In der Zusammenfassung dieser Woche untersucht CTI die beiden neuesten Sicherheitslücken im Katalog „Known Exploited Vulnerabilities“ der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA). Als Nächstes gibt CTI einen Überblick über den Angreifer UAC-0050, der derzeit die RAT „Remcos“ mithilfe von Phishing-Taktiken vom Typ „ “ verbreitet:. Abschließend befasst sich CTI mit der neuesten Version des Passwort-Stealers „Meduza“, der derzeit im Dark Web im Umlauf ist.
1. Die CISA nimmt zwei Sicherheitslücken in den Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) auf
Zu den jüngsten Ergänzungen der CISA im Katalog „Known Exploited Vulnerabilities“ ( – KEV) (wird in einem neuen Tab geöffnet) gehören eine behobene Sicherheitslücke in Google Chrome sowie ein Fehler, der „Spreadsheet::ParseExcel“ betrifft, eine Open-Source-Perl-Bibliothek.
Die Behörde hat den 23. Januar 2024 als Frist festgelegt, bis zu der die Bundesbehörden die beiden Probleme beheben oder die Nutzung der anfälligen Produkte einstellen müssen.
Fehler I: CVE-2023-7024
Der erste Fehler ist „ “ CVE-2023-7024 (wird in einem neuen Tab geöffnet). Dabei handelt es sich um einen Heap-Pufferüberlauf in WebRTC für Google Chrome vor Version 120,0,6099,129. Diese Sicherheitslücke könnte es einem Angreifer ermöglichen, über eine speziell gestaltete HTML-Seite eine Heap-Beschädigung auszunutzen. In der National Vulnerability Database weist sie eine hohe Basisbewertung von 8,8 auf.
- Googles „ “ Threat Analysis Group (wird in einem neuen Tab geöffnet) hat erstmals über die Sicherheitslücke unter 19. Dezember 2023 berichtet. Den Forschern zufolge wurde die Sicherheitslücke bereits in der Praxis ausgenutzt, bevor entsprechende Patches zur Verfügung gestellt wurden.
- Google hat inzwischen ein Sicherheitsupdate veröffentlicht, das einen potenziellen Heap-Pufferüberlauf in WebRTC behebt. Einen Tag nach der Meldung an Google wurden den Windows-Nutzern (120,0,6099,129/130) sowie den Mac- und Linux-Nutzern (120,0,6099,129) gepatchte Versionen zur Verfügung gestellt.
- Diese Sicherheitslücke war die achte Zero-Day-Sicherheitslücke für Chromium-basierte Webbrowser im Jahr 2023. Google hat bislang keine Einzelheiten zu konkreten Angriffen bekannt gegeben, bei denen die Sicherheitslücke ausgenutzt wurde, und darauf hingewiesen, dass die Angaben zu dem Fehler möglicherweise zurückgehalten werden, bis mehr Nutzer durch Patches vor dieser Schwachstelle geschützt sind.
Fehler II: CVE-2023-7101
Die zweite Sicherheitslücke, CVE-2023-7101 (wird in einem neuen Tab geöffnet), wurde in der Version .65 von „Spreadsheet::ParseExcel“ entdeckt, einem Perl-Modul zum Parsen von Excel-Dateien.
- Es wurde festgestellt, dass „Spreadsheet::ParseExcel“ durch eine Sicherheitslücke gefährdet ist, die die Ausführung von beliebigem Code ermöglicht, da nicht validierte Eingaben aus einer Datei an eine „eval“-Funktion vom Typ „String“ übergeben wurden. Das Problem ging auf die Auswertung von Zahlenformatzeichenfolgen innerhalb der Excel-Parsing-Logik zurück.
- Dieser Fehler steht noch zur Analyse an und verfügt noch nicht über eine Schwachstellenbewertung.
- Barracuda hat auf 24. Dezember 2023 eine leicht abweichende Sicherheitslücke offengelegt, die unter der Nummer CVE-2023-7102 erfasst wurde. Dieser Zero-Day-Angriff war auf eine Schwachstelle in der Drittanbieter-Bibliothek „Spreadsheet::ParseExcel“ zurückzuführen, die vom Amavis-Virenscanner verwendet wird, der auf Barracuda-ESG-Geräten läuft.
- Diese Sicherheitslücke könnte ausgenutzt werden, um über eine Parameterinjektion beliebigen Code auf nicht gepatchten ESG-Geräten auszuführen. Das Unternehmen reichte daraufhin den Bericht CVE-2023-7101 ein, um den Fehler in der Open-Source-Bibliothek separat zu verfolgen.
- Barracuda hat die Ausnutzung der Schwachstellen CVE-2023-7102 bis UNC4841 in Zusammenhang gebracht, die zuvor bereits mit der Ausnutzung anderer Zero-Day-Schwachstellen von Barracuda in Verbindung gebracht worden waren. Im Anschluss an die Ausnutzungsaktivitäten setzte der Akteur neue Varianten bekannter Implantate namens SEASPY und SALTWATER ein – beide sind darauf ausgelegt, im System zu verbleiben und Befehle auszuführen.
- Mandiant hat Aktivitäten im Zusammenhang mit der Ausnutzung dieser „Spreadsheet::ParseExcel“-Sicherheitslücken untersucht und festgestellt, dass seit dem Oktober 2022 schätzungsweise öffentliche und private Organisationen in 16 Ländern davon betroffen waren.
- Google Cloud hat festgestellt, dass bereits im 30. November 2023 Angriffe auf CVE-2023-7102 Ziele beobachtet wurden, darunter Hightech-Unternehmen, IT-Anbieter und staatliche Stellen, vor allem in den USA und im asiatisch-pazifischen Raum.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Auch wenn die Ankündigung der CISA wichtig und wertvoll ist, sollten Sie sich bewusst sein, dass Sie nicht unbedingt abwarten sollten, bis Schwachstellen in die KEV aufgenommen werden, um zu entscheiden, ob Sie einen Patch installieren sollten oder nicht.
Wie der Name „KEVs“ bereits andeutet, ist bekannt, dass diese Sicherheitslücken in der Praxis ausgenutzt wurden. Wenn Sie warten, könnte es bereits zu spät sein. Nur weil eine Sicherheitslücke nicht auf der Liste der CISA aufgeführt ist, bedeutet dies nicht, dass sie nicht ausgenutzt wird.
Ungeachtet dessen sollten diese neu entdeckten Sicherheitslücken auf jeden Fall behoben werden, sofern dies nicht bereits geschehen ist.
2. UAC-0050 verbreitet Remcos RAT mithilfe neuer Phishing-Taktiken
Ein Angreifer, der unter den Bezeichnungen „ “, „UAC-0050“, „ “ (öffnet in einem neuen Tab), „“ und „ “ erfasst wurde, führt derzeit aktiv Phishing-Angriffe durch, um die RAT „Remcos“ zu verbreiten. Der Akteur hat auf neue Strategien umgestellt, um einer Entdeckung zu entgehen, darunter die Einbindung einer Pipe-Methode zur prozessübergreifenden Kommunikation, um einen verdeckten Kanal für die Datenübertragung zu schaffen.
Hintergrundinformationen zu UAC-0050
von Uptycs erhielt eine Warnmeldung (wird in einem neuen Tab geöffnet) bezüglich einer verdächtigen LNK-Datei auf 21. Dezember 2023, was zu einer eingehenderen Untersuchung führte. Ihre Analyse ergab, dass UAC-0050 im Rahmen einer gezielten Operation gegen ukrainische Regierungsstellen die RAT „Remcos“ einsetzte.
Es wird vermutet, dass der erste Zugriff über Phishing- oder Spam-E-Mails erfolgt, die als Stellenangebote getarnt sind und sich an ukrainisches Militärpersonal richten. Die LNK-Datei dient dazu, den Download einer HTA-Datei zu initiieren, die ein VBS-Skript enthält. Dieses Skript löst ein PowerShell-Skript aus, das wiederum eine schädliche Nutzlast herunterlädt. Die Ausführung der Nutzlast führt letztendlich dazu, dass „explorer.exe“ gestartet wird, wobei sich Remcos RAT im Speicher von „explorer.exe“ befindet.
Technische Details
Wie bereits erwähnt, beginnt die Angriffskette mit einer LNK-Datei. Die Datei, die bei diesem Angriff zum Einsatz kam, sammelte Informationen darüber, welche Antivirensoftware auf dem Zielgerät installiert ist. Die Datei enthält zudem eine verschleierte URL-Zeichenkette, die über MSHTA ausgeführt wird.
Uptycs gelang es, die Datei „ “6.hta“ zur weiteren Analyse zu sichern, was zur Entdeckung des darin enthaltenen VBS-Skripts führte. Das PowerShell-Skript, das über das VBS-Skript ausgeführt wird, umfasst verschiedene Aufgaben, wie beispielsweise die Initialisierung einer Zeichenkette, die Erstellung von Entschlüsselungsobjekten, die Erstellung von Speicherströmen und vieles mehr.
Der daraus resultierende entschlüsselte Prozess führte zu einem weiteren PowerShell-Skript, das Dateipfade im Verzeichnis „AppData“ erstellte, das Vorhandensein bestimmter Dateien überprüfte und die Funktion „DcO“ aufrief, um verschiedene Aktionen auszuführen.
Uptycs gelang es, alle PowerShell-Aktivitäten zu erfassen, die bösartig erschienen, und stellte schließlich fest, dass die Payloads (word_update.exe und ofer.docx) von der Domain new-tech-savvy[.]com heruntergeladen wurden.
Informationen zur Nutzlast
Durch das Ausführen der Schadsoftware „word_update.exe“ stellten die Forscher fest, dass diese eine Kopie von sich selbst in einem neu erstellten Ordner erstellt und dabei den Namen der Datei ändert.
Die Malware sorgt anschließend für ihre Persistenz, indem sie durch die Erstellung einer LNK-Datei einen Eintrag im Autostart-Ordner anlegt und so erzwingt, dass die kopierte schädliche Datei beim Systemstart ausgeführt wird. Diese Datei enthielt ungewöhnliche Ressourcendaten, die in den Arbeitsspeicher übertragen und entschlüsselt wurden.
Die Malware rief daraufhin die API-Funktion „WriteFile“ auf und nutzte Pipes, um verschiedene Sicherheitslösungen zu umgehen. Der Prozess nutzt einen Handle, der auf eine unbenannte Pipe verweist, und nach Abschluss des Vorgangs werden die Daten von „word_update.exe“ an „cmd.exe“ übertragen. Die im Speicher befindlichen Daten wurden zur Laufzeit entschlüsselt, bevor die Remcos-RAT ausgeführt wurde.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Verwendung einer Pipe-Methode zum Aufbau eines verdeckten Kanals zur Datenübertragung ist zwar keine völlig neue Technik, scheint jedoch für diesen Angreifer neu zu sein – was auf eine Veränderung seiner TTPs hindeutet und möglicherweise auf ein zunehmendes Maß an Raffinesse hindeutet.
Interessant ist dabei der Einsatz von Remcos RAT. Der Angreifer scheint diese RAT zunehmend zu verbreiten und wurde im vergangenen Jahr sogar in einer Warnung von CERT-UA namentlich genannt. Auch wenn der Angriff derzeit eher gezielt zu sein scheint, kommen dabei doch gängige TTPs zum Einsatz, weshalb es sich dennoch lohnt, ihn im Auge zu behalten.
3. Eine neue Version des „Meduza Stealer“ taucht im Dark Web auf
Resecurity hat kürzlich festgestellt, dass der Autor des Passwort-Stealers „ “ namens „Meduza“ (öffnet in einem neuen Tab) eine neue Version, nämlich Version 2,2, im Dark Web veröffentlicht hat. Die Veröffentlichung wurde im Dark Web unter 24. Dezember 2023 angekündigt.
Die neueste Version erscheint nur wenige Monate nach der ersten Veröffentlichung des Stealers im Juni und stößt bereits auf großes Interesse. Zu den wichtigsten Neuerungen in Version 2,2 zählen die Unterstützung weiterer Software-Clients, ein verbesserter Kreditkarten-Grabber sowie die Einführung fortschrittlicher Mechanismen zur Sicherung von Passwortspeichern auf verschiedenen Plattformen, um Anmeldedaten und Tokens zu extrahieren.
Was ist Meduza Stealer?
Meduza tauchte ursprünglich im XSS-Underground-Forum auf. Später erhielt es positive Rückmeldungen in anderen Communities, wie beispielsweise Exploit.
Der Stealer unterstützt derzeit Windows Server 2012, 2016, 2019, 2022 und Windows 11.10.. Meduza ist in der Lage, Daten aus einer Vielzahl von Softwareprogrammen und Anwendungen zu stehlen, darunter über 100 Browser, mehr als 100 Kryptowährungs-Wallets, den Messenger-Dienst Telegram, Steam, Discord, 27 Passwortmanager, Outlook, Google-Token und vieles mehr.
Die neuesten Updates zu Meduza Stealer
Der Autor von Meduza führt derzeit mehrere Verbesserungen für Version 2024 durch. Eine wesentliche Verbesserung ist die Optimierung und Neuprogrammierung des Passwort-Grabbers von STL auf WinAPI. Damit gehen zahlreiche Verbesserungen an der „ C2 “-Kommunikation des Stealers einher.
Version 2024 wird zudem verbesserte Verschlüsselungsroutinen und Maßnahmen zur Umgehung von Antivirenprogrammen bieten, wobei der Autor gegen eine zusätzliche Gebühr eine erweiterte Verschleierung des Stealers mit besserer Abdeckung gegen Antiviren-Erkennung bereitstellen kann. Meduza unterstützt nun auch neue browserbasierte Kryptowährungs-Wallets.
Der Autor hinter Meduza ist eine Partnerschaft mit einem renommierten Untergrund-Verschlüsselungsdienst namens „TrueCrypt Service“ eingegangen. Zahlreiche Malware- und Ransomware-Betreiber nutzen diesen Dienst, um ihre Schadcodes zu verschleiern und Antivirenlösungen zu umgehen. Resecurity stellte fest, dass die jüngste Verschlüsselungsmaßnahme bis zu einem gewissen Grad erfolgreich war, da sie zum Zeitpunkt der Entdeckung auf VirusTotal nur von einem einzigen Anbieter erkannt wurde.
Wie viel kostet Meduza Stealer?
Meduza Stealer 2,2 kostet 199 US-Dollar pro Monat; eine lebenslange Mitgliedschaft kostet 1199 US-Dollar.
Das Team bietet zudem Verschlüsselungsdienste mit öffentlichen und privaten Stubs an und stellt Server für das Hosting von C2 -Panels zur Verfügung – gegen Entgelt. Sobald ein Angreifer eine Zahlung für Meduza geleistet hat, lädt der Autor den Angreifer in einen privaten Telegram-Kanal ein, wo er das neue Tool erhält. Laut Resecurity ist die neueste Version, die im privaten Telegram-Kanal verfügbar ist, „Meduza 2,2,7“, was auf weitere Verbesserungen der Schadsoftware hindeutet.
Um Meduza zu installieren, muss der Angreifer zunächst die freigegebene Datei „MedusaServer.exe“ starten, Python Version 3,10,2 installieren, die Microsoft Visual Studio Redistributable installieren und mehrere Befehle in der Konsole ausführen. Die neueste Meduza-Variante unterstützt die Kommunikation über den Messenger-Dienst Telegram, um Protokolle vom infizierten Opfer zu übermitteln.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Entwickler von Meduza arbeitet intensiv daran, die Malware kontinuierlich zu verbessern und sie für Angreifer attraktiver zu gestalten. Version 2,2 wurde auf 24. Dezember veröffentlicht, und es ist nun bereits Version 2,2,7 verfügbar. Dies zeigt, wie schnell sich der Stealer weiterentwickelt.
Angesichts der anhaltenden Unterstützung und des Wachstums von Meduza geht Resecurity davon aus, dass Meduza allmählich zu einer Konkurrenz für Azorult und Redline Stealer wird. Nur die Zeit wird zeigen, wie erfolgreich der „Meduza Stealer“ letztendlich sein wird.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
