Ein neuer Bericht von Cisco Talos zeigt, dass Rohstoff-Malware Ransomware bei Cisco Talos Incident Response (CTIR)-Engagements zum ersten Mal seit mehr als einem Jahr übertraf. Der Bericht enthält auch die neuesten Taktiken, Techniken und Verfahren (TTPs), die von Cyberkriminellen eingesetzt werden. Als Nächstes stellen wir ein neues UEFI-Firmware-Rootkit namens „CosmicStrand“ vor, das aktiv von chinesischsprachigen Bedrohungsakteuren verwendet wird, um Einzelpersonen in verschiedenen Regionen anzusprechen. Schließlich zeigt die Intelligenz von Censys die Existenz einer russischen Ransomware-Befehls- und Kontrollinfrastruktur (C2), die scheinbar in mindestens einem US-basierten Netzwerk Fuß gefasst hat.
1. Cisco Talos Quartalsbericht: Trends bei der Reaktion auf Vorfälle im Jahr Q2 2022
Der neueste Bericht Incident Response Trends in Q2 2022 von Cisco Talos enthält eine Fülle wichtiger Erkenntnisse zur Cybersicherheit.
Hier sind einige der wichtigsten Erkenntnisse:
Rohstoff-Malware an erster Stelle
Die am häufigsten beobachtete Bedrohung in diesem Quartal ist Rohstoff-Malware oder Malware, die leicht zum Kauf verfügbar ist. Dies ist signifikant, wenn man den allgemeinen Rückgang der Angriffe berücksichtigt, die Rohstofftrojaner bei CTIR-Engagements nutzen, die sich auf 2020 erstrecken.
Talos zufolge fallen diese Entwicklungen mit dem Wiederaufleben verschiedener E-Mail-basierter Trojaner in den letzten Monaten zusammen, nachdem sie sowohl bei Strafverfolgungs- als auch Technologieunternehmen Unterbrechungen erlitten hatten.
Auch in diesem Quartal verzeichnete man eine Zunahme der Aktivitäten mit Info-Diebstahlern wie Redline und QBot. Diese Malware-Familien haben alle zu verschiedenen Zeitpunkten Vorläuferinfektionen für verschiedene Nutzlasten initiiert – hauptsächlich für Ransomware.
Der neue vierteljährliche Trendbericht von @TalosSecurity zeigt, dass Rohstoff-Malware, nicht Ransomware, die größte Bedrohung im Jahr Q2 war.https://t.co/HRH2UWJi9h
— Decipher (@DecipherSec) 26. Juli 2022
Im Vergleich zu vorherigen Quartalen war Ransomware an einem signifikant geringeren Prozentsatz von Engagements beteiligt, was 15 Prozent aller Bedrohungen ausmacht, die in diesem Quartal beobachtet wurden, im Vergleich zu 25 Prozent im letzten Quartal.
Top-Familien von Ransomware/Malware:
- Remcos RAT
- Vidar InfoStealer
- Redline InfoStealer
- QBot-Trojaner
- BlackCat (ALPHV) Ransomware
- Conti Ransomware
Top-gerichtete Vertikalen
- Telekommunikation: Diese Vertikale gehörte auch zu den am meisten anvisierten Sektoren in den Jahren Q4 2021 und Q1 2022.
- Gesundheitswesen/Medizin: Das Gesundheitswesen ist immer ein bevorzugtes Ziel für Erpresser, da Gesundheitsorganisationen die vorrangige Notwendigkeit haben, die Versorgung fortzusetzen und Ausfälle um jeden Preis zu vermeiden.
- Bildung: Schulen sind ein weiteres beliebtes Ziel für Cyberkriminelle, da Bildungseinrichtungen über wertvolle Ressourcen verfügen und erhebliche Lösegeldforderungen zahlen können.
- Andere im Bericht aufgeführte Risikovertikalen umfassen Finanzdienstleistungen, lokale Behörden, Lebensmitteldienstleistungen, Einzelhandel/Handel, Automobilindustrie, IT, Produktionsausrüstung und Fertigung.
Top-Bedrohungen insgesamt
- Rohstoff-Malware
- Ransomware
- Sonstiges
- Phishing -/Geschäfts-E-Mail-Kompromittierung (BEC)
- Fortgeschrittene persistente Bedrohung (APT)
- Exponierte/fehlkonfigurierte Anwendungen
Ehrwürdige Erwähnungen: Insider-Bedrohungen, Log4j, Pre-Ransomware und Wave Browser (PUP).
Obere initiale Infektionsvektoren
- Phishing
- Nutzen Sie öffentlich zugängliche Anwendungen
- Unbekannt
- Gültige Konten
Ehrenhafte Erwähnungen: Externe Remote-Dienste und Drive-by-Compromise.
Zusätzliche Erkenntnisse
Laut Talos bleibt ein Mangel an Multifaktor-Authentifizierung (MFA) eines der größten Hindernisse für die Unternehmenssicherheit – was darauf hindeutet, dass Unternehmen erweiterte Maßnahmen zum Schutz von Benutzerkonten ergreifen müssen.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Es gibt noch einige Fragen zu den oben dargestellten Daten. In erster Linie sind wir neugierig auf andere potenzielle Faktoren, die dazu beitragen, dass die Malware von Rohstoffen Ransomware zum ersten Mal seit Jahren übertrifft.
Zum Beispiel:
- Hatte der Anstieg der Erpressung ohne Verschlüsselung Bedrohungsakteure (wie LAPSUS$) Auswirkungen auf die niedrigeren Ransomware-Zahlen?
- Werden sich die verschiedenen neu aufgetretenen Malware-Schadensteile, die vor dem Hintergrund des Konflikts Russland/Ukraine entdeckt wurden, auf die Zahlen im nächsten Quartalsbericht von Talos auswirken?
- Was ist mit zerstörerischer Malware? Werden irgendwelche davon einen Auftritt erwecken?
- Was hat den Anstieg der Popularität von Info-Diebstahl-Malware ausgelöst?
- Haben Erstzugriffsmakler eine Rolle für den Erfolg gespielt, den diese Info-Diebstahl-Malware-Familien derzeit genießen?
Fragen abgesehen davon sind wir der Meinung, dass sich die Erkenntnisse, die durch einige der Daten in diesem Bericht bereitgestellt werden, für die Cyber Threat Intelligence Community als nützlich erweisen werden.“
2. Experten entdecken neues „CosmicStrand“ UEFI-Firmware-Rootkit, das von China-verknüpften Hackern verwendet wird
SecureList von Kaspersky hat kürzlich ein ausgeklügeltes neues UEFI-Firmware-Rootkit namens CosmicStrand entdeckt, das jetzt von einem unbekannten chinesischsprachigen Bedrohungsakteur verwendet wird.
Opfer sollen Privatpersonen in China, Vietnam, Iran und Russland sein. Derzeit gibt es keine Hinweise, die diese Opfer mit bestimmten Organisationen oder Branchenvertikalen verknüpfen.
Trotz der kürzlichen Entdeckung scheint das #CosmicStrand UEFI-Firmware-Rootkit schon lange eingesetzt worden zu sein. Dies deutet darauf hin, dass Bedrohungsakteure sehr erweiterte Fähigkeiten hatten, die sie seit 2017 unter dem Radar halten konnten ⇒ https://t.co/A6WDduvt0l pic.twitter.com/8N40FGJzBH
— Kaspersky (@kaspersky) 28. Juli 2022
Was ist das CosmicStrand UEFI Rootkit?
Wie SecureList erklärt, handelt es sich bei Rootkits um Malware-Implantate, die entwickelt wurden, um sich in die „tiefsten Ecken des Betriebssystems“ zu bohren. Rootkits werden aufgrund der komplexen technischen Herausforderungen, die sie darstellen, oft mit erstklassigen Cyber-Bedrohungsakteuren wie staatlich gesponserten APT-Gruppen in Verbindung gebracht.
Leider sind Cyberkriminelle und APTs zunehmend von Rootkits angezogen geworden, hauptsächlich weil diese Art von Malware sich in so niedrigen Ebenen innerhalb des Betriebssystems befindet, dass sie die Erkennung extrem schwierig macht. Firmware-Rootkits halten Geräte auch nach der Neuinstallation des Betriebssystems oder dem Austausch der Festplatte in einem kompromittierten Zustand.
CosmicStrand ist ein UEFI-Firmware-Rootkit, das eine kleine 96,84KB -Datei verwendet. Während der anfängliche Zugriffsvektor von CosmicStrand noch nicht bestimmt wurde, enthält die Aktivität nach dem Kompromittieren Änderungen am CSMCORE DXE-Treiber, dessen Eintrittspunkt gepatcht wurde, um zu dem im Abschnitt .reloc hinzugefügten Code umzuleiten. Dieser Code, der während des Systemstarts ausgeführt wird, löst eine lange Ausführungskette aus, die zum Download und zur Bereitstellung einer bösartigen Komponente innerhalb von Windows führt. Letztendlich ist das Ziel von CosmicStrand, jedes Mal, wenn es bootet, ein Implantat auf Kernelebene in einem Windows-System bereitzustellen, das von der infizierten UEFI-Komponente stammt.
SecureList ist der Ansicht, dass diese Änderungen möglicherweise die Arbeit eines automatisierten Patchers gewesen sein könnten. Wenn sich dies als richtig herausstellt, kann dies darauf hinweisen, dass die Angreifer vor dem Zugriff auf den Computer des Opfers Zugriff erhalten haben, um die Firmware des Motherboards zu extrahieren, zu ändern und zu überschreiben. Dies könnte über ein Vorläufer-Malware-Implantat erreicht werden, das bereits auf dem Computer bereitgestellt wurde – oder indem physischer Zugriff auf das Gerät erhalten wird.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Während das Aufkommen eines neuen Firmware-Rootkits für sich genommen bemerkenswert ist, ist seine vermutete Entwicklung durch, die Verwendung durch – und potenzielle Links zu – chinesischsprachigen Bedrohungsakteuren ebenfalls von Interesse.
Während es sicherlich noch viel über die Angriffskette von CosmicStrand und die Betreiber hinter seiner Bereitstellung zu lernen gibt, deutet die technologische Herausforderung, die Entwicklern gestellt wird, die versuchen, ein solches Stück Malware zu erstellen, darauf hin, dass die Autoren von CosmicStrand ziemlich ausgeklügelt sind und dass sie möglicherweise Zugang zu erheblichen Ressourcen haben. Dies würde mit historischen China-verknüpften Cyber-Aktivitäten übereinstimmen. Die Unfähigkeit, diese Aktivität definitiv mit einem bekannten Bedrohungsakteur/APT zu verknüpfen, kann auch darauf hindeuten, dass die Betreiber von CosmicStrand eine Prämie auf die Betriebssicherheit (OPSEC) legen, ein Attribut, das vielen der führenden staatlich vernetzten Hacker Chinas gemeinsam ist.
Ein weiterer potenzieller Beweis, der die Aktivität von CosmicStrand mit einer staatlich ausgerichteten Entität verknüpft, ist die Tatsache, dass bisher alle bekannten Angriffe auf Einzelpersonen abzielen. Während es noch keine gemeinsame Verbindung zwischen diesen Personen in Bezug auf Organisationen oder Branchen zu geben scheint, ist die chinesische Regierung bekannt, dass sie Personen von nationalem Interesse für die Überwachung und Informationssammlung anvisiert – manchmal sogar so weit, dass sie solche Bemühungen wie nicht zielgerichtete Aktivitäten verschleiert – wie Lieferkettenangriffe , die auf den ersten Blick Tausende betreffen, aber bei weiterer Inspektion sich herausstellen, dass sie nur dazu bestimmt sind, einige Hundert Personen von Interesse für die chinesische Regierung zu infizieren.
Auch dies ist zum Zeitpunkt der Meldung alles spekulativ. Die Zeit wird sagen, was das wahre Motiv ist.“
3. Das Forschungsunternehmen Censys findet ein Ransomware-Netzwerk mit Sitz in Russland mit Stand in den USA.
Forscher des Angriffsflächenmanagementunternehmens Censys behaupten, ein russisches Ransomware-Befehls - und Kontrollnetzwerk (C2) entdeckt zu haben, das sich in mindestens einem US-Netzwerk befindet.
Die Aktivität wurde erstmals von den Forschern von Censys beobachtet 24. Juni 2022, als sie während eines Scans von über 4,7 Millionen russischen Hosts zwei russische Hosts entdeckten, die das Metasploit-Ausnutzungstool zusammen mit dem Deimos C2 -Tool enthielten.
Es sollte erklärt werden, dass Censys die Scans durchgeführt hat, um die Top 1 000 Softwareprodukte aufzudecken, die derzeit unter über 4,7 Millionen Hosts beobachtet werden können, die in Russland von den Forschern des Unternehmens entdeckt wurden. Weitere historische Analysen ergaben, dass einer dieser Hosts zuvor das PoshC2 -Tool verwendet hatte. Diese Tools enthalten alle Funktionen, die es Penetrationstestern und Hackern ermöglichen, Remote-Zugriff auf Zielhosts zu erhalten und diese zu verwalten.
Forscher bei Censys nutzten Details aus dem PoshC2 -Zertifikat, um zusätzliche russische Hosts an verschiedenen globalen Standorten zu lokalisieren, darunter zwei zusätzliche Hosts, die das PoshC2 -Zertifikat verwenden, das sich innerhalb der USA befindet. Censys identifiziert diese Systeme als russische Hosts und gibt an, dass sie auch Malware-Pakete enthielten – einschließlich eines Ransomware-Kits – sowie eine Datei mit einem Link zu zwei russischen Bitcoin-Hosts.
Laut Censys fanden Forscher einen Host in Ohio, der auch das Deimos C2 -Tool enthielt, das dasselbe Tool ist, das auf dem ersten russischen Host entdeckt wurde. Weitere historische Analysen zeigen, dass der Host in Ohio auch über ein Malware-Paket verfügte, das mit der Ransomware übereinstimmte, die auf den russischen Hosts entdeckt wurde, die das oben erwähnte PoshC2 -Tool enthielten.
Hinweis des Redakteurs: Um Verwirrung zu vermeiden, verweisen wir auf die ursprünglich entdeckten russischen Hosts, die Metasploit und Deimos C2 als Hosts A und B besitzen, und die anschließend entdeckten Hosts, die Malware- und Ransomware-Kits als Hosts F und G besitzen (die Namenskonvention wird sinnvoller sein, wenn Sie sich den äußerst gründlichen technischen Bericht von Censys ansehen).
Nach weiteren Ausgrabungen entdeckte Matt Lembright, Direktor für Bundesanwendungen bei Censys und der für die anfängliche Scanaktivität verantwortliche Mann, zusammen mit seinem Team, dass die oben beschriebenen Hosts Verbindungen mit MedusaLocker-Ransomware sowie Karma-Ransomware aufwiesen.
Wie von Lembreight und Co. angegeben, war die Entdeckung der Ransomware-Verbindungen dieser Hosts besonders neu, da die meisten Ransomware-Vorfälle nach einem Angriff entdeckt werden, und dies war eine seltene Instanz von Forschern, die Hinweise auf Gruppen fanden, die die Voraussetzungen für einen Angriff schafften.
Censys bewertet, dass die ursprünglich entdeckten russischen Hosts A und B mit Metasploit und Deimos C2 möglicherweise anfängliche Angriffsvektoren sind, um Opferhosts zu übernehmen, während die russischen Hosts F und G Malware besitzen, die in der Lage ist, Antiviren zu deaktivieren und einen Ransomware-Angriff durchzuführen, mit Beacons zu zwei Bitcoin-Knoten, die wahrscheinlich Ransomware-Zahlungen von Opfern erhalten.
Censys konnte die Hosts dank des Inhalts eines vor fast einem Monat veröffentlichten Berichts der Cybersecurity and Infrastructure Security Agency (CISA) mit dem Ransomware-Betrieb von MedusaLocker verknüpfen, der die Methodik der Gruppe hervorhob und Indikatoren für Kompromittierung (IOCs) bereitstellte, die mit der von der Gruppe genutzten Infrastruktur verbunden waren, wie E-Mail-Adressen, IP-Adressen und TOR-Knotenadressen.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Censys hat seine Ergebnisse dem FBI mitgeteilt und arbeitet derzeit mit der Strafverfolgungsbehörde zusammen, um zu bestätigen, ob die Hosts im letzten Jahr bei Angriffen auf ein Krankenhaus und eine Bibliothek genutzt wurden. Die Weitergabe dieser Art von Informationen ist besonders lobenswert, da andere Organisationen diese Hosts oder die Muster erkennen können, die an der Berichterstattung von Censys beteiligt sind, und möglicherweise einen größeren Angriff verhindern können, wenn sich diese Entdeckung als Teil der Vorläuferaktivität herausstellt, die einen größeren, zukünftigen Angriff unterstützt.“
Besuchen Sie unsere Tanium User Community
Besuchen Sie unsere Benutzer-Community, um auf Diskussionsforen, Ankündigungen, Updates zu aufkommenden Problemen und Best Practices für Cybersicherheit zuzugreifen. Sieh es dir an.
Sehen Sie sich unsere neuesten Sicherheitszusammenfassungen an
Juli 12: Wachsende Bedrohung in China, Brute Ratel C4 und NPM-Software-Lieferkettenangriff
Juli 7: Updates zu chinesischen APTs, DragonForce Malaysia und Linux-Targeting-Malware
