In der Zusammenfassung dieser Woche informiert CTI über den aktuellen Stand zum „Raspberry Robin“-Wurm, der sich weiterhin weiterentwickelt und Sicherheitslücken ausnutzt. Als Nächstes untersucht CTI einen finanziell motivierten Angreifer mit der Kennung „ UNC4990 “, bei dem in verschiedenen Kampagnen festgestellt wurde, dass er USB-Geräte für den Erstzugang nutzt. Abschließend befasst sich CTI mit Palo Altos jüngstem Rückblick zum Thema Ransomware für 2023.
1. Die Malware „Raspberry Robin“ nutzt Sicherheitslücken aus
Check Point Research hat beobachtet, dass der „ “-Raspberry-Robin-Wurm (öffnet in einem neuen Tab) zwei neue „1-Day“-Exploits zur lokalen Privilegienerweiterung ausnutzt, noch bevor diese öffentlich bekannt wurden.
Neben der Ausnutzung von Sicherheitslücken hat Raspberry Robin zudem viele seiner TTPs geändert, um nicht durch Verhaltenssignaturen erkannt zu werden, die auf seiner früheren Version basieren.
Was ist Raspberry Robin?
- Raspberry Robin (wird in einem neuen Tab geöffnet) ist ein Wurm, der in der Regel über USB-Sticks verbreitet wird. Die Malware nutzt die Datei „msiexec.exe“, um eine Verbindung zu ihrer Infrastruktur herzustellen und eine schädliche DLL herunterzuladen.
- Raspberry Robin wurde erstmals im Jahr 2021 entdeckt, und seine TTPs haben sich seitdem kontinuierlich weiterentwickelt. Es fungiert als IAB (Initial Access Broker) für andere Malware-Familien innerhalb des gesamten Ökosystems. Aus diesem Grund wurden zahlreiche verschiedene Hackergruppen mit „Raspberry Robin“ in Verbindung gebracht.
- Check Point Research beobachtet seit Oktober eine Vielzahl von „Raspberry Robin“-Angriffen auf seine Kunden. Die wichtigste Beobachtung ist, dass die Malware weiterhin verschiedene Exploits für Sicherheitslücken nutzt, entweder bereits vor deren öffentlicher Bekanntgabe oder kurz danach.
- Bei früheren „Raspberry Robin“-Angriffen nutzte die Malware verschiedene Vektoren für den Erstzugang, wobei der häufigste ein als USB-Stick oder Netzwerkfreigabe getarnter LNK-Link war.
Wie „Raspberry Robin“ Sicherheitslücken ausnutzt
Raspberry Robin verfügt über zahlreiche Möglichkeiten zur Ausweitung von Berechtigungen, darunter auch die Nutzung von Exploits zur lokalen Ausweitung von Berechtigungen im Kernel. Diese Exploits werden verschlüsselt gespeichert und nur dann genutzt, wenn das Gerät für diese Exploits anfällig ist. In neueren Exemplaren schleust die Malware die Kernel-Exploits in die Datei „cleanmgr.exe“ ein und fügt einen eindeutigen Loader ein, der im Speicher verbleibt und eine externe PE-Datei lädt, bei der es sich tatsächlich um den Exploit handelt.
Die Malware nutzte kürzlich die Schwachstelle „ CVE-2023-36802 “ aus, bei der es sich um eine Sicherheitslücke im Microsoft Streaming Service Proxy handelt, die eine Erweiterung der Berechtigungen auf das SYSTEM-Niveau ermöglicht. Es wurde festgestellt, dass der Exploit für diese Sicherheitslücke in Dark-Web-Foren unter Februar 2023 zum Verkauf angeboten wurde; er wurde jedoch erst am September 2023 öffentlich bekannt gegeben und behoben. Nur wenige Wochen später begann Raspberry Robin, die Sicherheitslücke bei seinen Angriffen auszunutzen.
Neueste Aktualisierungen für Raspberry Robin
Der allgemeine Ablauf von „Raspberry Robin“ ist weitgehend unverändert geblieben. Mehrere Phasen der Malware werden in einem benutzerdefinierten Format im Speicher abgelegt, und der Code ist in allen Phasen, einschließlich der Nutzlast selbst, stark verschleiert. Die Malware verfügt nun über einige neue Anti-Analyse-Methoden, mit denen in verschiedenen Phasen ermittelt wird, ob sie in die Hauptphase übergehen soll oder nicht.
Die Malware verfügt zudem über einige neue Funktionen zur Umgehung von Sicherheitsmaßnahmen:
- Die erste Technik ist eine Methode zur Umgehung des Herunterfahrens, die sicherstellt, dass die Malware bei einem Systemherunterfahren nicht gestoppt wird.
- Als Nächstes folgt eine Überprüfung des Remote-Desktops, bei der lediglich geprüft wird, ob sich das Opfer auf einem Remote-Desktop befindet oder nicht.
- Der letzte Punkt betrifft die Möglichkeit, den Betrieb im Falle eines UWF-Filtertreibers zu unterbrechen.
Die Malware hat ihre Logik für die laterale Bewegung nur geringfügig geändert und nutzt nun PAExec.exe anstelle von PsExec.exe.
Schließlich hat sich die Art und Weise, wie Raspberry Robin kommuniziert, geändert. Das Programm wird nun damit beginnen, legitime Tor-Domains anzufragen und zu prüfen, ob eine Antwort eingeht oder nicht. Erhält es keine Antwort, wird es nicht versuchen, mit den eigentlichen C2 -Servern zu kommunizieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wir haben erstmals über „Raspberry Robin“ in „ Januar 2023“ berichtet. Seitdem stellt sie im Laufe des letzten Jahres eine erhebliche Bedrohung dar, was zum Teil auf ihre Fähigkeit zurückzuführen ist, sich weiterzuentwickeln und ihre TTPs rasch anzupassen.
Raspberry Robin hat sich rasch auf verschiedene Exploits umgestellt und diese genutzt, insbesondere solche, die entweder noch nicht öffentlich bekannt gegeben wurden oder erst kürzlich bekannt wurden.
Es ist nach wie vor umstritten, wie sie immer wieder an diese Sicherheitslücken gelangen können. Möglicherweise haben sie die Exploits selbst entwickelt oder verfügen einfach über Verbindungen zu denjenigen, die diese Exploits entwickeln. So oder so hat Raspberry Robin seine Anpassungsfähigkeit immer wieder unter Beweis gestellt.
2. Hacker nutzen Nachrichten- und Medien-Hosting-Websites, um USB-Malware zu verbreiten
Ein finanziell motivierter Angreifer, der unter den Bezeichnungen „ “, „UNC4990“, „ “ (wird in einem neuen Tab geöffnet), „“ und „ “ erfasst wurde, wurde in Kampagnen beobachtet, bei denen USB-Geräte für den Erstzugang genutzt wurden.
Der Angreifer missbraucht legitime Plattformen wie GitHub, Vimeo und Ars Technica, um verschlüsselte Payloads zu hosten, die in harmlose Inhalte eingebettet sind. Der Angreifer versteckt seine Schadcodes zudem in aller Öffentlichkeit, indem er sie in den Nutzerprofilen von Foren auf Technik-Nachrichten-Websites oder in Videobeschreibungen auf Medien-Hosting-Plattformen platziert.
Was ist UNC4990?
UNC4990 (wird in einem neuen Tab geöffnet) wurde von Mandiant als Akteur identifiziert, der für den Erstzugang in erster Linie USB-Geräte nutzt.
Der Angreifer hat kürzlich eine Kampagne gestartet, von der angenommen wird, dass sie bereits seit mindestens 2020 läuft. Der Angreifer nutzt nicht nur USB-Geräte für den ersten Zugriff, sondern entwickelt seine TTPs auch kontinuierlich weiter und geht mittlerweile dazu über, Payloads auf beliebten und legitimen Plattformen zu hosten.
Erstzugang
Wie bereits erwähnt, nutzt dieser Angreifer zunächst USB-Geräte, um sich einen ersten Zugriff zu verschaffen. Mandiant stellte fest, dass die Infektion damit begann, dass ein Opfer auf eine schädliche LNK-Verknüpfungsdatei auf einem Wechseldatenträger (USB-Stick) doppelklickte.
Der Name dieser LNK-Datei war in der Regel der Name des Herstellers des Geräts, gefolgt von der Speichergröße in Klammern. Dieser Name wurde mit dem Standard-Symbol von Microsoft Windows kombiniert, um seriöser zu wirken. Wenn Sie auf die Datei klicken, wird das PowerShell-Skript „explorer.ps1“ gestartet.
Über das PowerShell-Skript
Forscher haben mehrere Varianten des PowerShell-Skripts „ “ identifiziert, das unter zu finden ist. Dieses Skript dient dazu, eine zusätzliche Nutzlast herunterzuladen und zu entschlüsseln, bei der es sich häufig um den „EMPTYSPACE“-Downloader handelte.
Bei einigen Varianten wurde das Skript über eine auf GitHub gehostete Zwischenversion aktualisiert. Aktuelle Varianten des PowerShell-Skripts wurden als umgekehrt Base64 -kodierte Zeichenfolge in den Arbeitsspeicher geladen.
Sobald der EMPTYSPACE-Downloader heruntergeladen wurde, prüft das PowerShell-Skript in einer Schleife, ob die Datei „python.exe“ vorhanden ist, und führt die neu heruntergeladene Malware jede Sekunde aus, sofern „python.exe“ nicht vorhanden ist.
UNC4990 Übergänge zu seriösen Plattformen
Der Angreifer wechselte irgendwann im Jahr 2023 von GitHub zu Vimeo, um dort seine Schadcode-Dateien zu hosten. Bei Vimeo ist die verschlüsselte Nutzlast in der Beschreibung eines Pink-Floyd-Videos enthalten, das im März 2023 auf Vimeo hochgeladen wurde. Das Skript ruft den Vimeo-JSON-Blob ab, der die Nutzdaten zwischen bestimmten Trennzeichen enthält. Diese Nutzlast wird anschließend entschlüsselt, bevor sie ausgeführt wird.
Im Fall „ November 2023“ änderte der Angreifer im Zusammenhang mit seiner „ C2“ erneut seine Vorgehensweise. Nachdem das Vimeo-Video offiziell entfernt worden war, nutzte der Angreifer fortan die als „Ars Technica“ bekannte Technologie-Nachrichtenseite.
Das Skript „explorer.ps1“ wurde aktualisiert und enthält nun eine fest programmierte URL zu einer Website von Ars Technica. Bei Ars Technica wurde dieselbe Technik wie bei Vimeo angewendet, wobei der wesentliche Unterschied darin bestand, dass der kodierte Blob stattdessen an die Bild-URL im Abschnitt „Über“ eines bestimmten Benutzerprofils angehängt wurde.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne ist ein weiteres Beispiel dafür, wie Angreifer nach neuen Methoden suchen, um einer Entdeckung zu entgehen und unbemerkt zu agieren.
Diese Kampagne nutzt gezielt seriöse Plattformen wie GitHub, Vimeo und Technologie-Nachrichtenseiten, deren Besuch bei einem Nutzer normalerweise keinen Verdacht wecken würde. Die Technik, Nutzdaten in legitime Websites und Inhalte einzubetten, kann es einem Angreifer ermöglichen, sich im legitimen Datenverkehr zu tarnen und so die Erkennung zu erschweren.
Da Mandiant die Entwicklung dieser Kampagne über mehrere Monate hinweg beobachtet hat, wäre es nicht überraschend, wenn dieser Angreifer seine TTPs in naher Zukunft weiter weiterentwickeln würde.
3. Palo Alto meldet einen Anstieg der Ransomware-Opfer um 49 %
Palo Alto hat seinen Rückblick auf die Ransomware „ “ veröffentlicht: (wird in einem neuen Tab geöffnet) für 2023. Die wichtigste Erkenntnis ist, dass die Zahl der Ransomware-Opfer im vergangenen Jahr um 49 % gestiegen ist, wie aus Berichten von Ransomware-Leak-Websites hervorgeht.
Kritische Sicherheitslücken
Palo Alto identifizierte 3 998 Beiträge auf Websites, auf denen Lösegelddaten veröffentlicht werden, im Vergleich zu nur 2 679 im Jahr 2022 (ein Anstieg um 49 %).
Sie führen diesen deutlichen Anstieg auf die zahlreichen Zero-Day-Exploits zurück, die im Laufe des Jahres aufgedeckt wurden. Zu den wichtigsten Beiträgen zählen unter anderem die GoAnywhere-Sicherheitslücke und die MOVEit-Sicherheitslücke.
Neue Akteure im Bereich Ransomware
Palo Alto hat 25 neue Leckstellen in 2023 Fällen ermittelt, darunter:
- 8Base
- Abgrund
- Akira
- BlackSuit
- Kaktus
- CiphBit
- Umhang
- CrossLock
- CryptNet
- Zyklop
- DarkRace
- Hunters International
- INC
- Ritter
- Verlorenes Vertrauen
- NoEscape
- Miau
- Finanznachricht
- RA-Gruppe
- Rancoz
- Rasomed.Vc
- Rhysida
- ThreeAM
- Trigona
- U-Bombe
Von diesen 25 Neuzugängen schienen mindestens fünf in der zweiten Hälfte des Jahres 2023 keine Beiträge verfasst zu haben, und etwa 12 von ihnen tauchten erst in der zweiten Jahreshälfte überhaupt auf. Diese neuen Ransomware-Varianten machten etwa 25 % der gesamten Ransomware-Beiträge aus 2023 aus.
Tätigkeit eingestellt
Mehrere Ransomware-Operationen haben ihre Aktivitäten offenbar irgendwann im Jahr 2023 eingestellt. Der Grund für die Einstellung der Aktivitäten lag mitunter in Razzien der Strafverfolgungsbehörden, der Beschlagnahmung von Infrastruktur sowie der Festnahme von Schlüsselpersonen.
Zu den Gruppen, die offenbar irgendwann im Laufe des Jahres 2023 ihre Aktivitäten eingestellt haben, gehören Hive, Ragnar Locker, Ransomed.Vc und Trigona.
Statistiken
- LockBit erwies sich im Jahr 2023 als die aktivste Gruppe und war für etwa 23 % aller Beiträge auf den Leak-Seiten verantwortlich.
- Auf LockBit folgten BlackCat mit 9,7 % und CL0P mit 9,1 %.
- Im Jahresdurchschnitt gab es etwa 77 Beiträge pro Woche, wobei der Juli aufgrund der MOVEit-Sicherheitslücke der Monat mit den meisten Beiträgen war.
- Die verarbeitende Industrie war im Jahr 2023 mit einem Anteil von 14 % an der Gesamtzahl der Beiträge der am stärksten betroffene Sektor. Darauf folgten der Dienstleistungs- und der Rechtssektor sowie anschließend der Technologiesektor.
- Die USA waren die am häufigsten angesprochene geografische Region und machten etwa 47 % der Beiträge aus.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Analyse von Palo Alto bietet viel Stoff zum Nachdenken. Das übergreifende Thema ist, dass Ransomware weiterhin auf dem Vormarsch ist – auch wenn Ransomware-Gruppen kommen und gehen.
Ein wichtiger Aspekt ihrer Untersuchung ist die Frage, inwieweit die Ransomware-Landschaft durch Zero-Day-Exploits und die gezielte Ausnutzung kritischer Sicherheitslücken beeinflusst wurde. Dieser Datenpunkt ist interessant, da die Auswirkungen einer Sicherheitslücke weit über bloße Ransomware-Angriffe hinausreichen; nun können wir jedoch nachvollziehen, wie stark sich diese auf einen bestimmten Aspekt der Cyberbedrohungslandschaft auswirkt.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „“.
