In der Zusammenfassung dieser Woche beleuchtet CTI den jüngsten Anstieg erfolgreicher Cloud-Kontoübernahmen bei hochrangigen Führungskräften. Als Nächstes folgt ein Überblick über die Ransomware „Rhysida“, die derzeit den Gesundheitssektor bedroht. Ebenfalls enthalten ist ein Überblick über die neuen Instanzen von LOLKEK, die in freier Wildbahn entdeckt wurden, sowie über einige der jüngsten Änderungen an dieser Ransomware-Familie.
1. Cloud-Übernahmekampagne zielt mit EvilProxy auf Führungskräfte der obersten Ebene ab
Eine neue Studie von Proofpoint warnt vor einem jüngsten Anstieg erfolgreicher Vorfälle von „ “-Angriffen zur Übernahme von Cloud-Konten (wird in einem neuen Tab geöffnet) , von denen vor allem hochrangige Führungskräfte betroffen sind. Angreifer nutzen derzeit das Phishing-Tool „EvilProxy“, um durch die Multi-Faktor-Authentifizierung (MFA) geschützte Anmeldedaten von sowie Sitzungs-Cookies zu stehlen.
Was ist EvilProxy?
EvilProxy ist eine Reverse-Proxy-Plattform für „Phishing-as-a-Service“ (wird in einem neuen Tab geöffnet) , die im Jahr 2022 ins Leben gerufen wurde. Es wird behauptet, dass damit Authentifizierungstoken gestohlen werden können, um die MFA zu umgehen, wodurch selbst weniger erfahrene Angreifer in die Lage versetzt werden, Online-Konten zu stehlen.
Die zunehmende Verbreitung von MFA hat zu einer Zunahme von Phishing-Kits und -Tools geführt, die speziell darauf ausgelegt sind, diese Sicherheitsebene zu umgehen. Angreifer nutzen zunehmend „Adversary-in-the-Middle“ (AitM)-Phishing-Kits wie EvilProxy, um Anmeldedaten und Sitzungs-Cookies in Echtzeit zu stehlen.
Wichtigste Erkenntnisse aus dem Bericht von Proofpoint
Seit Anfang März beobachtet Proofpoint eine andauernde hybride Kampagne, bei der EvilProxy eingesetzt wird, um Nutzer von Microsoft 365 anzugreifen. Das Tempo der Kampagne ist beeindruckend: Zwischen März und Juni 2023 wurden etwa 120 000 .-Phishing-E-Mails an Hunderte von Zielorganisationen weltweit versendet.
Die Angreifer setzten mehrere bemerkenswerte Techniken ein, darunter:
- Vortäuschung einer Markenidentität: Die Absender-E-Mail-Adressen in dieser Kampagne gaben vor, von vertrauenswürdigen Anbietern wie Concur Solutions, DocuSign und Adobe zu stammen.
- Scan-Blockierung: Die Angreifer setzten Schutzmaßnahmen gegen Cybersicherheits-Scan-Bots ein, wodurch sich die Analyse der schädlichen Websites erschwerte.
- Mehrstufige Infektionskette: Die Angreifer leiteten den Datenverkehr über offene, legitime Weiterleitungsdienste um, darunter auch YouTube. Darauf folgten mehrere weitere Schritte, wie beispielsweise bösartige Cookies und 404 Weiterleitungen.
Phase 1: EvilProxy im Einsatz
Die Angreifer gaben sich zunächst als bekannte, vertrauenswürdige Dienste aus und versendeten mithilfe gefälschter E-Mails Phishing-E-Mails, die Links zu bösartigen Microsoft- 365 -Phishing-Websites enthielten.
Die E-Mails, die vorgaben, von DocuSign, Adobe Sign und Concur zu stammen, enthielten bösartige URLs, die eine mehrstufige Infektionskette auslösten, die mehrere Weiterleitungen, bösartige Cookies und 404 Weiterleitungen umfasste, welche den Nutzer zu einem EvilProxy-Phishing-Framework führten. Die Landingpage fungiert als Reverse-Proxy.
Bei der Analyse einiger der Weiterleitungsseiten dieser Kampagne stieß Proofpoint auf ein kleines, aber bedeutendes Detail, das diese in den ersten Tagen des Angriffs von anderen abhob. Der Hinweis war ein kleiner Tippfehler in der Weiterleitungszeichenfolge. Anstatt den Nutzer auf eine HTTPS-Seite weiterzuleiten, verwies der Angreifer versehentlich auf eine „hhttps“-Adresse, was zu einem fehlgeschlagenen Weiterleitungsvorgang führte.
Der Angreifer nutzte eine spezielle Verschlüsselung, um die E-Mail-Adresse des Benutzers vor automatischen Scan-Tools zu verbergen. Zudem nutzte es legitime Websites, die zuvor gehackt worden waren, um dort ihren PHP-Code hochzuladen und die E-Mail-Adresse des Nutzers zu entschlüsseln. Nachdem die E-Mail-Adresse entschlüsselt wurde, wird der Nutzer auf die endgültige Website weitergeleitet, bei der es sich um eine speziell auf die Zielorganisation zugeschnittene Phishing-Seite handelt.
Proofpoint stellte zudem eine offensichtliche Veränderung im Ablauf des Angriffs fest, wenn von bestimmten geografischen Regionen aus auf mehrere Phishing-Seiten zugegriffen wurde. Der von türkischen IP-Adressen stammende Nutzerverkehr wurde auf die legitime Webseite weitergeleitet. Sollte dies beabsichtigt sein, könnte dies darauf hindeuten, dass die hinter der Kampagne stehenden Angreifer ihren Sitz in der Türkei haben oder es vermeiden, türkische Nutzer ins Visier zu nehmen.
Phase 2: Kompromittierung eines Kontos
Auf der Liste der Nutzer befanden sich zahlreiche hochrangige Zielpersonen, darunter Führungskräfte der obersten Ebene und Vizepräsidenten führender Unternehmen.
Sobald ein betroffener Nutzer seine Anmeldedaten über die Phishing-Seite eingibt, melden sich die Angreifer innerhalb von Sekunden bei dessen Microsoft 365 -Konto an, was auf einen automatisierten Vorgang hindeutet.
Nicht bei allen Nutzern, die auf den Phishing-Köder hereingefallen sind, konnten die Angreifer Zugriff erlangen. Bei dieser Kampagne konzentrierten sich die Angreifer ausschließlich auf VIP-Ziele und ließen Ziele von geringerem Wert außer Acht.
Von den Hunderten von betroffenen Nutzern dieser Kampagne waren etwa 39 % Führungskräfte auf C-Ebene. Davon waren 17 % Finanzvorstände und 9 % Präsidenten und Vorstandsvorsitzende. Die Angreifer zeigten zudem Interesse an Führungskräften der unteren Ebenen.
Phase 3: Ausnutzung nach der Kompromittierung
Nachdem sie Zugriff auf die Konten erlangt hatten, sicherten sich die Angreifer eine dauerhafte Präsenz innerhalb der Cloud-Umgebung. In mehreren Fällen nutzten die Angreifer eine native Microsoft- 365 -Anwendung, um die Zwei-Faktor-Authentifizierung zu manipulieren.
Mithilfe von „Meine Anmeldungen“ konnten die Angreifer ihre eigene MFA-Methode hinzufügen, um sich dauerhaft Zugang zu verschaffen. Die von diesen Angreifern bevorzugte Authentifizierungsmethode war eine Authentifizierungs-App mit Benachrichtigung und Code.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Diese Kampagne richtet sich in erster Linie an Führungskräfte, leitende Angestellte und andere Personen in ‚VIP‘-Positionen.“ „Die Angreifer scheinen sich alle Mühe zu geben, alle gesammelten Zugangsdaten, die nicht zu diesen hochrangigen Führungskräften gehören, zu meiden und zu ignorieren.“
„Selbstverständlich ist es möglich, dass die Angreifer diese anderen Zugangsdaten verkaufen oder sich an kriminellen Aktivitäten beteiligen.“ Doch an dieser Kampagne scheinen sie kein Interesse zu haben. „Diese gezielte Vorgehensweise unterscheidet sich von vielen opportunistischen Phishing-Kampagnen, die darauf abzielen, beliebige Personen innerhalb einer Organisation sowie jeden, der bereit ist, seine Zugangsdaten auf einer Phishing-Seite einzugeben, ins Visier zu nehmen.“
2. Ein Überblick über die neue Ransomware „Rhysida“, die auf den Gesundheitssektor abzielt
Der neueste Bericht von Trend Micro befasst sich mit der Ransomware „ “ Rhysida (wird in einem neuen Tab geöffnet), einer Ransomware-Variante, die gezielt den Gesundheitssektor ins Visier nimmt. Diese Meldung erfolgt nur wenige Tage, nachdem das HHS Health Sector Cybersecurity Coordination Center (HC3) eine Sicherheitswarnung (wird in einem neuen Tab geöffnet) zu dieser neuen Ransomware-Variante veröffentlicht hat.
Rhysida gibt sich als Cybersicherheitsteam aus und bietet den Opfern an, sie bei der Aufdeckung von Schwachstellen im Netzwerk zu unterstützen. Bisher war bekannt, dass die Gruppe vor allem die Bildungs-, Regierungs-, Fertigungs- und Technologiebranchen ins Visier nahm, doch inzwischen hat sie auch Organisationen im Gesundheitswesen und im Bereich der öffentlichen Gesundheit angegriffen.
Diese Entwicklung steht im Zusammenhang mit der steigenden Zahl von Ransomware-Angriffen, von denen die Gesundheitsbranche in den letzten Jahren betroffen war. Die Aktion richtet sich gegen Organisationen weltweit, darunter in Indonesien, Deutschland und den USA.
Rhysidas Angriffskette
Die Ransomware „Rhysida“ gelangt in der Regel über Phishing-Angriffe auf den Computer des Opfers, bevor sie „Cobalt Strike“ für die laterale Bewegung nutzt.
Trend Micro stellte fest, dass die Angreifer PsExec ausführten, um PowerShell-Skripte und die Rhysida-Ransomware-Nutzlast zu installieren. Ein PowerShell-Skript beendet alle Prozesse und Dienste im Zusammenhang mit Antivirenprogrammen, löscht Schattenkopien, passt die RDP-Konfigurationen an und ändert das AD-Passwort.
Die Ransomware verwendet einen 4096-Bit-RSA-Schlüssel und AES-CTR zur Dateiverschlüsselung. Nach erfolgreicher Verschlüsselung fügt das Programm die Endung „.rhysida“ an die Dateien an und legt die Lösegeldforderung mit dem Titel „CriticalBreachDetected.pdf“ ab.
Die Lösegeldforderung ist recht ungewöhnlich, da sie als Warnung des Rhysida-Cybersicherheitsteams auftritt und die Betroffenen über den Datenverstoß informiert.
Rhysidas Verschlüsselungsroutine
Die Ransomware „Rhysida“ nutzt die Open-Source-Bibliothek „LibTomCrypt“, um ihre Verschlüsselungsroutine zu implementieren. Der Pseudozufallszahlengenerator (PRNG) von LibTomCrypt wird zur Erzeugung von Schlüsseln und Initialisierungsvektoren verwendet.
Nach der Initialisierung des PRNG importiert Rhysida den eingebetteten RSA-Schlüssel und legt den Algorithmus fest, der für die Dateiverschlüsselung verwendet werden soll. Anschließend wird das System AES für seine Funktionen zur Erstellung von Verschlüsselungs-Hashes registrieren und deklarieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Derzeit liegen nur begrenzte Erkenntnisse darüber vor, wer hinter der Ransomware ‚Rhysida‘ steht.“ Interessanterweise gibt sich diese Hackergruppe als Cybersicherheitsteam aus und bietet den Opfern an, ihnen bei der Aufdeckung von Sicherheitslücken zu helfen. „Bei ihrem ersten Auftritt verfügte die Gruppe über ein Chat-Portal zur Unterstützung der Opfer, was den Eindruck noch verstärkte, als würden sie diesen Opfern einen Gefallen tun.“
3. LOLKEK-Ransomware: neue Exemplare und sich weiterentwickelnde Taktiken
SentinelOne hat kürzlich neue Fälle von LOLKEK – auch bekannt als GlobeImposter – in freier Wildbahn entdeckt und dabei Veränderungen innerhalb dieser Ransomware-Familie festgestellt. SentinelOne hat seine Forschungsergebnisse zu den neuen „ “-LOLKEK-Payloads veröffentlicht: (wird in einem neuen Tab geöffnet). Darin werden neue Funktionen und Änderungen in der Strategie detailliert beschrieben.
LOLKEK hatte seinen ersten Auftritt bereits im Jahr 2016. Der Name „GlobeImposter“ war damals eine geschickte Art, zu beschreiben, wie diese Ransomware die Vorgehensweise der Globe-Ransomware nachahmte.
LOLKEK kann bis zu einem gewissen Grad als Standard-Ransomware betrachtet werden. Es wird häufig geändert und von Personen mit begrenzten Fähigkeiten und Ressourcen genutzt. Bei den jüngsten Vorfällen lagen die geforderten Lösegeldsummen unter 2 000 US-Dollar, was im Vergleich zu den Summen, die üblicherweise von Gruppen wie „ Cl0P “ und „LockBit“ gefordert werden, recht gering ist.
LOLKEK richtet sich in erster Linie an kleine und mittlere Unternehmen (KMU) sowie an Privatanwender. Es gab jedoch Fälle, in denen diese Ransomware bei komplexeren und gezielteren Finanzangriffen eine Rolle spielte.
Technische Details
- Forscher von SentinelOne haben zwei neue LOLKEK-Beispiele in freier Wildbahn identifiziert. Diese Proben identifizierten sich als „ W3CRYPTO LOCKER“ und leiteten die Opfer auf ein neues Tor-Opferportal weiter.
- Beide neuen Beispiele wurden in „ Mai 2023“ erstellt, doch nur eines scheint voll funktionsfähig zu sein. Wenn die neuen LOLKEK-Payloads gestartet werden, erkennen sie nacheinander alle lokal verfügbaren Laufwerke – einschließlich eingebundener Netzwerkfreigaben – und verschlüsseln diese.
- Die Payloads enthalten zudem Ausschlüsse aus früheren Varianten dieser Ransomware. Dazu gehören die Ordner „Windows“, „System Volume Information“ und „ProgramData“. Die Payloads sind offenbar in der Lage, Volume-Shadow-Kopien zu erkennen und zu entfernen. Bei der dynamischen Analyse einer der Proben war dieses Verhalten jedoch nicht zu beobachten. Im Beispielcode finden sich WMIC-formatierte Befehle zum Entfernen von VSS. Verschlüsselte Dateien erhalten die Dateiendung .MMM.
- Bei einer eingehenderen Untersuchung dieser verschlüsselten Dateien identifizierten die Forscher einen weiteren Marker, der sie mit früheren Varianten von LOLKEK/GlobeImposter in Verbindung bringt. Die verschlüsselten Dateien enthielten denselben „CRYPTO LOCKER“-Zeichenfolgen, wie er bereits in früheren Versionen zu beobachten war.
Opferportal und Hinweise
Die Lösegeldforderungen von LOLKEK tragen den Namen „ReadMe.txt“ und werden in allen Verzeichnissen abgelegt, die verschlüsselte Dateien und Daten enthalten. Die Lösegeldforderungen sind nahezu identisch mit denen früherer Varianten. Die bereitgestellten .onion-URIs enthalten am Ende eine Zeichenfolge, die für jede Ausführung der Ransomware einzigartig ist.
Die Opfer werden angewiesen, das Tor-Opferportal aufzurufen, wo sie ein Konto erstellen müssen, um einen privaten Chat mit dem Angreifer zu führen. Das neue Portal entspricht in seiner Funktionsweise den früheren Opferportalen, die von dieser Ransomware-Gruppe betrieben wurden.
Der Angreifer weist darauf hin, dass kleine Dateien kostenlos entschlüsselt werden können, um die Funktionsfähigkeit der Entschlüsselung nachzuweisen. Wenn das Opfer im Portal ein Ticket erstellt, werden die Details zur Lösegeldforderung direkt über den Chat des Opfers übermittelt.
Ein OPSEC-Fehler bei LOLKEK
Die Betreiber dieser Kampagne sind hinsichtlich der Fehlkonfiguration von Apache sehr ähnliche Schritte, Abläufe und Vorlagen wie bei ihren früheren Kampagnen befolgt. Die Statusseite des Servers ist auf der Tor-Opfer-Seite einsehbar. Die Forscher stellten fest, dass der Server unter 23. Mai 2023 in Betrieb genommen wurde – nur wenige Tage, nachdem die entsprechenden Samples kompiliert worden waren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Ransomware LOLKEK ist durchaus faszinierend, da sie sich in dieser sich rasch wandelnden Bedrohungslandschaft bereits seit dem Jahr 2016 behauptet hat.“ „Die Betreiber arbeiten weiterhin intensiv daran, neue Strategien zu entwickeln, und haben bewiesen, dass sie in der Lage sind, ihre Relevanz zu bewahren.“
„LOLKEK macht deutlich, dass wir, obwohl LockBit, Cl0p und andere namhafte Ransomware-Gruppen den Markt dominieren, kleine, aber hartnäckige Akteure nicht aus den Augen verlieren dürfen.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
