In der Zusammenfassung dieser Woche beleuchtet CTI „Octo Tempest“, einen finanziell motivierten Angreifer, der mithilfe von Social Engineering globale Organisationen kompromittiert. Als Nächstes untersucht CTI einen Bericht, aus dem hervorgeht, dass die Ransomware-Aktivitäten im September ihren höchsten Stand seit 2023 erreicht haben. Ebenfalls enthalten ist ein Überblick darüber, wie die Open-Source-RAT „Quasar“ das Sideloading von DLLs nutzt, um Daten von kompromittierten Windows-Hosts zu stehlen.
1. „Octo Tempest“ bedroht globale Organisationen
Microsoft verfolgt Aktivitäten im Zusammenhang mit der finanziell motivierten Bedrohungsgruppe „ “, „Octo Tempest“ (wird in einem neuen Tab geöffnet), die dafür bekannt ist, Angriffe unter Einsatz von „Adversary-in-the-Middle“-Techniken (AiTM), Social Engineering und SIM-Swapping-Methoden durchzuführen.
Laut Microsoft entwickelt sich die Gruppe rasch weiter und nutzt eine Vielzahl unterschiedlicher Bedrohungen, Taktiken und Vorgehensweisen (TTPs), um sich in komplexen hybriden Umgebungen zurechtzufinden. Octo Tempest weist zudem einige Überschneidungen mit anderen Bedrohungsgruppen auf, darunter 0ktapus, Scattered Spider und UNC3944.
Die Zeitleiste von „Octo Tempest“
2022: Es wurde ursprünglich beobachtet, dass die Gruppe Mobilfunkunternehmen und Anbieter von Business-Process-Outsourcing ins Visier nahm, um SIM-Swaps durchzuführen. Die Gruppe begann, ihre Angriffe zu monetarisieren, indem sie SIM-Swaps an andere Cyberkriminelle verkaufte und Kontoübernahmen durchführte, um Kryptowährung zu stehlen.
Ende 2022 und Anfang 2023: Octo Tempest begann, seinen Tätigkeitsbereich auf Kabel-Telekommunikationsunternehmen, E-Mail-Anbieter und Technologieunternehmen auszuweiten. Die Gruppe begann, ihre Einbrüche zu monetarisieren, indem sie ihre Opfer wegen gestohlener Daten erpresste und in einigen Fällen sogar zu physischen Drohungen griff.
Mitte 2023: Octo Tempest schloss sich der „ “-Gruppe „BlackCat RaaS“ an. Dies ist insofern bemerkenswert, als Octo Tempest eine englischsprachige Gruppe ist, mit der viele Ransomware-Gruppen keine Geschäfte machen wollen.
Juni 2023: Octo Tempest begann mit der Verbreitung von BlackCat-Ransomware-Payloads, wobei der Schwerpunkt auf ESXi-Servern lag. Die Gruppe erweiterte ihren Fokus erneut auf die Bereiche Rohstoffe, Glücksspiel, Gastgewerbe, Konsumgüter, Einzelhandel, MSPs, Fertigung, Rechtswesen, Technologie und Finanzdienstleistungen.
Erstzugang
Octo Tempest nutzt häufig Social-Engineering-Angriffe, um technische Administratoren mit weitreichenden Berechtigungen ins Visier zu nehmen. Der Angreifer führt Recherchen durch, um Personen zu identifizieren, gibt sich als diese aus, um Telefonanrufe zu tätigen und die erforderlichen Informationen zu sammeln, mit denen er die Betroffenen dazu verleiten kann, Passwörter zurückzusetzen und Multi-Faktor-Authentifizierungsverfahren durchzuführen.
Die Gruppe nutzt üblicherweise eine der folgenden Methoden für den Erstzugang:
- Einen Mitarbeiter anzurufen und ihn dazu zu verleiten, RMMs zu installieren oder mithilfe eines AiTM-Toolkits eine Website aufzurufen.
- Den Helpdesk einer Organisation anrufen, um ein Passwort zurückzusetzen.
- Der Kauf von Zugangsdaten eines Mitarbeiters im Dark Web.
- Durchführung von SMS- -Phishing.
- Ein SIM-Swap wird eingeleitet.
In einem Fall griff Octo Tempest zu körperlichen Drohungen, um die Opfer dazu zu zwingen, Zugangsdaten für den Zugriff auf Unternehmenssysteme preiszugeben.
Erkundung und Entdeckung
Octo Tempest führt Erkundungs- und Informationsbeschaffungsmaßnahmen durch, um sich erweiterten Zugriff zu verschaffen. Der Akteur wird zunächst einen Massenexport von Benutzern, Gruppen und Geräteinformationen durchführen, bevor er die Daten und Ressourcen auflistet, die diesem Benutzerprofil zur Verfügung stehen.
Der Mitarbeiter führt regelmäßig Suchvorgänge durch, um Dokumente zu den Themen Netzwerkarchitektur, Einarbeitung, Fernzugriffsmethoden, Passwortrichtlinien und Anmeldedaten-Speicher zu identifizieren. Anschließend werden sie sich mit Multi-Cloud-Umgebungen, der Erfassung von Datenbanken und Speichercontainern befassen.
Erweiterung von Berechtigungen und Zugriff auf Anmeldedaten
Octo Tempest erweitert die Zugriffsrechte, indem es einen SIM-Wechsel initiiert oder eine Anrufweiterleitung für die Telefonnummer eines Mitarbeiters einrichtet, sodass dieser eine Passwortzurücksetzung seines Kontos im Selbstbedienungsverfahren vornehmen kann. Es wurde zudem beobachtet, dass sie direkt den Helpdesk eines Unternehmens anriefen und mithilfe von Social Engineering den Helpdesk dazu veranlassten, ein Administratorpasswort zurückzusetzen oder ein MFA-Token zu ändern bzw. hinzuzufügen.
Diese Taktiken zur Ausweitung von Berechtigungen basieren darauf, Vertrauen aufzubauen. In einigen Fällen nutzt der Angreifer das kompromittierte Konto eines Managers, um Anträge auf Passwortzurücksetzung zu genehmigen. Sie nutzen Open-Source-Tools, um die Identifizierung von Schlüsseln, geheimen Werten und Anmeldedaten im Klartext in verschiedenen Code-Repositories für die spätere Verwendung zu automatisieren.
Vermeidung von Verteidigungsaktionen
Der Angreifer wird die Konten von Sicherheitsmitarbeitern kompromittieren, um Sicherheitsprodukte und -funktionen zu deaktivieren, und so versuchen, einer Entdeckung zu entgehen. Diese kompromittierten Konten nutzen anschließend EDR- und Gerätemanagement-Technologien, um bösartige Tools einzusetzen, RMM-Software zu installieren, Änderungen an Sicherheitsprodukten vorzunehmen, sensible Dateien zu stehlen und Schadcode zu verbreiten. Um noch einen Schritt weiter zu gehen, wird Octo Tempest die E-Mail-Regeln der betroffenen Sicherheitsmitarbeiter so anpassen, dass E-Mails von Anbietern, die Verdacht erregen könnten, automatisch gelöscht werden.
Beharrlichkeit
Bei Octo-Tempest-Angriffen werden öffentlich zugängliche Tools verwendet, um eine dauerhafte Präsenz aufzubauen. Beispielsweise nutzen sie manchmal Tools wie AADInternals, um bestehende Domänen zu verknüpfen, oder sie täuschen legitime Domänen vor und fügen die neue Domäne hinzu bzw. verknüpfen sie. Der Mitarbeiter wird mehrere RMM-Tools installieren und Änderungen am Netzwerk vornehmen, um den Zugriff zu ermöglichen. Bei vielen Octo-Tempest-Angriffen auf Windows- und Linux-Endgeräte lässt sich die Nutzung von Reverse-Shells beobachten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Octo Tempest ist ein raffinierter Akteur, der sich innerhalb kurzer Zeit ein recht umfangreiches Arsenal an TTPs aufgebaut hat. Die breit angelegte Ausrichtung auf zahlreiche Branchen wirkt zwar eher opportunistisch, ist aber dennoch entschlossen. Der Angreifer nutzt eine breite Palette ausgefeilter Social-Engineering-Taktiken, um sich einen ersten Zugriff zu verschaffen, was ihn, wie Microsoft feststellt, zu „einer der gefährlichsten Finanzkriminellengruppen“ macht. Aufgrund ihrer komplexen Social-Engineering-Taktiken sowie ihrer Zugehörigkeit zu BlackCat ist Octo Tempest ein Akteur, den man genau im Auge behalten sollte.
Der ausführliche Bericht von Microsoft behandelt zahlreiche weitere TTPs von Octo Tempest und ist daher sehr lesenswert.
2. Im September kam es zu einem sprunghaften Anstieg der Ransomware-Aktivitäten
Die NCC Group hat ihren Informationsbericht „ September 2023“ veröffentlicht, in dem einige der neuesten Entwicklungen in der Bedrohungslandschaft von „ “ detailliert beschrieben werden: (öffnet in einem neuen Tab) – insbesondere im Bereich der Ransomware. Ihren Daten zufolge erreichte die Ransomware-Aktivität im September nach einer relativen Flaute im August den höchsten Stand seit 2023 .
Die NCC Group verfolgt Ransomware-Gruppen, die die Taktik der doppelten Erpressung anwenden, indem sie die von den einzelnen Gruppen genutzten Leak-Seiten überwacht und die Angaben zu den Opfern erfasst, sobald diese hinzugefügt werden. Den von ihnen erhobenen Daten zufolge gab es im September 2023 514 Angriffe, was einem Anstieg von 32 % gegenüber dem Vormonat entspricht.
Obwohl August 2023 einen Rückgang der Ransomware-Angriffe um 22 % verzeichnete, hat die Ransomware-Aktivität im September wieder das Niveau vom Juli erreicht. Nach Angaben der NCC Group und den von ihr erhobenen Daten handelt es sich hierbei um die höchste Zahl an Doppel-Erpressungsangriffen. Zudem war ein Anstieg um 153 % von September 2022 auf September 2023 zu verzeichnen, was einen deutlichen Anstieg im Vergleich zum Vorjahr verdeutlicht.
Die am stärksten von Ransomware betroffenen Branchen
Die Zielbranchen bei „ September 2023 “ wichen nicht von der Norm ab. Die NCC Group stellte fest, dass der Industriesektor mit 169 Angriffen – das entspricht 33 % der Gesamtzahl – am stärksten betroffen war. Dies entspricht jedoch lediglich einem Anstieg von 2 % gegenüber dem Vormonat. Auf den Technologiesektor entfielen im vergangenen Monat etwa 10 % der Ransomware-Angriffe, was einen leichten Anstieg gegenüber dem Vormonat darstellt.
Neue Akteure im Bereich der Ransomware
Im Monat September waren die 10 bedeutendsten Angreifer zusammen für 70 % aller Ransomware-Angriffe in diesem Monat verantwortlich. Wie in jedem anderen Monat tauchten auch im September mehrere neue Ransomware-Akteure auf.
Der Neuling LostTrust war für 10 % der Angriffe verantwortlich, während auf RansomedVC ein Anteil von 9 % entfiel. Die NCC Group verzeichnete zudem eine gewisse Zunahme der Aktivitäten seitens zweier weiterer, relativ neuer Gruppen – Cactus und Trigona. Bei Cactus wurden im September 51 Fälle verzeichnet, verglichen mit 13 im Juli.
Die am stärksten von Ransomware betroffenen Regionen
Die wichtigsten Zielregionen blieben im September unverändert, wobei Nordamerika, Europa und Asien die größte Aktivität verzeichneten. Nordamerika führte die Liste an und verzeichnete 50 % der Angriffe, was einem Anstieg von 3 % gegenüber dem Vormonat entspricht.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist interessant festzustellen, dass bei Cl0p im September praktisch keine Aktivität zu verzeichnen war und auch insgesamt seit den MOVEit-Angriffen nur wenig Aktivität zu beobachten war. Für diese Ransomware-Operation ist das ein recht zurückhaltendes Auftreten.
Die NCC Group hält dies für ein charakteristisches Merkmal von Cl0p. Aus diesem Grund rechnet die NCC Group damit, dass eine gezieltere Kampagne unmittelbar bevorsteht. Nur die Zeit wird zeigen, ob „ Cl0p “ beschließt, auf die Ransomware-Szene zurückzukehren oder nicht; angesichts ihres nachweislichen Erfolgs und ihrer Erfolgsbilanz wäre dies jedoch nicht überraschend.
3. Quasar RAT entgeht der Erkennung durch das Sideloading von DLLs
Die Open-Source- -Quasar-RAT (wird in einem neuen Tab geöffnet) wurde kürzlich dabei beobachtet, wie sie mithilfe von DLL-Sideloading Daten von kompromittierten Windows-Hosts stahl. Es nutzt zwei allgemein als vertrauenswürdig geltende Microsoft-Dateien – ctfmon.exe und calc.exe –, um ein doppeltes DLL-Sideloading durchzuführen und auf heimliche Weise schädliche Payloads einzuschleusen, zu installieren und auszuführen.
Ausführung des Sideloadings von Quasar RAT
Uptycs bietet eine Schritt-für-Schritt-Anleitung zur Sideloading-Technik der Quasar-RAT-DLL von „ “. (wird in einem neuen Tab geöffnet)
- Der Angriff beginnt damit, dass der Angreifer die Datei „ctfmon.exe“ – eine authentische Microsoft-Datei – dazu nutzt, eine schädliche DLL zu laden. Der Angreifer führt anschließend die Binärdatei „ctfmon.exe“ aus und ruft eine Stage-1-Nutzlast ab, die dafür zuständig ist, die legitime Datei „calc.exe“ und die schädliche DLL im System zu platzieren.
- In der zweiten Phase des Angriffs führt der Angreifer die Datei „calc.exe“ aus, wodurch die schädliche DLL ausgelöst wird. Zu diesem Zeitpunkt befindet sich die Quasar-RAT im Arbeitsspeicher des Computers. Die Nutzlast nutzt die „Process Hollowing“-Technik, um sich in einen legitimen Systemprozess einzubetten, wodurch die Erkennung erschwert wird.
Technische Analyse
Uptycs hat mehrere Dateien aus dem Ausführungsablauf von Quasar RAT zur Analyse erhalten.
Wenn die Binärdatei „ebill-997358806.exe“ ausgeführt wird, löst sie das Laden einer Datei namens „MsCtfMonitor.dll“ aus, die Schadcode verbirgt. In dieser Datei befindet sich ein Ressourcenabschnitt, der verschlüsselte Daten enthält, auf die über eine Abfolge von APIs zugegriffen wird. Nach der Entschlüsselung liegen diese Daten in entschlüsselter Form vor und ergeben eine PE-Datei, bei der es sich um die erste Stufe, „FileDownloader.exe“, handelt. Die PE-Datei wird anschließend über eine API-Sequenz in „Regasm.exe“ eingeschleust.
- Stufe 1 – FileDownloader.exe: Diese Nutzlast der Stufe 1 ist eine 64-Bit-MSIL-Binärdatei und enthält einen Ressourcenbereich mit drei Binärdateien in einem Archiv. Diese Nutzlast kann dieses Archiv entpacken und die Dateien im Ordner „Public Pictures“ ablegen. In diesem Ordner befinden sich drei Dateien: „Calc.exe“ (eine legitime Windows-Datei), „ Secure32.dll“ (eine schädliche DLL) und „ Winsecu32.dll“ (eine weitere legitime Windows-Datei).
- Schritt 2 – calc.exe: Anschließend wird calc.exe ausgeführt und lädt eine schädliche DLL mit dem Namen Secure32.dll. Diese DLL enthält einen verschlüsselten Ressourcenbereich. Der Zugriff auf die Ressourcendaten erfolgt wiederum über eine Abfolge von APIs, woraufhin diese entschlüsselt werden, wodurch eine PE-Datei entsteht. Diese PE-Datei wird mittels „Process Hollowing“ in den Speicherbereich von „Regasm.exe“ eingeschleust.
- Endgültige Nutzlast: Die PE-Datei ist eine MSIL-ausführbare Datei, die mit Smart Assembly verschleiert wurde. Sie scheint von der Open-Source-RAT „Quasar“ inspiriert zu sein, da sie mit dem Vermerk „Copyright © MaxXor 2020“ versehen ist. Die Entschleierung ergab, dass in den Funktionsnamen Befehle ausgeführt wurden, darunter Keylogging, Dateiübertragung, Shell-Ausführung und weitere. Außerdem wird ein .bat-Skript abgelegt, um die Batch-Datei für den Neustart zu erstellen. Der RAT baut eine Socket-Verbindung zu seinem Port C2 auf, an den er die Daten des Opfers übermittelt.
Das RAT fragt die WMI-Klassen „AntiVirusProduct“ und „Firewall“ ab und ermittelt zudem Informationen zur BIOS-Infrastruktur, zu den GPU-Daten, zum Hostnamen und zu weiteren Aspekten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Quasar RAT scheint auf den Zug des DLL-Sideloadings aufzuspringen, der in den letzten Monaten zunehmend an Beliebtheit gewonnen hat.
Der hinter dieser Aktivität stehende Angreifer ist derzeit unbekannt und wird wahrscheinlich auch unbekannt bleiben, da Quasar RAT als Open-Source-Software verfügbar ist, was es auch weniger versierten Akteuren ermöglicht, Angriffe durchzuführen.
Den Forschern gelang es nicht, den ursprünglichen Zugangsweg für diesen Angriff zu bestätigen. Da der Ausführungsablauf jedoch mit einer ISO-Datei beginnt, ist es sehr wahrscheinlich, dass der Ursprung in einer Phishing-E-Mail liegt.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
