CTI Roundup: Ransomware-Gewinne sinken, während Angriffe auf hohem Niveau bleiben

Den Auftakt in unserem Wochenrückblick bildet eine Aufschlüsselung der neuesten Erkenntnisse zu Ransomware aus dem Fall „ 2022“, die vom Blockchain-Analyseunternehmen Chainalysis zusammengestellt wurden. Anschließend befasst sich CTI eingehend mit einer neuen Hintertür, die Merkmale des „Hive“-Projekts der Central Intelligence Agency (CIA) aufgreift. Abschließend geben wir einen Überblick über die jüngste Angriffswelle des chinesischen Akteurs „BackdoorDiplomacy“ sowie über einen Bericht von Unit42, in dem behauptet wird, dass Systeme, die zu Domänen der iranischen Regierung gehören, versucht hätten, eine Verbindung zu einer Malware-Infrastruktur herzustellen, die zuvor als mit diesem Akteur in Verbindung stehend identifiziert worden war.

1. Die Gewinne aus Ransomware sind im Jahr 2022 um 40 % gesunken, da sich die Opfer weigern zu zahlen

Der Jahresendbericht „“ des Blockchain-Analyseunternehmens Chainalysis zeigt, dass Ransomware-Banden im Jahr 2022 erfolgreich rund 456,8 Millionen US-Dollar von Opfern erpresst haben – ein Rückgang um etwa 40 % im Vergleich zu den rekordverdächtigen 756 Millionen US-Dollar, die in den beiden vorangegangenen Jahren von Ransomware-Opfern erbeutet wurden.

Bevor wir den Champagner entkorken, weist Chainalysis darauf hin, dass die tatsächlichen Gesamtzahlen wahrscheinlich weitaus höher liegen dürften, da es stets Kryptowährungsadressen gibt, die von Ransomware-Banden kontrolliert werden und die bislang noch nicht identifiziert und in die Daten des Unternehmens aufgenommen wurden.

Laut Chainalysis ist der rückläufige Trend bei den Gewinnen nicht auf einen Rückgang der Häufigkeit von Ransomware-Angriffen zurückzuführen, sondern vielmehr auf eine Zunahme der Zahl der Opfer, die sich weigern, den Forderungen der Erpresser nachzukommen.

General ransomware trends in 2022

Ransomware ist nach wie vor sehr aktiv

Trotz des Rückgangs der Gewinne aus Ransomware-Angriffen war das Jahr 2022 Berichten zufolge hinsichtlich der Ransomware-Aktivitäten insgesamt eines der aktivsten Jahre. Tausende verschiedener Varianten von dateiverschlüsselnder Malware hatten es auf Unternehmen jeder Größe in nahezu allen Branchen abgesehen, und im Jahr 2022 lösten sich mehrere führende Erpressungsringe auf, spalteten sich in neue Operationen auf oder änderten lediglich ihren Namen, wodurch der Weg für das Aufkommen einer Vielzahl neuer Ransomware-Operationen frei wurde.

Explosiver Anstieg bei einzigartigen Ransomware-Varianten

Im Jahr 2022 war ein enormer Anstieg der Anzahl der im Umlauf befindlichen einzelnen Ransomware-Varianten zu verzeichnen. Das Cybersicherheitsunternehmen Fortinet berichtet, dass allein im ersten Halbjahr 2022 über 10 000 unique Varianten aktiv waren. Chainalysis bestätigt diese Einschätzung und stellt fest, dass die Zahl der aktiven Varianten in den letzten Jahren dramatisch angestiegen ist.

Der Großteil der Einnahmen aus Ransomware scheint jedoch durchweg von einer kleinen Gruppe äußerst effektiver Ransomware-Operationen abgeschöpft zu werden. Dies bedeutet jedoch nicht, dass diese Gruppe der „Branchenführer“ Jahr für Jahr aus denselben Betrieben besteht; Chainalysis hat Berichten zufolge im Laufe des Jahres eine erhebliche Fluktuation unter den umsatzstärksten Sorten festgestellt.

Kaum Veränderungen bei den Geldwäschepraktiken

Die Daten von Chainalysis deuten darauf hin, dass die meisten Ransomware-Akteure ihre illegalen Gewinne weiterhin an etablierte, zentralisierte Börsen überweisen – ein Trend, der sich, abgesehen von einigen wenigen Ausreißern, seit mindestens 2018 offenbar kaum verändert hat. Was die bevorzugten Geldwäschemethoden von Ransomware-Akteuren im Jahr 2022 betrifft, so griffen die Erpresserbanden auf folgende Mittel und Taktiken zurück:

• Weniger risikoreiche Börsen: Die an risikoreiche Börsen überwiesenen Gewinne aus Ransomware-Angriffen sanken von 10,9 % auf 6,7 % im Jahr 2022.
• Weniger illegale Dienste: Auch die über illegale Dienste wie Darknet-Marktplätze gewaschenen Gewinne gingen im Jahr 2022 um einige Prozentpunkte zurück.
• Weitere etablierte Börsen: Laut dem „ 2022 “ nutzten Ransomware-Banden etablierte Börsen zunehmend zur Geldwäsche – der Anteil stieg von 39,3 % im Jahr 2021 auf 48,3 % im vergangenen Jahr.
• Mehr Diversifizierung: Im vergangenen Jahr war zudem ein Anstieg der Zahl der Aufträge zu verzeichnen, bei denen die Gewinne an eine Kombination verschiedener Dienstleister zur Bearbeitung weitergeleitet wurden. Dies sowie die Tatsache, dass immer mehr Gewinne an vertrauenswürdige, etablierte Börsen weitergeleitet werden, scheint darauf hinzudeuten, dass Ransomware-Operationen immer ausgereifter werden und ihre Finanzen in einer Weise verwalten, die an seriöse Unternehmen erinnert. Nur wenige setzen alles auf eine Karte, und noch weniger verlassen sich auf illegale Dienste (die für ihre Unbeständigkeit bekannt sind, von Kriminellen betrieben werden und jederzeit Gegenstand von Strafverfolgungsmaßnahmen sein können).

Die Opfer zahlen nicht

Es mag zwar viele schmerzhafte Lektionen, Verluste in Milliardenhöhe und unzählige Warnungen von Strafverfolgungs- und Cybersicherheitsbehörden weltweit gebraucht haben, bis sich bewährte Vorgehensweisen im Umgang mit Ransomware allmählich durchgesetzt haben, doch es sieht so aus, als würden wir im Jahr 2023 eine Wende erreichen, was die Art und Weise betrifft, wie Unternehmen Ransomware- und Erpressungsangriffe verhindern, sich darauf vorbereiten und darauf reagieren.

Amateurhafte Taktiken

Zwar sind die Taktiken, Techniken und Vorgehensweisen (TTPs) der führenden Ransomware-Akteure heute ausgefeilter denn je, doch weigert sich eine wachsende Zahl von Opfern, ihren Forderungen nachzugeben. Das auf Cyber-Bedrohungsanalysen spezialisierte Unternehmen Coveware gibt an, dass sich dies erstmals im Jahr 2019 als erkennbarer Trend in seinen statistischen Daten abzeichnete und dass die Zahl der Opfer, die Lösegeld zahlen, seitdem stetig zurückgegangen ist.

Im Fall von Coveware führt das Unternehmen den Rückgang der Zahlungsfälle größtenteils auf den Einsatz von Taktiken zurück, die Coveware als „amateurhaft“ bezeichnet und die von Ransomware-Tätern angewendet werden. Zu diesen Taktiken gehört eine unserer Lieblingsmethoden – wiederholte Angriffe auf ein Opfer über einen Zeitraum von Tagen oder Wochen hinweg durch denselben Angreifer, wobei bei vielen dieser Angriffe häufig verschiedene Malware-Varianten zum Einsatz kommen, in dem vergeblichen Versuch, ihre Vorgehensweise zu verschleiern.

Niedrige Eintrittsbarrieren führen zu einer explosionsartigen Zunahme von Amateur-Ransomware-Gruppen

Coveware stellt fest, dass Opfer von Ransomware, die sich für die Zahlung eines Lösegelds entschieden haben, zunehmend einen „Rückgang der Qualität und Zuverlässigkeit“ feststellen, wenn es darum geht, betroffene Systeme durch Befolgen der Anweisungen der Angreifer und den Einsatz ihrer Entschlüsselungsprogramme zügig wiederherzustellen.

Dies hängt zweifellos mit einem sprunghaften Anstieg der Zahl von Ransomware-Gruppen zusammen, die wie Unkraut aus dem Boden schießen, über wenig bis gar keine Erfahrung verfügen und schlampige, amateurhafte Taktiken anwenden – eine Situation, die auf das Zusammenspiel verschiedener Faktoren zurückzuführen ist, wie beispielsweise durchgesickerter Quellcode von führenden „Ransomware-as-a-Service“ (RaaS)-Anbietern, festangestellte Ransomware-Mitarbeiter, die professionelle RaaS-Anbieter in Scharen verlassen, um sich auf eigene Faust auf die Suche nach höheren Gewinnen zu begeben, und nicht zuletzt die Verbreitung extrem günstiger Ransomware-Angebote, die in der Regel mit nicht funktionierenden Entschlüsselungsprogrammen einhergehen und den Partnern so gut wie keinen technischen Support bieten. Hey, man bekommt doch, wofür man bezahlt, oder?

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Wie CTI bereits erwähnt hat, scheint 2023 aus verschiedenen Gründen einen Wendepunkt für das Ransomware-Ökosystem darzustellen. Vor allem war das Jahr 2022 das erste Jahr, in dem die Zahl der Ransomware-Opfer, die sich gegen eine Zahlung entschieden, höher war als die derjenigen, die den Forderungen der Erpresser nachkamen. Wie BleepingComputer feststellt, „unterstreicht diese Verhaltensänderung einen Wandel in der Wahrnehmung und im Umgang mit Ransomware-Angriffen.“

„Dieser Wandel scheint zum Teil auf dieselben bewährten Vorgehensweisen im Umgang mit Ransomware zurückzuführen zu sein, die CTI und andere Sicherheitsexperten stets hervorgehoben haben, wenn sie sich mit Themen rund um Ransomware befassten.“ Die Opfer haben endlich erkannt, dass die Zahlung eines Lösegelds keineswegs die Wiederherstellung ihrer Daten garantiert – und auch nicht bedeutet, dass die Angreifer die gestohlenen Dateien löschen werden. In einigen Fällen kann dies sogar rechtliche Konsequenzen nach sich ziehen – insbesondere dann, wenn eine Zahlung an eine Gruppe erfolgt, gegen die die US-Bundesregierung Sanktionen verhängt hat.“

„Darüber hinaus scheint sich die Einstellung der Öffentlichkeit gegenüber Ransomware-Angriffen gewandelt zu haben. Dieser Wandel in der Denkweise ist wahrscheinlich darauf zurückzuführen, dass Opfer von Ransomware nach einem solchen Vorfall zunehmend offener und ehrlicher mit der Öffentlichkeit umgehen. Demnach scheinen Kunden, Auftraggeber, Partner und die Branche insgesamt in ihrer Reaktion auf die Nachrichten an Reife gewonnen zu haben. „Es gibt weniger Vorurteile und weniger Schuldzuweisungen, was insgesamt zu einer spürbaren Verringerung der negativen Auswirkungen auf den Ruf der Marke und des Vertrauensverlusts bei den Verbrauchern geführt hat – Auswirkungen, die früher bei vielbeachteten Ransomware-Angriffen als unvermeidlich galten.“

„Es ist zudem von Vorteil, dass Unternehmen aller Branchen bessere Sicherungsstrategien eingeführt haben (teilweise aufgrund der strengeren Anforderungen seitens der Cyber- und Ransomware-Versicherer), wodurch die eigenständige Wiederherstellung der Infrastruktur im Falle eines Angriffs zu einer wirklich praktikablen Option geworden ist.“

„Zwar sind die oben erörterten Statistiken und kulturellen Entwicklungen zweifellos ermutigend, doch stellen Ransomware-Angriffe nach wie vor eine globale Bedrohung für jede Branche und die darin tätigen Unternehmen dar, ganz gleich, wie groß oder klein diese auch sein mögen.“ Kleine und mittlere Unternehmen sind nach wie vor einem höheren Risiko ausgesetzt, ebenso wie Organisationen, die über Daten verfügen, die zur Erleichterung weiterer Angriffe beitragen können, sowie Organisationen, die Produkte herstellen, die beliebte Bestandteile der Lieferkette der Software „ “ bilden.“

2. Neue Hintertür, die unter Verwendung der durchgesickerten „Hive“-Malware der CIA erstellt wurde, in freier Wildbahn entdeckt

Unter November 2017 wurden Quellcode und Entwicklungsprotokolle, die zu Hive gehören – einem wichtigen Tool, das von der CIA zur Steuerung ihrer Schadsoftware eingesetzt wird – veröffentlicht und zugänglich gemacht. Hive bietet „eine verdeckte Kommunikationsplattform für eine ganze Reihe von CIA-Malware, um exfiltrierte Informationen an CIA-Server zu senden und neue Anweisungen von Operatoren der CIA zu empfangen.“ Hive kann mehrere Vorgänge gleichzeitig unterstützen, indem es Informationen von mehreren Implantaten auf den Zielcomputern abruft und an diese sendet.

In der jüngsten beunruhigenden Entwicklung dieser Geschichte haben Forscher des Sicherheitsunternehmens 360Netlab eine neue Hintertür entdeckt, die Merkmale des „Hive“-Projekts der CIA aufgreift.

Über die „Hive“-Hintertür

360Netlab entdeckte gegen Ende des Jahres 2022 eine verdächtige ELF-Datei. Die Datei verbreitete sich über eine F5 -Sicherheitslücke und kommunizierte über SSL mit gefälschten Kaspersky-Zertifikaten.

Weitere Untersuchungen der Probe bestätigten, dass es sich bei dieser Probe um eine Adaption des durchgesickerten Quellcodes des Hive-Projektservers der CIA handelt. Forscher haben diese Hintertür – oder Variante – „ “xdr33“ genannt.

Der Hauptzweck dieser Hintertür besteht darin, Informationen zu sammeln und einen Ansatzpunkt für künftige Angriffe zu schaffen. Seine beiden Hauptaufgaben sind „Beacon“ und „Trigger“.

• Beacon übermittelt in regelmäßigen Abständen Informationen über das Gerät an die fest programmierte Beacon-Steuerungs- und Kontrollzentrale (C2) und führt von dieser empfangene Befehle aus.
• Trigger überwacht den Datenverkehr für Trigger C2, stellt eine Verbindung zu Trigger C2 her und wartet auf die Ausführung der von diesem erteilten Befehle.
• 360Netlab Forscher sind der Ansicht, dass die XDR-33 may bereits mehrere iterative Aktualisierungsrunden durchlaufen haben.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Für alle Interessierten: Der Bericht 360Netlab’s enthält ausführliche technische Details zu xdr33. Zwar sind die Funktionen von xdr33 nicht unbedingt neu, doch in 360Netlabs heißt es, dass dies das erste Mal ist, dass eine Variante des CIA-Hive-Angriffskits in freier Wildbahn erfasst wurde.“

3. Iranische Regierungsstellen sind von einer neuen Welle von „BackdoorDiplomacy“-Angriffen betroffen

Ein aktueller Bericht „“ der Unit 42 aus Palo Alto beschreibt eine neue Angriffswelle, die dem als „BackdoorDiplomacy“ bekannten chinesischen Akteur zugeschrieben wird.

Unit 42 gibt an, iranische Regierungsdomains beobachtet zu haben, die versucht haben, eine Verbindung zu einer Malware-Infrastruktur herzustellen, die zuvor mit dem betreffenden Akteur in Verbindung gebracht wurde.

Über BackdoorDiplomacy

BackdoorDiplomacy (auch bekannt als APT15, Vixen Panda, KeChang, NICKEL und Playful Taurus) ist eine vom chinesischen Staat unterstützte APT-Gruppe (Advanced Persistent Threat), die bekanntermaßen Cyberspionagekampagnen durchführt. Es wird davon ausgegangen, dass die Gruppe mindestens seit dem Jahr 2010 aktiv ist und in der Vergangenheit vor allem Regierungs- und diplomatische Einrichtungen ins Visier genommen hat, die für Peking in Nord- und Südamerika, Afrika und im Nahen Osten von Interesse sind.

Mitte 2021 befasste sich ESET eingehend mit „BackdoorDiplomacy“ und dem erweiterten Toolkit der APT, das zu diesem Zeitpunkt eine neue Backdoor namens „Turian“ umfasste. Turian scheint sich nach wie vor in aktiver Entwicklung zu befinden, und Unit 42 geht davon aus, dass es ausschließlich von den Akteuren der „BackdoorDiplomacy“-Gruppe genutzt wird. Seitdem wurden neue Varianten der Backdoor sowie eine neue Command-and-Control-Infrastruktur (C2) festgestellt.

BackdoorDiplomacy-Infrastruktur

Die Domain vpnkerio[.]com wurde zuvor als identifiziert und war Teil einer „BackdoorDiplomacy“-Kampagne, die sich gegen diplomatische Einrichtungen und Telekommunikationsunternehmen in Afrika und im Nahen Osten richtete. Diese Domain und die dazugehörigen Subdomains wurden inzwischen auf einen anderen Hosting-Anbieter umgestellt, wobei verschiedene neue IP-Adressen verwendet wurden und viele der Subdomains nun auf eine einzige IP-Adresse verweisen.

Die Analyse einer IP-Adresse ergab, dass ein abgelaufenes X.509 -Zertifikat mit dem senegalesischen Außenministerium in Verbindung stand. Obwohl das Zertifikat im „ April 2021“ abgelaufen ist, ist es nach wie vor mit der aktuellen zugehörigen Infrastruktur verknüpft.

Die Abteilung 42 hat alle mit dem Zertifikat verknüpften IP-Adressen eingehend untersucht und geht davon aus, dass das Zertifikat ursprünglich mit einer legitimen Infrastruktur der senegalesischen Regierung in Verbindung stand. Nach Ablauf der Gültigkeitsdauer wurde das Zertifikat mit neun verschiedenen IP-Adressen in Verbindung gebracht (die eindeutig nicht der senegalesischen Regierung zuzuordnen sind) – von denen acht zu unterschiedlichen Zeitpunkten Domains von „BackdoorDiplomacy“ gehostet haben.

Die Einheit 42 überwachte Verbindungen zu dieser bösartigen Infrastruktur und stellte fest, dass vier iranische Organisationen zwischen Juli und Dezember des Jahres 2022 versuchten, eine Verbindung zu einer der bösartigen IP-Adressen herzustellen.

Hinter den Stacheldrahtzäunen

Die Ermittlungen der Einheit 42’s ergaben zudem, dass es sich bei einer gehosteten IP-Adresse offenbar um eine legitime Domain handelte, die zwischen Mai und November des Jahres 2019 dem iranischen Außenministerium gehörte. Diese Domain befindet sich zudem in einem Netzblock, in dem auch andere mit der iranischen Regierung in Verbindung stehende Domains gehostet werden, was darauf hindeutet, dass sie tatsächlich der iranischen Regierung gehört.

Das Besondere daran ist, dass diese IP-Adresse seit dem September 2021 auch die verdächtige Domain mfaantivirus[.]xyz gehostet hat. Angesichts der legitimen Natur der anderen Regierungswebsites, die unter diesem speziellen Adressraum gehostet werden, erscheint „xyz“ als eine seltsame TLD.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„BackdoorDiplomacy entwickelt seine Taktiken und Werkzeuge offensichtlich weiter, wie die verbesserte Turian-Backdoor und die neue C2 -Infrastruktur belegen.“

„Wie von der Einheit 42 angemerkt, könnten die verbesserten Werkzeuge und die erweiterte Infrastruktur darauf hindeuten, dass BackdoorDiplomacy bei seinen Cyberspionagekampagnen weiterhin Erfolge verzeichnet.“ Die Einheit 42 wies zudem darauf hin, dass diese Kampagne zwar offenbar gegen iranische Regierungsstellen gerichtet ist, „BackdoorDiplomacy“ jedoch in der Vergangenheit dieselben TTPs bereits gegen Organisationen in Nord- und Südamerika, Afrika und dem Nahen Osten eingesetzt habe.

Bleiben Sie über die neuesten Nachrichten zu Cyber-Bedrohungen von auf dem Laufenden, indem Sie sich unsere Sammlung von Übersichtsberichten ansehen.