In der dieswöchigen Zusammenfassung der Cyber Threat Intelligence (CTI) (dem 2022. und damit letzten Beitrag dieser Reihe!) befassen wir uns eingehend mit einem aktuellen Bericht von Cisco Talos, in dem eine neu dokumentierte Methode zur Verbreitung der Malware „QakBot“ ( , QBot) von beschrieben wird, bei der SVG-Dateien () und HTML-Smuggling genutzt werden, um eine schädliche Nutzlast lokal zusammenzustellen. Als Nächstes werfen wir einen Blick auf drei neue Ransomware-Familien, denen Fortinet vorwirft, eine anhaltende Angriffswelle auf Windows-Systeme anzuführen. Abschließend geben wir einen Überblick über den „ 2022 Adversary Infrastructure Report“ von Recorded Future, wobei wir uns auf die sich wandelnden Trends bei der von Angreifern genutzten Command-and-Control-Infrastruktur (C2) konzentrieren – darunter ein Anstieg der Anzahl der im Jahr 2022 erfassten eindeutigen C2 Server um 30 % im Vergleich zum Vorjahr.
1. Angreifer nutzen SVG-Dateien, um die QBot-Malware auf Windows-Systeme zu schmuggeln
Ein kürzlich veröffentlichter Blogbeitrag von Cisco Talos (wird in einem neuen Tab geöffnet) beschreibt eine neuartige Methode zur Verbreitung der QBot-Malware, bei der SVG-Dateien zum „HTML-Smuggling“ genutzt werden und letztendlich eine schädliche Nutzlast lokal auf den Geräten der Opfer zusammengestellt wird.
Einfach ausgedrückt: Wenn das Opfer dieses Angriffs den schädlichen E-Mail-Anhang empfängt und öffnet, entschlüsselt sein Browser ein eingebettetes Skript und führt es aus, wodurch eine schädliche Nutzlast direkt auf dem Gerät des Opfers erstellt wird.
Was versteht man unter HTML-Schmuggel?
HTML-Smuggling (wird in einem neuen Tab geöffnet)ist eine Technik zur Verbreitung von Malware, die es Angreifern ermöglicht, ein verschlüsseltes Schadskript in einem HTML-E-Mail-Anhang oder auf einer Webseite zu verbergen. Unabhängig davon, in welchem Format die HTML-Datei vorliegt, wird beim Öffnen der HTML-Datei der darin enthaltene Schadcode dekodiert und die Nutzlast auf dem Gerät des Empfängers zusammengesetzt. Diese Technik ermöglicht es einem Angreifer, die Malware hinter einer Firewall zu erstellen, anstatt versuchen zu müssen, schädliche ausführbare Dateien durch die Perimeter-Sicherheitsmaßnahmen zu schmuggeln.
HTML-Schmuggel mithilfe von SVG
HTML-Schmuggel kann auf verschiedene Arten erfolgen. Cisco Talos hat jedoch kürzlich beobachtet, wie ein Angreifer eine relativ neue HTML-Smuggling-Technik einsetzte, bei der SVG-Bilder zum Einsatz kamen.
Im Gegensatz zu JPEG-Bilddateien sind SVG-Bilder vektorbasiert – das bedeutet, dass ihre Größe vergrößert werden kann, ohne dass die Bildqualität darunter leidet. Diese Bilder werden mithilfe von XML erstellt, wodurch sie sich problemlos in HTML einbinden lassen.
Cisco Talos hat bösartige E-Mails mit HTML-Anhängen identifiziert, die verschlüsselte SVG-Bilder enthalten, in denen HTML-Skript-Tags eingebettet sind. Die Einbindung von <script>-Tags in SVG-Bilder ist eine legitime Funktion des SVG-Formats, die von Angreifern missbraucht wird, um Schadcode auf das Gerät eines Opfers zu schmuggeln. Bei dieser Technik machen sich Angreifer die Tatsache zunutze, dass die meisten Webbrowser diesen Code so dekodieren und ausführen, als wäre er ein legitimer Bestandteil des HTML-Codes des Dokuments.
Der in das SVG-Bild eingeschleuste Schadcode enthält das größere ZIP-Archiv mit Schadcode. Die Malware wird anschließend extrahiert und direkt auf dem Computer des Opfers zusammengestellt. Da die Malware-Nutzlast selbst auf dem Rechner des Opfers erstellt wird, ermöglicht diese Technik Angreifern, grundlegende Sicherheitsmaßnahmen zu umgehen, die dazu dienen, schädliche Inhalte, die in das Netzwerk gelangen, herauszufiltern.
Die QBot-Instanz
Eine der bekannten Verbreitungsmethoden von QBot besteht darin, das E-Mail-Konto eines Opfers zu kapern und auf einen bestehenden E-Mail-Thread zu antworten, wobei die Malware als Anhang beigefügt wird. Diese Technik nutzt die Tatsache aus, dass die manipulierte E-Mail den Anschein erweckt, von einer legitimen, vertrauenswürdigen Quelle zu stammen – wodurch die Wahrscheinlichkeit steigt, dass der Empfänger mit dem Inhalt in der vom Angreifer gewünschten Weise interagiert. In dem von Cisco Talos beobachteten Fall antworteten die Angreifer auf einen sehr alten E-Mail-Thread.
Sobald das Opfer den Anhang öffnet, wird der in das SVG-Bild eingeschleuste Code aktiv und erstellt ein schädliches ZIP-Archiv. Anschließend wird dem Opfer ein Dialogfeld angezeigt, in dem es die Datei speichern kann. Der HTML-Anhang enthält ein Passwort, das die Opfer benötigen, um das verschlüsselte ZIP-Archiv zu öffnen, das soeben auf dem Computer des Opfers erstellt wurde.
In dem HTML-Anhang konnte Cisco Talos den Code identifizieren, den die Angreifer nutzten, um das JavaScript auf das Gerät zu schmuggeln. Neben einigen bekannten Verschleierungstechniken stellten die Forscher zudem ein <embed>- -Tag fest, das das base64-encoded -SVG-Bild enthielt. Nachdem dieses Bild entschlüsselt und das JavaScript entschleiert worden war, erkannte Cisco Talos die in dieser QBot-Kampagne verwendete SVG-HTML-Schmuggeltechnik.
- Die Funktion `charCodeAt()` dient dazu, Text aus einer JavaScript-Variablen in einen binären Blob zu konvertieren. Mithilfe der Funktion `createObjectURL()` wird der Binär-Blob anschließend in ein ZIP-Archiv umgewandelt, das der Benutzer auf seinem lokalen Dateisystem speichern soll.
- Gibt das Opfer das vom Angreifer bereitgestellte Passwort ein und öffnet das ZIP-Archiv, kann es eine ISO-Datei extrahieren. Diese ISO-Datei soll das Opfer angeblich mit QBot infizieren.
Statistiken zum HTML-Schmuggel
Trustwave hat kürzlich einen Blogbeitrag veröffentlicht, in dem darauf hingewiesen wird, dass HTML-Dateianhänge nach wie vor eine Bedrohung darstellen, und die von Cisco Talos beobachteten Aktivitäten bestätigen dies zweifellos.
Trustwave stellte fest, dass HTML-Dateianhänge in ihren Spam-Fallen immer häufiger vorkommen. Über einen Zeitraum von 30 Tagen stellte Trustwave fest, dass die Kombination aus HTML- (11,39 %) und HTM-Dateien (2,7 %) mit insgesamt 14,09 % den zweithäufigsten Anteil an Spam-Dateianhängen ausmachte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„HTML-Smuggling kann herkömmliche Sicherheitswerkzeuge, die eingehende Aktivitäten überwachen, umgehen, da es die Zusammenstellung des Schadcodes aus dem Inneren des Netzwerks heraus ermöglicht.“ Dies unterstreicht den stetig wachsenden Bedarf an Endgeräteschutz, der dazu beitragen kann, die Ausführung von Schadsoftware zu verhindern.“
„Obwohl HTML-Smuggling keine neue Technik ist, gewinnt sie bei Angreifern zunehmend an Bedeutung, da sie, wie bereits erwähnt, die Möglichkeit bietet, bestimmte Sicherheitsmaßnahmen wie Filter zur Inhaltsüberprüfung zu umgehen.“ „Die Verwendung von SVG-Bildern zum HTML-Smuggling ist ein weiteres Beispiel dafür, dass Angreifer ihre Techniken ständig weiterentwickeln, um relevant und erfolgreich zu bleiben.“
2. Eine neue Gruppe von Ransomware-Familien steht hinter Angriffen auf Windows-Systeme
Drei neue Ransomware-Familien (wird in einem neuen Tab geöffnet) stehen an der Spitze der Angriffe, die sich zunehmend gegen Windows-Systeme richten: Vohuk, ScareCrow und AESRT (auch bekannt als AERST).
Wie im jüngsten zweiwöchentlichen „Ransomware Roundup“ von Fortinet dargelegt, weisen die Ransomware-Varianten Vohuk, ScareCrow und AERST die folgenden gemeinsamen Merkmale auf:
- Betroffene Plattformen: Microsoft Windows
- Betroffene Parteien: Microsoft Windows-Nutzer
- „Impact“: Verschlüsselt Dateien auf dem infizierten Rechner und fordert Lösegeld für die Entschlüsselung der Dateien
- Schweregrad: Hoch
Im Folgenden werden die einzelnen Ransomware-Familien näher betrachtet.
Vohuk-Ransomware
Von Fortinet:
„Wie die meisten Ransomware-Programme verschlüsselt auch die neue Vohuk-Variante Dateien auf infizierten Rechnern und versucht, Geld von den Opfern zu erpressen. In der hinterlassenen Lösegeldforderung „README.txt“ werden die Opfer aufgefordert, den Angreifer per E-Mail unter Angabe einer jedem Opfer zugewiesenen eindeutigen ID zu kontaktieren. Wie aus der Lösegeldforderung hervorgeht, handelt es sich bei dieser Vohuk-Ransomware-Variante um die Version 1,3, was möglicherweise darauf hindeutet, dass der Angreifer die Ransomware bereits mehrmals aktualisiert hat.“
- Vorhuk verschlüsselt Dateien und fügt ihnen die Dateiendung „.Vohuk“ hinzu.
- Zudem ersetzt es die Symbole der betroffenen Dateien durch ein rotes Schlosssymbol (siehe unten) und ersetzt den Desktop-Hintergrund durch ein eigenes Design.
Von Fortinet:
„Die Ransomware hinterlässt einen charakteristischen Mutex namens „Global\\VohukMutex“, der verhindert, dass verschiedene Instanzen der Vohuk-Ransomware auf demselben System ausgeführt werden können... „Ausgehend von den Orten, von denen aus Dateien bei VirusTotal eingereicht wurden, hat die Ransomware „Vohuk“ vor allem Deutschland und Indien betroffen.“
ScareCrow-Ransomware
Von Fortinet:
„Die Ransomware ‚ScareCrow‘ scheint einige Ähnlichkeiten mit der berüchtigten Ransomware ‚Conti‘ aufzuweisen: Beide verwenden den CHACHA-Algorithmus zur Verschlüsselung von Dateien und löschen Schattenkopien mithilfe von WMIC auf der Grundlage der Schattenkopie-IDs.“ Das ist nicht allzu überraschend, da der Quellcode der Conti-Ransomware Berichten zufolge bereits zu Beginn des Jahres durchgesickert war. Der Angreifer „ScareCrow“ hat jedoch einiges an Aufwand in die Entwicklung dieser Ransomware-Variante gesteckt, da unsere Analyse einige wesentliche Unterschiede zutage gefördert hat. „Beispielsweise verschlüsselt Conti alle Befehlszeichenfolgen mit einer einzigen Entschlüsselungsroutine, während ScareCrow jede Zeichenfolge – einschließlich des Namens der von ihm geladenen DLLs (d. h. kernel32), des Namens der von ihm verwendeten APIs und sogar der Befehlszeichenfolgen – mit einer eigenen Entschlüsselungsroutine verschlüsselt.“
In vielerlei Hinsicht ist ScareCrow eine typische Ransomware. Es verschlüsselt Dateien auf den Computern der Opfer und hinterlässt eine Lösegeldforderung in Form einer Datei mit dem Namen „readme.txt“. Die Nachricht enthält drei verschiedene Telegram-Kanäle, über die die Opfer mit ihren Angreifern kommunizieren können. Diese versäumen es in der Regel, in ihren Lösegeldforderungen eine finanzielle Forderung zu stellen (eine Tatsache, die darauf hindeuten könnte, dass sich die Angreifer das Recht vorbehalten wollen, einen Preis spontan festzulegen, sobald sie von einem bevollmächtigten Verhandlungsführer der betroffenen Organisation kontaktiert werden).
Fortinet stellt fest, dass zum Zeitpunkt der Erstellung dieses Artikels keiner der drei Telegram-Kanäle verfügbar war.
Die Ransomware „ScareCrow“ fügt den betroffenen Dateien zudem die Dateiendung „.CROW“ hinzu.
AERST-Ransomware
Von Fortinet:
„AESRT ist eine neue Ransomware-Variante, auf die FortiGuard Labs kürzlich gestoßen ist.“ Es verschlüsselt Dateien auf infizierten Rechnern und fügt den verschlüsselten Dateien die Dateiendung „.AESRT“ hinzu. Anstatt eine Lösegeldforderung zu hinterlassen, zeigt die Ransomware ein Popup-Fenster an, das die E-Mail-Adresse des Angreifers enthält. Außerdem ist ein Feld vorgesehen, in das der gekaufte Schlüssel eingegeben werden kann, der zur Entschlüsselung der mit Ransomware infizierten Dateien erforderlich ist. „Die Ransomware löscht zudem Systemabbilder, wodurch die Möglichkeit des Opfers, Dateien wiederherzustellen, eingeschränkt wird.“
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es ist äußerst unklug (wir sagen dies pauschal – in jeder Situation gibt es immer mildernde Umstände), Zahlungen an Ransomware-Banden zu leisten. Es gibt nicht nur keine Garantie dafür, dass Ihre Dateien wiederhergestellt werden, sondern auch keine Garantie dafür, dass die Kriminellen nicht zurückkommen, um weitere Daten zu erbeuten. Darüber hinaus haben verschiedene US-Regierungsbehörden unterschiedlicher Art und Zuständigkeit davon abgeraten, Lösegeld zu zahlen, und darauf hingewiesen, dass dies in vielen Fällen als rechtswidrig angesehen werden könnte.“
„Es ist wichtig, weiterhin wachsam gegenüber den Verhaltensmustern und TTPs zu bleiben, die Gruppen wie die oben beschriebenen Ransomware-Gruppen sowohl vor als auch während ihrer Operationen nutzen, und dabei den Schwerpunkt darauf zu legen, sich stets der von diesen Gruppen bevorzugten Erstzugangsvektoren bewusst zu sein (wie beispielsweise den Einsatz von „Vorläufer“-Malware – man denke an QBot und dessen Rolle bei der Verbreitung der Ransomware Black Basta –, die häufig über ausgeklügelte Phishing-Kampagnen verbreitet wird).“
3. Recorded Future: Die Anzahl der Command-and-Control-Server stieg im Jahr 2022 sprunghaft an
Der neue Bericht „2022 Adversary Infrastructure Report“ von Recorded Future (wird in einem neuen Tab geöffnet) enthält eine Analyse der Command-and-Control-Infrastruktur (C2), die mithilfe proaktiver Scan- und Erfassungsmethoden im gesamten Jahr 2022 identifiziert wurde.
Der vielleicht bemerkenswerteste Punkt unter den wichtigsten Ergebnissen des Berichts ist der Anstieg der Anzahl der im Jahr 2022 entdeckten eindeutigen C2 -Server – ein Anstieg um 30 % im Vergleich zum Vorjahr. Dies ist ein deutlicher Hinweis darauf, dass sowohl Cyberkriminelle als auch staatlich unterstützte APT-Gruppen (Advanced Persistent Threat) diese Geräte zunehmend zur Durchführung von Angriffen nutzen.
Ein „ “ C2 -Server (wird in einem neuen Tab geöffnet) ist im Grunde ein Computer, der Befehle an infizierte Geräte sendet. Server ermöglichen es Angreifern, Netzwerke aufzubauen, um Daten zu verschlüsseln, Angriffe zu starten und andere schädliche Aktivitäten durchzuführen.
Die Autoren des Berichts geben an, im Jahr 2022 mehr als 17 000 .C2 Server identifiziert zu haben, was einen Anstieg gegenüber den 13 629 Servern darstellt, die im Vorjahr ermittelt wurden.
Bei der Untersuchung der fünf häufigsten Malware- und Exploit-Frameworks, die in den letzten drei Jahren mit diesen C2 Servern in Verbindung standen, zeigt die Studie einen kontinuierlichen Anstieg der Anzahl von C2 Servern, die mit Cobalt Strike, Meterpreter und PlugX (einem beliebten Fernzugriffstrojaner, der von staatlich unterstützten Hackern aus China bevorzugt wird) in Verbindung stehen. Dies gilt trotz des fortgeschrittenen Alters dieser speziellen Werkzeuge.
Other significant contributing families include botnet families such as IcedID and QakBot (the latter of which seems to have experienced quite a successful year), as well as a fully re-emerged Emotet, which – along with QakBot, continued to expand C2 infrastructure throughout 2022.
Weitere Erkenntnisse aus dem Bericht
- Die Forscher stellten fest, dass zwischen der Entdeckung eines C2 -Servers im Rahmen ihrer eigenen Scan-Maßnahmen und der Meldung in anderen Quellen im Durchschnitt 33 Tage lagen.
- PlugX wird nach wie vor intensiv genutzt, obwohl ShadowPad als dessen „Nachfolger“ angepriesen wird.
- Shifts in Russian state-sponsored C2 infrastructure can make tracking specific operations more difficult than with other state-attributed entities.
- Wie zu erwarten war, verzeichnen die größten Hosting-Anbieter weiterhin die meisten C2 -Server-Beobachtungen. Allerdings gab es Veränderungen hinsichtlich der Anbieter, die für C2 -Server genutzt werden, darunter ein Anstieg des Hosting-Aufkommens bei Shenzhen Tencent Computer Systems um mehr als 300 %, wodurch das Unternehmen in der Umfrage von Recorded Future zum beliebtesten Anbieter für C2s wurde.
- China overtook the U.S. as the top country by volume for C2 server-hosting. Während der Anteil der USA an den C2 Servern von 34 % auf 22 % sank, stieg der Anteil Chinas von 14 % auf 24 %, was vor allem auf einen erheblichen Anstieg der C2 Erkennungen beim chinesischen Hosting-Anbieter Shenzhen Tencent Computer Systems zurückzuführen ist.
- Im Jahr 2021 prognostizierte Recorded Future ein vielfältigeres Umfeld für das Jahr C2 , in dem die Forscher des Unternehmens eine Zunahme der Erkennungen durch neue Tools verzeichnen würden. Die Vielfalt, die sie schließlich beobachteten, war jedoch eher auf eine breitere Verbreitung bereits etablierter Werkzeuge zurückzuführen als auf den Einsatz neuer Werkzeuge.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Was die Prognose der Infrastruktur für adversarische Angriffe im Bereich C2 mit Blick auf 2023 betrifft, erscheint es naheliegend, dass bewährte Frameworks wie Cobalt Strike und sowie Botnetze wie Emotet und QakBot weiterhin die Spitzenplätze in Studien wie der oben beschriebenen einnehmen werden, obwohl einige Experten Brute Ratel aufgrund seiner geringeren Erkennungsrate bei Endpoint Detection and Response (EDR)-Lösungen von als wahrscheinlichen Nachfolger von Cobalt Strike ansehen.“ „Letztendlich werden jene Malware-, Post-Exploitation-Tools- und Botnetz-Familien den größten Erfolg verzeichnen, die besonderen Wert auf OPSEC legen, ihre Infrastruktur kontinuierlich anpassen und unkonventionelle TTPs einsetzen.“
Hier finden Sie weitere Ausgaben unserer Zusammenfassungen zu Cyberbedrohungen aus der Reihe „ “.
