Ein neuer Bericht von Cisco Talos zeigt, dass Standard-Malware bei den Einsätzen des Cisco Talos Incident Response (CTIR) erstmals seit über einem Jahr die Ransomware überholt hat. Der Bericht deckt zudem die neuesten Taktiken, Techniken und Vorgehensweisen (TTPs) auf, die von Cyberkriminellen eingesetzt werden. Als Nächstes stellen wir ein neues UEFI-Firmware-Rootkit namens „CosmicStrand“ vor, das von chinesischsprachigen Angreifern aktiv eingesetzt wird, um Personen in verschiedenen Regionen ins Visier zu nehmen. Schließlich zeigen Erkenntnisse von Censys, dass eine mit Russland in Verbindung stehende Command-and-Control-Infrastruktur (C2) für Ransomware existiert, die offenbar in mindestens einem Netzwerk mit Sitz in den USA Fuß gefasst hat.
1. Cisco Talos’ Quarterly Report: Incident Response Trends in Q2 2022
Der aktuelle Bericht „ : Incident Response Trends in Q2 2022“ ( ) von Cisco Talos enthält eine Fülle wichtiger Erkenntnisse zum Thema Cybersicherheit.
Hier sind einige der wichtigsten Erkenntnisse:
Standard-Malware belegt den ersten Platz
Die größte beobachtete Bedrohung in diesem Quartal ist sogenannte „Commodity-Malware“, also Malware, die ohne Weiteres käuflich zu erwerben ist. Dies ist von Bedeutung, wenn man den allgemeinen Rückgang der Angriffe berücksichtigt, bei denen Standard-Trojaner im Rahmen von CTIR-Einsätzen zum Einsatz kamen, der bis zum Jahr 2020 zurückreicht.
Laut Talos fallen diese Entwicklungen mit dem Wiederaufleben verschiedener E-Mail-basierter Trojaner in den letzten Monaten zusammen, nachdem diese zuvor sowohl durch Strafverfolgungsbehörden als auch durch Technologieunternehmen behindert worden waren.
In diesem Quartal war zudem eine Zunahme der Aktivitäten im Zusammenhang mit Info-Stealern wie Redline und QBot zu verzeichnen. Diese Malware-Familien haben alle zu unterschiedlichen Zeitpunkten Vorläuferinfektionen für verschiedene Payloads – vor allem für Ransomware – ausgelöst.
Der neue vierteljährliche Trendbericht von @TalosSecurity zeigt, dass nicht Ransomware, sondern Standard-Malware die größte Bedrohung im Jahr Q2 darstellte. blog.talosintelligence.com/2022/07/quarte…
Im Vergleich zu den vorangegangenen Quartalen war Ransomware an einem deutlich geringeren Anteil der Vorfälle beteiligt und machte 15 Prozent aller in diesem Quartal beobachteten Bedrohungen aus, gegenüber 25 Prozent im letzten Quartal.
Die wichtigsten Ransomware-/Malware-Familien:
- Remcos RAT
- Vidar InfoStealer
- Redline InfoStealer
- QBot-Trojaner
- BlackCat (ALPHV) Ransomware
- Conti-Ransomware
Die wichtigsten Zielbranchen
- Telekommunikations: Auch dieser Sektor gehörte in den Jahren Q4 2021 und Q1 2022 zu den am stärksten betroffenen Branchen.
- im Gesundheitswesen: Das Gesundheitswesen ist stets ein bevorzugtes Ziel für Erpresser, da Organisationen in diesem Bereich unbedingt die Kontinuität der Versorgung gewährleisten und Betriebsunterbrechungen um jeden Preis vermeiden müssen.
- im Bildungswesen: Schulen sind ein weiteres beliebtes Ziel für Cyberkriminelle, da allgemein davon ausgegangen wird, dass Bildungseinrichtungen über wertvolle Ressourcen verfügen und in der Lage sind, erhebliche Lösegeldforderungen zu begleichen.
- Zu den weiteren in dem Bericht aufgeführten gefährdeten Branchen zählen Finanzdienstleistungen, Kommunalverwaltung, Gastronomie, Einzelhandel/Handel, Automobilindustrie, IT, Produktionsanlagen und verarbeitendes Gewerbe.
Die größten Bedrohungen insgesamt
- Standard-Malware
- Ransomware
- Sonstiges
- Phishing / Business Email Compromise (BEC)
- Advanced Persistent Threat (APT)
- Ungeschützte/falsch konfigurierte Anwendungen
Besondere Erwähnungen: Insider-Bedrohungen, Log4j, Pre-Ransomware und der Wave-Browser (PUP).
Die häufigsten Erstinfektionswege
- Phishing
- Öffentlich zugängliche Anwendungen ausnutzen
- Unbekannt
- Gültige Konten
Besondere Erwähnungen: Externe Fernzugriffsdienste und „Drive-by“-Angriffe.
Weitere Erkenntnisse
Laut Talos stellt das Fehlen einer „ “-Multifaktor-Authentifizierung (MFA) nach wie vor eines der größten Hindernisse für die Unternehmenssicherheit dar – was darauf hindeutet, dass Unternehmen erweiterte Maßnahmen zum Schutz von Benutzerkonten ergreifen müssen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Es gibt noch einige offene Fragen im Zusammenhang mit den oben dargestellten Daten. In erster Linie interessiert uns, welche weiteren Faktoren möglicherweise dazu beigetragen haben, dass „Commodity-Malware“ zum ersten Mal seit langer Zeit die Ransomware überholt hat.
Zum Beispiel:
- Hat der Anstieg von Akteuren, die Erpressung ohne Verschlüsselung betreiben (wie beispielsweise LAPSUS$), Auswirkungen auf die rückläufigen Ransomware-Zahlen gehabt?
- Werden sich die verschiedenen neu aufgetauchten Malware-Varianten, die vor dem Hintergrund des Russland-Ukraine-Konflikts entdeckt wurden, auf die Zahlen im nächsten Quartalsbericht von Talos auswirken?
- Wie sieht es mit zerstörerischer Malware aus? Wird irgendetwas davon zum Tragen kommen?
- Was hat den Anstieg der Beliebtheit von Malware zum Diebstahl von Daten ausgelöst?
- Haben „Initial-Access“-Broker eine Rolle bei dem Erfolg gespielt, den diese Malware-Familien zum Diebstahl von Daten derzeit verzeichnen?
„Abgesehen von diesen Fragen sind wir der Ansicht, dass sich die Erkenntnisse, die sich aus einigen der Daten in diesem Bericht ableiten lassen, für die Cyber-Threat-Intelligence-Community als nützlich erweisen werden.“
2. Experten decken ein neues „CosmicStrand“-UEFI-Firmware-Rootkit auf, das von Hackern mit Verbindungen zu China eingesetzt wird
SecureList von Kaspersky hat kürzlich ein ausgeklügeltes neues UEFI-Firmware-Rootkit namens „CosmicStrand“ aufgedeckt, das derzeit von einem unbekannten chinesischsprachigen Angreifer eingesetzt wird.
Bei den Opfern soll es sich um Privatpersonen aus China, Vietnam, dem Iran und Russland handeln. Zum gegenwärtigen Zeitpunkt gibt es keine Hinweise darauf, dass diese Opfer mit bestimmten Organisationen oder Branchen in Verbindung stehen.
Obwohl es erst kürzlich entdeckt wurde, #CosmicStrand scheint das UEFI-Firmware-Rootkit bereits seit geraumer Zeit im Einsatz zu sein. Dies deutet darauf hin, dass die Angreifer über sehr ausgefeilte Fähigkeiten verfügten, die sie seit 2017 erfolgreich verbergen konnten ⇒ kas.pr/1pho
Was ist das CosmicStrand-UEFI-Rootkit?
Wie SecureList erläutert, handelt es sich bei Rootkits um Malware-Implantate, die darauf ausgelegt sind, sich in die „tiefsten Winkel des Betriebssystems“ einzunisten. Rootkits werden aufgrund der komplexen technischen Herausforderungen, die sie mit sich bringen, häufig mit hochrangigen Akteuren im Bereich der Cyberbedrohungen in Verbindung gebracht, wie beispielsweise staatlich geförderten APT-Gruppen.
Leider interessieren sich Cyberkriminelle und APTs gleichermaßen zunehmend für Rootkits, vor allem weil sich diese Art von Malware auf einer so tiefen Ebene innerhalb des Betriebssystems einnistet, dass ihre Erkennung äußerst schwierig ist. Firmware-Rootkits sorgen zudem dafür, dass Geräte auch nach einer Neuinstallation des Betriebssystems oder dem Austausch der Festplatte weiterhin kompromittiert bleiben.
CosmicStrand ist ein UEFI-Firmware-Rootkit, das eine kleine Datei mit der Nummer 96,84KB nutzt. Zwar ist der ursprüngliche Zugriffsvektor von CosmicStrand noch nicht geklärt, doch umfassen die Aktivitäten nach der Kompromittierung Änderungen am CSMCORE-DXE-Treiber, dessen Einstiegspunkt gepatcht wurde, um auf Code umzuleiten, der im Abschnitt „.reloc“ hinzugefügt wurde. Dieser Code, der beim Systemstart ausgeführt wird, löst eine lange Ausführungskette aus, die zum Herunterladen und zur Installation einer schädlichen Komponente innerhalb von Windows führt. Letztendlich besteht das Ziel von CosmicStrand darin, bei jedem Systemstart ein Implantat auf Kernel-Ebene in ein Windows-System einzuschleusen, das von der infizierten UEFI-Komponente stammt.
SecureList geht davon aus, dass diese Änderungen möglicherweise durch einen automatisierten Patcher vorgenommen wurden. Sollte sich dies als zutreffend erweisen, könnte dies darauf hindeuten, dass sich die Angreifer zuvor Zugang zum Computer des Opfers verschafft haben, um die Firmware des Motherboards zu extrahieren, zu verändern und zu überschreiben. Dies könnte über eine bereits auf dem Computer installierte Vorläufer-Malware erfolgen – oder durch physischen Zugriff auf das Gerät.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Zwar ist das Auftauchen eines neuen Firmware-Rootkits an sich schon bemerkenswert, doch von Interesse ist auch die vermutete Entwicklung durch, die Nutzung durch – sowie mögliche Verbindungen zu – chinesischsprachigen Akteuren im Bereich der Cyberkriminalität.“
Zwar gibt es zweifellos noch viel über die Angriffskette von CosmicStrand und die hinter dessen Einsatz stehenden Akteure zu erfahren, doch die technologische Herausforderung, vor der Entwickler stehen, die eine derartige Malware erstellen wollen, lässt darauf schließen, dass die Autoren von CosmicStrand über ein hohes Maß an Fachwissen verfügen und möglicherweise Zugang zu beträchtlichen Ressourcen haben. Dies würde mit den bisherigen, mit China in Verbindung stehenden Cyberaktivitäten übereinstimmen. Die Tatsache, dass sich diese Aktivität nicht eindeutig mit einem bekannten Bedrohungsakteur bzw. einer APT in Verbindung bringen lässt, könnte zudem darauf hindeuten, dass die Betreiber von CosmicStrand großen Wert auf operative Sicherheit (OPSEC) legen – ein Merkmal, das vielen der führenden, mit dem chinesischen Staat verbundenen Hacker gemeinsam ist.
Ein weiterer möglicher Hinweis darauf, dass die Aktivitäten von CosmicStrand mit einer staatlich kontrollierten Organisation in Verbindung stehen, ist die Tatsache, dass bislang alle bekannten Angriffe gegen Einzelpersonen gerichtet waren. Zwar scheint es bislang noch keine gemeinsame Verbindung zwischen diesen Personen hinsichtlich Organisationen oder Branchen zu geben, ist bekannt, dass die chinesische Regierung Personen von nationalem Interesse gezielt überwacht und Informationen über sie sammelt – wobei sie manchmal sogar so weit geht, solche Maßnahmen als nicht zielgerichtete Aktivitäten zu tarnen –, wie beispielsweise Angriffe über die Lieferkette von , die auf den ersten Blick darauf ausgelegt zu sein scheinen, Tausende zu betreffen, sich bei genauerer Betrachtung jedoch als darauf ausgerichtet erweisen, lediglich einige hundert Personen zu infizieren, die für die chinesische Regierung von Interesse sind.
Auch hier gilt: Zum Zeitpunkt der Berichterstattung handelt es sich hierbei ausschließlich um Spekulationen. „Die Zeit wird zeigen, was das wahre Motiv ist.“
3. Das Forschungsunternehmen Censys hat ein in Russland ansässiges Ransomware-Netzwerk aufgedeckt, das in den USA Fuß gefasst hat.
Forscher des auf Attack Surface Management spezialisierten Unternehmens Censys geben an, ein von Russland aus betriebenes Command-and-Control-Netzwerk (C2) der Ransomware-Gruppe „ “ entdeckt zu haben, das in mindestens einem US-amerikanischen Netzwerk Fuß gefasst hat.
Die Aktivität wurde erstmals von Censys-Forschern um den 24. Juni 2022 beobachtet, als sie bei einer Überprüfung von über 4,7 Millionen Hosts mit Standort in Russland zwei russische Hosts entdeckten, auf denen das Exploit-Tool „Metasploit“ sowie das Tool „Deimos C2 “ installiert waren.
Es sei darauf hingewiesen, dass Censys diese Scans durchführte, um die 1 000 beliebtesten Softwareprodukte zu ermitteln, die derzeit auf über 4,7 Millionen Hosts zu finden sind, die von den Forschern des Unternehmens in Russland entdeckt wurden. Eine weitere historische Analyse ergab, dass einer dieser Hosts das Tool PoshC2 bereits zuvor verwendet hatte. Diese Tools verfügen alle über Funktionen, die es Penetrationstestern und Hackern ermöglichen, Fernzugriff auf Zielhosts zu erlangen und diese zu verwalten.
Forscher von Censys nutzten Angaben aus dem Zertifikat PoshC2 , um weitere russische Hosts an verschiedenen Standorten weltweit ausfindig zu machen, darunter zwei weitere Hosts, die das Zertifikat PoshC2 verwendeten und sich in den USA befanden. Censys identifiziert diese Systeme als russische Hosts und gibt an, dass sie ebenfalls Malware-Pakete – darunter ein Ransomware-Kit – sowie eine Datei mit einem Link zu zwei russischen Bitcoin-Hosts enthielten.
Laut Censys haben Forscher einen Host in Ohio ausfindig gemacht, auf dem ebenfalls das Tool „Deimos C2 “ gefunden wurde – dasselbe Tool, das bereits auf dem ursprünglichen russischen Host entdeckt worden war. Eine weitere historische Analyse ergab, dass der Host in Ohio ebenfalls über ein Malware-Paket verfügte, das mit der auf den russischen Hosts entdeckten Ransomware übereinstimmte, die das oben erwähnte Tool „ PoshC2 “ enthielt.
Anmerkung der Redaktion: Um Verwechslungen zu vermeiden, bezeichnen wir die ursprünglich entdeckten russischen Hosts, auf denen Metasploit und Deimos C2 gefunden wurden, als Hosts A und B, und die später entdeckten Hosts, auf denen Malware- und Ransomware-Kits gefunden wurden, als Hosts F und G (die Namenskonvention wird verständlicher, wenn Sie einen Blick auf den äußerst ausführlichen technischen Bericht „ “ von Censys werfen:).
Nach weiteren Untersuchungen stellte Matt Lembright, Leiter des Bereichs „Federal Applications“ bei Censys und Verantwortlicher für die anfänglichen Scan-Maßnahmen, gemeinsam mit seinem Team fest, dass die oben beschriebenen Hosts Verbindungen sowohl zur Ransomware „MedusaLocker“ als auch zur Ransomware „Karma“ aufwiesen.
Wie Lembreight und Kollegen feststellten, war die Aufdeckung der Verbindungen dieser Hosts zu Ransomware besonders neuartig, da die meisten Ransomware-Vorfälle erst nach einem Angriff entdeckt werden und es sich hierbei um einen seltenen Fall handelte, in dem Forscher Hinweise darauf fanden, dass Gruppen die Voraussetzungen für einen Angriff schufen.
Censys geht davon aus, dass die ursprünglich mit Metasploit und Deimos C2 entdeckten russischen Hosts A und B möglicherweise als erste Angriffsvektoren dienen, um die Hosts der Opfer zu übernehmen, während die russischen Hosts F und G über Malware verfügen, die in der Lage ist, Antivirenprogramme zu deaktivieren und einen Ransomware-Angriff durchzuführen, wobei Signale an zwei Bitcoin-Knoten gesendet werden, die vermutlich die Ransomware-Zahlungen der Opfer entgegennehmen.
Censys konnte die Hosts mit der Ransomware-Operation „MedusaLocker“ in Verbindung bringen – dank der Inhalte eines vor fast einem Monat veröffentlichten Berichts der Cybersecurity and Infrastructure Security Agency (CISA) mit dem Titel „“ (), in dem die Vorgehensweise der Gruppe beleuchtet und Indikatoren für eine Kompromittierung (IOCs) im Zusammenhang mit der von der Gruppe genutzten Infrastruktur aufgeführt wurden, darunter E-Mail-Adressen, IP-Adressen und TOR-Knotenadressen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Censys hat seine Erkenntnisse an das FBI weitergeleitet und arbeitet derzeit mit der Strafverfolgungsbehörde zusammen, um zu klären, ob die Server im vergangenen Jahr bei Angriffen auf ein Krankenhaus und eine Bibliothek missbraucht wurden.“ Die Weitergabe dieser Art von Informationen ist besonders lobenswert, da andere Organisationen möglicherweise in der Lage sind, diese Hosts oder die in den Berichten von Censys beschriebenen Muster zu erkennen und möglicherweise einen größeren Angriff zu vereiteln, sollte sich herausstellen, dass diese Entdeckung Teil von Vorbereitungsmaßnahmen für einen größeren, zukünftigen Angriff ist.“
Besuchen Sie unsere Tanium-Benutzergemeinschaft
Besuchen Sie unsere Nutzer-Community, um Zugang zu Diskussionsforen, Ankündigungen, aktuellen Informationen zu neuen Themen und bewährten Verfahren im Bereich Cybersicherheit zu erhalten. Schauen Sie doch einmal unter vorbei.
Entdecken Sie unsere aktuellen Sicherheitsrückblicke
Juli 7: Aktuelles zu chinesischen APTs, DragonForce in Malaysia und Malware, die auf Linux abzielt
