Diese Woche untersuchen wir, ob ein weit verbreiteter Rückgang der Anzahl von Ransomware-Angriffen in der ersten Hälfte von 2022 legitim ist oder einfach das Ergebnis verschiedener kombinierter Faktoren ist, die zu einem verzerrten und irreführenden Datensatz beitragen.
Als Nächstes stellen wir eine Zusammenfassung der neuesten Berichterstattung von Symantec über die Aktivitäten des Shuckworm APT bereit, einer Bedrohungsgruppe, die vermutlich mit dem berüchtigten Federal Security Service (FSB) Russlands in Verbindung steht. Wir betrachten auch die Aktivität eines mutmaßlichen irangebundenen Bedrohungsakteurs, der seine Bemühungen bisher auf das Ziel israelischer Schifffahrts-, Gesundheits- und Regierungsbehörden konzentriert hat.
1. Ist der weit verbreitete Rückgang der Ransomware-Zahlen eine Illusion?
Tim Starks bei der Washington Post stellte kürzlich eine interessante Frage: Ist der vermeintliche Rückgang der Anzahl der Ransomware-Angriffe (öffnet sich in einem neuen Tab), die bisher in der ersten Hälfte von 2022 beobachtet wurden, ein Spiegelbild der Realität? Oder sind die sinkenden Zahlen das Ergebnis eines perfekten Sturms beitragender Faktoren und Informationslücken?
Die kürzere Antwort scheint zu sein, dass das Problem nicht so sehr ist, ob die Anzahl der Ransomware-Angriffe gesunken ist (die tägliche Untersuchung von CTI scheint das Gegenteil zu unterstützen), sondern mehr darüber, ob die Quellen, die die Zahlen melden, Zugang zu weniger Informationen als je zuvor haben. Die längere Antwort scheint eine Kombination der beiden zu sein.
Was trägt also zur schwindenden Anzahl der Angriffe bei, die den Personen gemeldet werden, die für die Verfolgung solcher Dinge verantwortlich sind? Sehen wir uns zunächst die Zahlen an, die von seriösen Quellen gemeldet werden, damit wir sicher sein können, dass dies nicht nur Vermutungen sind.
Von der Geschichte der Washington Post: „Eine der ersten Höhen, die auf einen Rückgang hindeutet, kam letzten Monat von der Ransomware Task Force, die sich aus Experten aus Regierung, Industrie, Hochschulen und gemeinnützigen Organisationen zusammensetzte. Sie dokumentierte (öffnete sich in einer neuen Registerkarte)64 Angriffe auf lokale Regierungen, Krankenhäuser und Schulen im Jahr 2022 bis zu diesem Zeitpunkt, verglichen mit 150 Vorfällen aus dem gleichen Zeitraum des Vorjahres.“
Der Artikel erwähnt auch, wie im Juli SonicWall (öffnet sich in einer neuen Registerkarte), NCC Group (öffnet in einer neuen Registerkarte) und GuidePoint Security (öffnet in einer neuen Registerkarte) alle auf Verringerungen auf der gesamten Ebene hinwiesen. Die Unternehmen deckten jedoch verschiedene Zeiträume ab.
Natürlich haben nicht alle Forscher identische Schlussfolgerungen gezogen – ein übliches Vorkommnis in unserer Branche. Schließlich haben Unternehmen Zugang zu verschiedenen Telemetrie- und Quellen. Darüber hinaus halten sich Forscher an verschiedene Definitionen , was einen echten Ransomware-Vorfall ausmacht.
Zum Beispiel behauptete Avast (öffnet sich in einer neuen Registerkarte) erst letzte Woche, dass Ransomware-Vorfälle von Q1 auf Q2 von 2022 gestiegen waren – obwohl Avast zugeben musste, dass ihre Forscher eine abnehmende Anzahl von Angriffen seit Ende 2021 und Anfang 2022 beobachteten. SecureWorks hat eine ähnliche Schlussfolgerung gezogen.
Wenn also Ransomware wirklich lebendig und gut ist, was sind einige der Faktoren, die zu diesem potenziell verzerrten Datensatz beigetragen haben?
Starks weist auf die folgenden Entwicklungen als mögliche Umstände hin, die die Zahlen verzerren können:
- Verschiebung der Bedrohungsakteure-TPs: Viele Ransomware-Banden haben damit begonnen, Ransomware-ähnliche Taktiken zu verwenden, abzüglich der bösartigen Software (Erpressung ohne Verschlüsselung) und konzentrieren sich jetzt auf Datendiebstahl und drohen, sie freizugeben, ohne Unternehmenssysteme unbedingt zu sperren.
- Verlagerung des Targetings: Um zu vermeiden, dass politische Entscheidungsträger und Strafverfolgungsbehörden den Ärger davon anlocken, haben Ransomware-Banden auch damit begonnen, kleinere Organisationen anzusprechen. Letztes Jahr folgte dies einer Welle von hochkarätigen Ransomware-Angriffen auf Blue-Chip-Opfer wie JBS, Kaseya und Colonial Pipeline.
- Kleinere Ziele = kleinere Ressourcen: Kleinere Opfer melden ihre Ransomware-Vorfälle mit geringerer Wahrscheinlichkeit an eine der Entitäten, die mit der Verfolgung dieser Vorfälle beauftragt sind.
Wie Don Smith, Vice President of Intelligence bei der Counter Threat Unit von SecureWorks, sagte: „Das [Verschiebung des Targeting] gibt Ihnen dann eine Situation, in der Sie, wenn Sie ein mittleres bis großes Unternehmen sind, möglicherweise keine Beziehung zu einem nationalen CERT haben“, oder einem staatlichen Computernotfallteam. „Vielleicht sind Sie nicht bereit, für erstklassige Unternehmen zur Reaktion auf Vorfälle zu bezahlen, um Ihnen bei Ihrem Problem zu helfen. Und daher können viele Menschen aus dieser Art von Bergbeobachtung Voreingenommenheit berichten, was diese Ungleichheit erklären kann.“
Aber was ist, wenn die Angriffe abgefallen sind?
Natürlich werden in diesem frühen Stadium viele der oben beschriebenen Faktoren immer noch als Hypothesen betrachtet. Es besteht weiterhin die Möglichkeit, dass Ransomware-Angriffe trotz der gelegentlichen leichten Ungleichheit der Zahlen zwischen den berichtenden Organisationen in letzter Zeit tatsächlich zurückgegangen sind.
Wenn dies der Fall ist, können die folgenden Faktoren dazu beitragen:
- Sanktionen gegen Russland: Russland, das lange als Schutzparadies für die Legionen von Ransomware-Banden angesehen wird, die innerhalb seiner Grenzen tätig sind, könnte Ransomware-Betreiber behindert haben. (öffnet sich in einer neuen Registerkarte)
- Wichtige Ransomware-Operationen wurden aufgelöst oder unterbrochen: Nach einer besonders produktiven Periode wurde die erfolgreiche Ransomware-Gruppe Conti offenbar im Mai aufgelöst (öffnet sich in einer neuen Registerkarte), nachdem interne Lecks die inneren Abläufe der Bande und die öffentliche (und sehr unbeliebte) Botschaft der Allianz mit Russland im Konflikt Russland/Ukraine offengelegt hatten.
Was auch immer der Grund für den offensichtlichen Rückgang von Ransomware-Vorfällen ist, CTI wird die Situation weiterhin überwachen. Wir behandeln Ransomware weiterhin als eine Top-Bedrohung und haben ein besseres Bild der treibenden Kräfte hinter der gemeldeten Anzahl von Angriffen im Laufe des Jahres.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Tim Starks hat hervorragend aufgezeigt, wie die von verschiedenen Nachrichtenquellen und Regierungsbehörden berichteten Statistiken gelegentlich und manchmal auch stark variieren können. Oft ist es allzu einfach, in ein Muster des Blindglaubens an die Daten zu geraten, die vor uns präsentiert werden, insbesondere wenn diese Daten von einer Entität stammen, die sich historisch als zuverlässige Informationsquelle erwiesen hat.
CTI wird weiterhin eine Vielzahl von Quellen von Ransomware-Statistiken überwachen und nach signifikanten Entwicklungen Ausschau halten, die potenziell das Risikoniveau für Tanium und seine Lieferanten, Partner und Kunden durch Erpressungsbänder beeinflussen könnten.“
2. Infostealer ist eine Nutzlast der Wahl für den russischen Shuckworm APT bei Aktivitäten, die auf die Ukraine abzielen
Ein kürzlich veröffentlichter Blogbeitrag von Symantec (eröffnet in einer neuen Registerkarte) beschreibt die neue Shuckworm-Aktivität, die von der Sicherheitsfirma beobachtet wurde, die sich bisher an die Ukraine richtete und anscheinend Informationsdiebstahl-Malware an gezielte Netzwerke liefert.
Laut Symantec wurde die Aktivität bereits im Jahr durchgeführt 8. August 2022und ein Großteil der in dieser Kampagne beobachteten Aktivität stimmt mit der Aktivität überein, die von CERT-UA (öffnet sich in einer neuen Registerkarte) auf hervorgehoben wurde 26. Juli 2022.
Shuckworm: Russia-Linked Group erhält #Ukraine Focus aufrecht – #Gamaredon, #Armageddon böswillige Aktivität wird fortgesetzt, #infostealer ist Nutzlast in der neuesten Aktivität. Lesen Sie Blog für die neuesten IoCs: https://t.co/r12KxfM8Hj #Russia #cyberattacks #Shuckworm pic.twitter.com/jY89dctrg8
— Threat Intelligence (@threatintel) 15. August 2022
Was ist Shuckworm?
Shuckworm (auch bekannt als Gamaredon oder Armageddon) ist ein russischer Konzern, der sich seit seiner Gründung im Jahr 2014 fast ausschließlich auf die Ukraine konzentriert hat. Sie wird im Allgemeinen als staatlich gesponserter Spionagebetrieb (eröffnet in einer neuen Registerkarte) betrachtet, der vom ukrainischen Geheimdienst (Ukrainian Secret Service, SSU) mit dem FSB verknüpft wird.
Die ukrainische Intelligenz hat der Gruppe Cyberoperationen zugeschrieben, die Tausende von öffentlichen, privaten und staatlichen Einrichtungen im Land anvisieren, um Informationen zu sammeln, Operationen zu unterbrechen und die Kontrolle über kritische Infrastrukturziele zu übernehmen.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„In dieser Erzählung gibt es zwei bemerkenswerte Themen, die angesprochen werden sollten. Der erste ist die zunehmende Verwendung von Informationsdiebstahl-Malware (allgemein als Infostealer bezeichnet) unter Bedrohungsakteuren aller Streifen. Intel 471 claims that since the beginning of 2022, the cyber threat intelligence firm has observed a 150% increase in the number of infostealers available on the dark web (opens in a new tab), compared to the same period in 2021. Dies ist ein deutlicher Hinweis auf eine starke Nachfrage bei Cyber-Bedrohungsakteuren nach solchen Produkten sowie ein Hinweis auf den hohen Angriffserfolg, den eine solche Software bei der Auslösung unterstützen kann.
Das zweite bemerkenswerte Thema ist die Tatsache, dass die Berichterstattung von Symantec besagt , dass Shuckworm seinen Fokus bisher auf die Ausrichtung auf ukrainische Unternehmen beschränkt hat. Trotz verschiedener öffentlich verfügbarer Berichte über die Aktivitäten des Konzerns scheint Shuckworm von der Öffentlichkeit unbeeinträchtigt zu sein, und sein Betrieb wird unverändert fortgesetzt. Shuckworm ist vielleicht nicht das ausgeklügeltste Asset innerhalb Russlands Hierarchie der staatlich unterstützten Bedrohungsakteure, aber – wie Symantec betont hat – es gleicht seine technischen Mängel mit seiner Beharrlichkeit, Ausdauer und der Unermüdlichkeit, mit der es seine Opfer einbindet, mehr aus als aus.
Wie bei den meisten Malware- und TTPs, die von den Teilnehmern des Konflikts in Russland/Ukraine eingesetzt werden, ist das primäre Risiko ein „Übergehen“ auf westliche Organisationen, Netzwerke und kritische Infrastrukturen – deren Bedrohung kontinuierlich von CISA und seiner Shields Up-Initiative detailliert beschrieben wurde. (öffnet sich in einer neuen Registerkarte)“
3. UNC3890 Iranische Hackeraktivität, bei der der Verdacht auf israelische Schifffahrts-, Gesundheits-, Regierungs- und Energiesektoren besteht
Ein kürzlich veröffentlichter Mandiant-Bericht beschreibt die Nachverfolgung von UNC3890 (eröffnet in einer neuen Registerkarte) durch die Unternehmen, eine Gruppe von Aktivitäten, die sich über Social Engineering-Lures und ein potenzielles Bewässerungsloch an israelische Schifffahrts-, Regierungs-, Energie- und Gesundheitsorganisationen richten. Mandiant glaubt, dass der Schauspieler mit dem Iran verbunden ist und führt wahrscheinlich Spionageaktivitäten durch, um die iranischen Interessen zu unterstützen.
Was ist UNC3890?
- UNC steht für nicht kategorisiert, bezieht sich auf einen Aktivitätscluster. Der Vorgang nutzt mehrere öffentlich verfügbare Tools, wie Metasploit, Unicorn und NorthStar C2, zusätzlich zu mindestens zwei einzigartigen Tools, einer Backdoor namens SUGARUSH und einem Browser-Anmeldeinformationsstealer namens SUGARDUMP.
- Mandiant begann Ende 2021 erstmals mit der Verfolgung von UNC3890 , wo es beobachtet wurde, dass es auf israelische Unternehmen abzielte und Interesse an Sektoren wie Regierung, Schifffahrt, Energie, Luftfahrt und Gesundheitswesen zeigte. Während sich der Großteil des Targetings auf Israel zu konzentrieren scheint, waren einige der von der Gruppe im Schifffahrtssektor anvisierten Einheiten globale Unternehmen, was zu einer potenziellen Auswirkung über Israel hinaus führte.
- Mandiant war in erster Linie in der Lage, Implantate nach der Exploitation aufzudecken, die von UNC3890 verwendet wurden, konnte jedoch einige Ergebnisse identifizieren, die auch Aufschluss über die anfänglichen Zugangsmethoden der Gruppe geben könnten.
- Eine potenzielle Bewässerungsöffnung (Öffnung in einer neuen Registerkarte) wurde auf der Anmeldeseite eines legitimen israelischen Reedereis identifiziert, von der Forscher glauben, dass sie wahrscheinlich von UNC3890 beeinträchtigt wurde. Beim Aufruf der legitimen Anmeldeseite sendet der Benutzer eine POST-Anfrage mit vorläufigen Daten über den protokollierten Benutzer an einen Angreifer. Es wird angenommen, dass das Bewässerungsloch verwendet wurde, um Kunden und Benutzer des Versandunternehmens anzusprechen. Mandiant hat einen zusätzlichen Versuch beobachtet, eine andere große israelische Reederei von der Gruppe anzuvisieren, die mit der Bewässerungsbohrung übereinstimmt.
- Mehrere Domänen, die auf UNC3890’s C2 Servern auflösen, die als legitime Dienste und Entitäten maskiert werden, darunter LinkedIn, Pfizer, Facebook und Office 365. Die Domains wurden wahrscheinlich verwendet, um Zugangsdaten für den legitimen Dienst zu sammeln, Phishing-Lures zu senden oder als Versuch, sich mit dem erwarteten Netzwerkverkehr zu verbinden. Mandiant identifizierte auch einen UNC3890 -Server, der mehrere ZIP-Dateien hostete, die gescrapte Inhalte von Facebook- und Instagram-Konten legitimer Personen enthielten.
- Der Vorgang wird anhand einer XLS-Datei beobachtet, die das Opfer mit einem gefälschten Stellenangebot lockt. Die Datei installiert SUGARDUMP, ein Berechtigungsernte-Tool. Das gefälschte Stellenangebot gilt für eine Softwareentwicklerposition bei LexisNexis.
- Nach dem ersten Zugriff nutzt die Gruppe ein breites Toolset, um auf die Umgebung zuzugreifen und sie zu kontrollieren.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Das gefälschte Jobangebot scheint in letzter Zeit bei Bedrohungsakteuren an Popularität zu gewinnen (ganz zu schweigen davon, dass es sich um eine historisch beliebte Technik bei irangebundenen Bedrohungsakteuren handelt), und UNC3890 ist nur die neueste Gruppe, die dem Trend beitritt.
Was sich an UNC3890 ein wenig unterscheidet, ist seine Ausrichtung auf Reedereien. Da es unklar ist, auf welche Daten der Bedrohungsakteur genau zugreifen konnte, als er angeblich ein Bewässerungsloch gegen eine israelische Reederei bereitgestellt hat, ist unklar, was genau das Endziel war. Dennoch ist die Verwendung von benutzerdefinierten Berechtigungserntewerkzeugen und Hintertüren durch den Betrieb ein Indiz für ein höheres Maß an kontroverser Raffinesse.
Besuchen Sie unsere Inhaltsbibliothek für Cybersicherheit
Möchten Sie mehr über die neuesten Cybersicherheitsentwicklungen erfahren? Wir bieten eine breite Palette von Artikeln, Blogs und Videos zur Cybersicherheit an. Sehen Sie sich unsere Geschichten an.
