traditionelleren Run Program/Macro ausgelöst wird (ein mögliches Ergebnis des kürzlichen Verbots bestimmter Makros durch Microsoft in seinen Office-Produkten). Der bösartige Code wird als Reaktion auf eine minimale Benutzerinteraktion aktiviert – insbesondere, wenn der Benutzer seinen Cursor im Präsentationsmodus bewegt.
Die Codeausführung führt ein PowerShell-Skript über das Dienstprogramm SyncAppvPublishingServer aus und lädt dann eine JPEG-Datei von OneDrive herunter und führt sie aus.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Es ist sicherlich nicht unerhört, dass Bedrohungsakteure Malware über Office-Dateien bereitstellen, obwohl eine größere Anzahl dieser Instanzen Excel- und Word-Dokumente im Gegensatz zu PowerPoint-Dateien zu nutzen scheint.“
„Wie viele Phishing-Kampagnen , die in den letzten Monaten beobachtet wurden, vermeidet dieser Angriff die Verwendung bösartiger Makros und setzt stattdessen ein intelligentes „Mouseover“-Ereignis als benutzergenerierten Katalysator ein, mit dem bösartiger Code ausgeführt wird – obwohl der Benutzer nicht einmal physisch auf den Link klicken muss. Obwohl diese Technik nicht neu ist, ist sie sicherlich selten und bemerkenswert und lohnt sich, im Auge zu behalten.“
„Die Herculean-Bemühungen, die häufig erforderlich sind, um Mitarbeitern beizubringen, nicht auf verdächtig aussehende Links zu klicken, sind eine Sache, aber ein ganz neues Maß an Komplexität wird hinzugefügt, wenn sogar das Bewegen über einen Link erhebliche böswillige Aktivitäten verursachen kann. Die Überarbeitung von Phishing-/Social Engineering-Sensibilisierungs - und Schulungsprogrammen, um dieses Risiko widerzuspiegeln, ist besonders entmutigend, da die Hover-Technik oft eine der primären defensiven Maßnahmen ist, bei denen Mitarbeitern beigebracht wird, die Legitimität einer Nachricht besser zu ermitteln, wenn sie auf vermutete bösartige E-Mails stoßen.“
2. Russland plant „massive Cyberangriffe“ auf kritische Infrastruktur, warnt die Ukraine
Eine kürzlich vom Verteidigungsministerium der Ukraine herausgegebene Warnung (öffnet sich in einer neuen Registerkarte) warnt davor, dass russische staatliche Bedrohungsakteure massive Cyberangriffe sowohl auf die kritischen Infrastruktureinrichtungen der ukrainischen Unternehmen als auch auf die der ukrainischen Verbündeten planen.
Ukraine warnt vor bevorstehenden GRU-Cyberangriffen
Die Warnung besagt, dass der Schlag sich an Unternehmen im Energiesektor richten wird. Interessanterweise gibt die Warnung an, dass sie stark an Angriffe auf die Energiesysteme der Ukraine in den Jahren 2015 und 2016 erinnern werden, als Hacker, die unter der Schirmherrschaft des russischen GRU (Military Intelligence Arm) arbeiten, angeblich an zwei Angriffswellen beteiligt waren – von denen jede ein hochfähiges Stück Malware nutzt.
Der jüngste Hinweis folgt mehreren ukrainischen Militärvorschüssen, die zur Wiedererlangung riesiger Städte führten, die seit Monaten unter russischer Kontrolle standen. Forscher weisen auch auf den jüngsten Entwurf Russlands (ein Aufruf zur Mobilisierung von weiteren 300 000 russischen Staatsbürgern zur Unterstützung des Konflikts des Landes mit der Ukraine) als möglichen Katalysator für die zunehmende Abhängigkeit Russlands von anstößigen Cyberaktivitäten zur Erreichung militärischer Ziele hin, wodurch eine zusätzliche Belastung eines anhaltenden Militärpersonalmangels vermieden wird.
Forscher sehen sich frühere Cyberangriffe auf die Infrastruktur der Ukraine an
Forscher sind gespalten, wenn es um ihre Einschätzung der Wahrscheinlichkeit geht, dass eine erfolgreiche Hacking-Kampagne im Jahr 2022 gegen das Stromnetz der Ukraine gewettet wird. Die Cyber-Verteidigungseinheiten der Ukraine scheinen geschickter geworden zu sein, bösartige Aktivitäten in Netzwerken zu erkennen und zu verhindern, die zu den Organisationen gehören, die die kritische Infrastruktur des Landes umfassen (die Erkennung der Industroyer-Malware durch Ukraine CERT-UA (öffnet sich in einer neuen Registerkarte) innerhalb der Umgebung eines regionalen Energieunternehmens kommt Ihnen in den Sinn).
Dann wiederum deuten Berichte darauf hin, dass die Angriffe von 2015, 2016 und neueren Vorfällen der staatlich unterstützten Gruppe von Sandworm Advanced Persistent Threat (APT) in Russland zugeschrieben wurden – und eine Sache, die Forscher vereinbaren können, ist, dass Sandworm als eine der elite-staatlich gesponserten Hackinggruppen der Welt gilt.
Darüber hinaus sind APTs auf der Gehaltsabrechnung des Kreml nicht die einzigen unmittelbaren Bedrohungen, denen die Ukraine ausgesetzt ist, wenn kürzlich Berichte von Mandiant (eröffnet in einer neuen Registerkarte) und ähnliche Daten von anderen Cyber Threat Intelligence-Unternehmen zu glauben sind. Cyber-Hacktivisten mit angeblichen Links zur russischen GRU haben in letzter Zeit auch Schlagzeilen (eröffnet in einer neuen Registerkarte) für ihre Distributed Denial-of-Service (DDoS)- und Defacement-Angriffe auf ukrainische Websites gemacht (Experten glauben, dass sie eine Front für Informationsoperationen und destruktive Cyberaktivitäten sind, die vom Kreml koordiniert werden).
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Ukraine hat – zur Überraschung eines Großteils der Welt – bisher angesichts kinetischer russischer Militäreinsätze einen starken Widerstand aufrechterhalten. Es bleibt jedoch abzuwarten, ob die Cyber-Verteidigungskräfte der Ukraine in der Lage sein werden, einen ähnlich robusten Widerstand gegen einige der am meisten befürchteten Hacker der Welt aufrechtzuerhalten.“
„Sicherlich sind das Ausmaß und die Häufigkeit der Cyberangriffe, die zwischen den an diesem anhaltenden Konflikt beteiligten Streitkräften beobachtet wurden, anders als alles, was die Welt jemals gesehen hat. Die Taktiken, Techniken und Verfahren (TTPs), die während dieser Phase der Instabilität angezeigt werden, werden sich unweigerlich außerhalb des Operationstheaters und seines Cyber-Kampfraums bewegen, was erneut beweist, dass nichts in einem Vakuum passiert und dass dieser Konflikt – egal wie weit entfernt – uns letztendlich alle berühren wird.“
„Die einzige Frage, die noch gestellt werden muss, ist: Was werden wir daraus lernen und wie werden wir sie verwenden?“
3. Forscher entdecken verdeckte Angriffskampagnen, die auf militärische Auftragnehmer abzielen
Ein kürzlich veröffentlichter Bericht von Securonix Threat Labs analysiert eine neue Kampagne, die sich an mehrere militärische Auftragnehmer richtet (eröffnet in einer neuen Registerkarte), die an der Waffenherstellung beteiligt sind, einschließlich einer Organisation, die für die Herstellung und Lieferung von F-35 Lightning II-Kampfflugzeugkomponenten verantwortlich ist.
Die Kampagne beginnt – wie so viele oft – mit einer Phishing-E-Mail an Mitarbeiter, die zu einer mehrstufigen Infektion führt; die Aktivität zeichnet sich durch ihre sichere C2 -Infrastruktur und mehrere Ebenen der Verschleierung in den PowerShell-Phasen der Angriffe aus.
Laut Securonix war Spear Phishing das primäre Mittel zur anfänglichen Kompromittierung. Der Angriff selbst wurde Anfang Spätsommer 2022 durchgeführt und zielte auf mindestens zwei hochkarätige Organisationen ab, die derzeit als militärische Auftragnehmer fungieren.
Die Kampagne nutzt ein bösartiges Skript, das versucht, mehrere Persistenzmethoden zu implementieren, einschließlich der Einbettung in das Register, der Einfügung als geplante Aufgabe auf dem betroffenen Host und der Nutzung von WMI, um ein neues Abonnement zu erstellen, um bösartigen Code als Befehlszeilenargumente auszuführen.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Während die übergreifenden Taktiken, die in dieser Kampagne genutzt werden, den Sicherheitsforschern bekannt sind, scheint der Bedrohungsakteur hinter dieser Kampagne viel Mühe aufgewendet zu haben, solide Anti-Analyse-Techniken und Gegenforensikmaßnahmen zu etablieren. In einem Schritt, der weitestgehend als uncharakteristisch für Cyberkriminelle hinter den meisten Phishing-Kampagnen angesehen wird, gefolgt von mehrstufigen Aktivitäten nach der Ausnutzung, scheint dieser Bedrohungsakteur versucht zu haben, während des Angriffszyklus ein erhebliches Maß an operativer Sicherheit (OPSEC) aufrechtzuerhalten, anstatt alle seine Bemühungen darauf zu konzentrieren, die Phasen des Betriebs nach der Ausnutzung um technische Komplexität zu erweitern und so sicherzustellen, dass die Malware der Kampagne schwieriger zu erkennen und zu analysieren ist.“
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
