Der erste Schritt dieser Woche ist die Berichterstattung von CTI über einen Proofpoint-Bericht, der zeigt, dass staatlich gesponserte Hacker zunehmend auf kleine und mittlere Unternehmen (KMUs) weltweit abzielen und eine kompromittierte Infrastruktur verwenden, um weitere Kampagnen zu starten, die sich an andere kleine Unternehmen, Regierungen, Militärs und große Unternehmenseinheiten richten. Als nächstes analysiert CTI einen Fortinet-Bericht über eine neue PowerShell-basierte Malware namens PowerExchange, die bei Angriffen verwendet wird, die Backdoors in lokalen Microsoft Exchange-Servern implantieren sollen. Zum Schluss fasst CTI die Dinge mit einem interessanten Fall zusammen, der sowohl einen Ransomware-Angriff als auch eine Insider-Bedrohung umfasst.
1. Staatsorientierte Bedrohungsakteure zielen auf KMU ab
Laut Proofpoint zielen staatlich gesponserte Hacker, die von den Regierungen Russland, Iran und Nordkorea unterstützt werden (eröffnet in einer neuen Registerkarte), zunehmend auf KMUs weltweit ab. Diese Angriffe dienen dazu, die kompromittierte Infrastruktur als Startpads für weitere Kampagnen zu verwenden, bei denen die Angreifer auf andere KMU sowie Regierungen, Militärs und große Unternehmenseinheiten abzielen.
Die Forscher von Proofpoint führten im ersten Quartal von 2022 und bis zum ersten Quartal von 2023 eine rückwirkende Analyse von KMUs durch, die von Advanced Persistent Threat (APT)-Akteuren anvisiert wurden. Dank des einzigartigen Blickwinkels des Unternehmens in die so genannte „Proofpoint Essentials“-Telemetrie ermöglicht der Sicherheitsanbieter Einblick in mehr als 200.000 KMUs für Forscher, die wichtige Trends in der Cyber-Bedrohungslandschaft identifizieren möchten – wobei der Schwerpunkt auf der Beobachtung der Akteure liegt, die einzigartige Bedrohungen für globale KMU darstellen.
Anhand dieser wertvollen Daten identifizierte Proofpoint verschiedene APT-Akteure, die auf KMU abzielen. Derartige Akteure werden von den Forschern als mit den Regierungen von Russland, Iran und Nordkorea abgestimmt angesehen und führen Berichten zufolge Operationen zur Unterstützung der staatlichen Interessen dieser Länder durch.
Die wichtigsten Angriffstrends, die auf KMU abzielen
Proofpoint-Forscher haben drei Haupttrends bei Angriffen auf KMU zwischen 2022 und 2023 identifiziert. Dazu gehören:
- Die Verwendung einer kompromittierten SMB-Infrastruktur in Phishing-Kampagnen.
- Regionales KMU-Targeting durch staatlich ausgerichtete Akteure für Finanzdiebstahl.
- Anfällige regionale Managed Services Provider (regionale MSPs), die über Phishing anvisiert werden und dadurch die Bedrohung durch SMB-Lieferkettenangriffe darstellen. Regionale MSPs sind kleine bis mittelgroße MSPs, die Kunden in einem konzentrierten geografischen Gebiet bedienen.
Nutzung einer kompromittierten SMB-Infrastruktur in APT-Kampagnen
Einer der interessantesten Trends, die sich in der Analyse von Proofpoint ergeben, ist die Verwendung einer kompromittierten SMB-Infrastruktur durch APT-Akteure, um Phishing-Kampagnen gegen sekundäre, hochwertige Ziele zu erleichtern.
Wie die Forscher darauf hinweisen, umfasste ein typisches Beispiel für eine solche Aktivität einen Bedrohungsakteur, der erfolgreich einen Webserver oder ein E-Mail-Konto bei einem KMU kompromittierte.
Die Methode des ersten Zugriffs variierte. Die Infiltration kann das Ergebnis der Berechtigungsernte oder im Falle eines Webservers über die Ausnutzung einer ungepatchten Schwachstelle gewesen sein. Unabhängig von der Möglichkeit des Eindringens würde eine kompromittierte E-Mail-Adresse oft genutzt werden, um bösartige E-Mails von einer „vertrauenswürdigen Quelle“ an wünschenswerte sekundäre Ziele zu senden.
Proofpoint weist darauf hin, dass, wenn ein Bedrohungsakteur das Glück hätte, einen Webserver zu kompromittieren, der eine Domain hostet, der nächste Schritt mehr als wahrscheinlich den Missbrauch dieses Bits legitimer Infrastruktur beinhalten würde – indem er es verwendet, um bösartige Malware zu hosten oder einem Upstream-Opfer Dritter zuzustellen.
Drei Beispiele aus der Praxis
Beispiel aus der Praxis: TA473
Der Bericht zitiert einen realen Fall, in dem die Forscher von Proofpoint eine kompromittierte KMU-Infrastruktur beobachteten, die vom APT-Akteur, der von der Firma als TA473 (Winter Vivern) verfolgt wurde, in Phishing-Kampagnen verwendet wurde, die zwischen November 2022 und stattfanden Februar 2023.
Von Proofpoint:
Diese Kampagnen richteten sich an US-amerikanische und europäische Regierungsbehörden. In März 2023veröffentlichte Proofpoint Details über TA473’s Übertragungs-E-Mails von kompromittierten E-Mail-Adressen. In mehreren Fällen stammten diese E-Mails von von von WordPress gehosteten Domains, die zum Zeitpunkt der Kompromittierung möglicherweise nicht gepatcht oder unsicher waren. Darüber hinaus wurden ungepatchte Web-Mail-Server von Zimbra ausgenutzt, um E-Mail-Konten von Regierungsbehörden zu gefährden. Zusätzlich zum Senden von E-Mails über eine kompromittierte SMB-Infrastruktur hat TA473 auch kompromittierte kleine und mittlere Unternehmensdomänen verwendet, um Malware-Payloads bereitzustellen.
Beispiel aus der Praxis: TA422
Ein weiteres reales Szenario umfasste die routinemäßige Imitation eines KMU (in Saudi-Arabien ansässig und zum Auto-Herstellungssektor gehörend) als Teil einer Phishing-Kampagne, deren Ziel die Gewinnung von Zugangsdaten war.
Die Kampagne richtete sich an private E-Mail-Adressen, die Opfern in den USA und der Ukraine gehörten, und wurde auf TA422 (aka APT28) zurückgeführt, einen staatlich gesponserten Bedrohungsakteur, der mit dem russischen Militärdienst GRU verbunden ist. Abgesehen von der klaren Hervorhebung der fortlaufenden Zielgruppen ukrainischer Unternehmen durch Russland-Nexus-APTs, umfasste die Kampagne auch das Spoofing einer Einheit im Nahen Osten, um Opfer in den USA und Europa anzusprechen.
Von Proofpoint:
Der Bedrohungsakteur enthielt die gefälschte Adresse im Feld „MailTo“ des E-Mail-Headers, die wahrscheinlich die Social Engineering-Bemühungen verstärken würde, als die imitierte Entität zu erscheinen. Diese Imitation über das Feld „MailTo“ hat jedoch das praktische Ergebnis, dass nicht zugestellte E-Mails an die legitime Domain zurückgegeben werden, die vom Bedrohungsakteur imitiert wird. Daher bot die unbeabsichtigte Nebenwirkung abgelehnter E-Mails Proofpoint-Forschern Einblick in die Berechtigungserfassungsseiten von TA422 , die die folgenden Subdomains nutzten, um Berechtigungs-Phishingseiten zu hosten: 42web[.]io und frge[.]io.
Beispiel aus der Praxis:TA499
Das dritte und letzte Beispiel aus der Praxis, das im Bericht von Proofpoint bereitgestellt wurde, umfasste einen signifikanten Fall von APT-Imitation, der im Jahr aufgetreten ist Mai 2022. Der Bedrohungsakteur, der von Proofpoint als TA499 (auch bekannt als Vovan oder Lexus) verfolgt wird, ein in Russland ansässiger und staatlich verbundener Akteur, der regelmäßig Telefonkonferenzen mit politischen Themen von hochkarätigen, proukrainischen Einzelpersonen anfordert, richtete sich an ein mittelständisches Unternehmen, das sich mit der Repräsentation von Prominententalenten in den USA beschäftigt.
Von Proofpoint:
TA499 versuchte, einen großen amerikanischen Prominenten in eine Videokonferenz über den Konflikt in der Ukraine zu verleiten, indem er sich als ukrainischer Präsident Volodymyr Zelensky ausgab. Proofpoint konnte diese Kampagne auf TA499 basierend auf einer Reihe von schauspielerkontrollierten E-Mail-Adressen und Domains zuordnen, die die Gruppe im Laufe von 2022 konsistent verwendete.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Basierend auf den kombinierten Ergebnissen, die im Bericht von Proofpoint präsentiert werden, ist klar, dass staatlich gesponserte APT-Akteure zunehmend versuchen, KMUs anzusprechen, von denen viele anfällig für Angriffe sind, zusammen mit regionalen MSPs, um die Anforderungen an die staatlich ausgerichtete Informationssammlung zu unterstützen.“
„Auch durch die oben beschriebenen Ergebnisse wird der Wunsch und die Bereitschaft dieser gleichen staatlich unterstützten Gruppen deutlich, die Kompromittierung der KMU-Infrastruktur zu nutzen, um die Erleichterung sekundärer Angriffe auf hochwertige Ziele zu unterstützen, die mit größerer Wahrscheinlichkeit viel mehr umsetzbare Intelligenz liefern.“
2. Neue PowerExchange-Malware hintertüret Microsoft Exchange-Server
Fortinet hat eine neue PowerShell-basierte Malware namens „PowerExchange“ entdeckt, die bei Angriffen verwendet wird, die Backdoors in lokalen Microsoft Exchange-Servern implantieren sollen. Man geht davon aus, dass die Aktivität mit der iranischen Bedrohungsgruppe APT34 in Verbindung steht.
Fortinet beobachtete letztes Jahr mehrere gleichzeitige Angriffe auf eine Regierungsstelle in den VAE, von denen einer bisher noch nicht identifiziert werden musste. In diesem Fall wurde PowerExchange-Malware einbezogen. Das Befehls- und Kontrollprotokoll (C2) der Backdoor ist E-Mail-basiert und verwendet den Microsoft Exchange-Server des Opfers als seinen C2 -Server.
Weitere Untersuchungen ergaben das Vorhandensein der Hintertür an zusätzlichen Endpunkten innerhalb der Umgebung, wobei sich mehrere andere Implantate auf verschiedenen Servern befanden. Ein solches Implantat, das sich auf einem Microsoft Exchange-Server befand, war eine Web-Shell, die als ExchangeLeech bekannt ist.
Die Infektionskette dieses Angriffs begann mit einer traditionellen Phishing-E-Mail. Das Opfer hat eine Zip-Datei namens Brochure.zip geöffnet, die eine bösartige .NET-Ausführung mit demselben Namen enthielt. Die Datei, eine ausführbare Datei mit einem Adobe PDF-Symbol, wurde in einen temporären Ordner abgelegt und beim Ausführen eine Fehlermeldung angezeigt. Die ausführbare Datei ist tatsächlich ein Dropper, der die Installation und Ausführung der endgültigen Nutzlast erleichtert. Er erstellt drei Dateien: autosave.exe, wsdl.ps1 und Microsoft.Exchange.WebServices.dll. Der Dropper erstellt dann die Persistenz für autosave.exe über eine geplante Aufgabe, die regelmäßig in Fünf-Minuten-Intervallen ausgeführt wird. Autosave.exe führt die letzte PowerShell-Nutzlast – wsdl.ps1 – in einem neuen Prozess aus.
Über die PowerExchange-Hintertür
- Die PowerExchange-Backdoor erhält ihren Namen aus der Art ihres C2 -Kanals, da sie die Exchange Web Services (EWS) API nutzt, um sich mit dem Exchange-Server des Opfers zu verbinden, und Mailboxen verwendet, um Befehle zu senden und zu empfangen.
- Eine .NET-DLL wird über Reflexion aus demselben Ordner geladen, um dies zu erreichen. Der Exchange-Server ist über das Internet zugänglich, speichert die C2 -Kommunikation auf externen Servern und fungiert als Proxy für den Bedrohungsakteur.
- Die Backdoor verbindet sich mit dem Exchange-Server und sendet den Computernamen base64-encoded an eine Mailbox, um anzuzeigen, dass sie ausgeführt wird. Die Mailbox- und Verbindungsanmeldeinformationen sind innerhalb der Backdoor selbst festcodiert. Der Operator kann dann mit zusätzlichen Postfächern antworten, von denen die Hintertür in der aktuellen Sitzung Beaconing durchführen soll, oder mit der ID einer E-Mail, um einen Befehl abzurufen und auszuführen.
- Um Daten zu senden, erstellt die Backdoor eine E-Mail mit dem Betreff „Microsoft Edge aktualisieren“. Der Text dieser E-Mail ist nur der Text „Microsoft Edge Update“. Die Daten selbst werden als Anhang in der E-Mail mit dem Titel New Text Document.txt weitergegeben.
- Befehle werden als nicht gepolsterter base64 -codierter Inhalt in E-Mail-Anhängen an die Hintertür gesendet. Die Hintertür unterstützt drei spezifische Befehle, indem der Zustand vorbestimmter Variablen nach den ausgewerteten Ausdrücken überprüft wird. Antworten werden in E-Mails an die gleiche E-Mail-Adresse zurückgegeben, von der die Befehlsnachricht empfangen wurde.
Zuordnung: APT34
Fortinet hat die Kampagne mit der PowerExchange-Hintertür der iranischen Bedrohungsgruppe APT34 zugeschrieben, die in der Vergangenheit eine Reihe von Sektoren angesprochen hat, darunter Finanzen, Regierung, Energie, Chemie und Telekommunikation. Die Gruppe nutzt häufig Beziehungen zwischen Organisationen, um Lieferkettenangriffe durchzuführen.
PowerExchange weist einige Ähnlichkeiten mit der TriFive-Hintertür auf, die zuvor mit APT34 verknüpft wurde. Die Backdoors werden beide in PowerShell geschrieben, aktiviert durch eine periodisch geplante Aufgabe, und die C2 Kanäle nutzen den Exchange-Server der Organisation mit der EWS API. Der den beiden zugrunde liegende Code unterscheidet sich, aber es wird davon ausgegangen, dass PowerExchange einfach eine neue und verbesserte Version von TriFive ist.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Diese Kampagne verwendet den Exchange-Server des Opfers für seine C2 -Kommunikation, sodass sich die Hintertür besser mit legitimem und gutartigem Datenverkehr verbinden kann.“
„Diese Technik ermöglicht es dem Bedrohungsakteur, netzwerkbasierte Erkennungen besser zu umgehen. Es lohnt sich jedoch, zu wiederholen, dass diese Backdoor derzeit auf lokale Exchange-Server abzielt, die angesichts einer großen Verschiebung in die Cloud sicherlich seltener werden.“
3. IT-Mitarbeiter imitiert Ransomware-Bande, um Arbeitgeber zu erpressen
Achtundzwanzig Jahre alt, im Vereinigten Königreich ansässig, wurde Ashley Liles wegen unbefugtem Computerzugriff mit krimineller Absicht und Erpressung seines Arbeitgebers verurteilt.
Bereits im Jahr 2018 arbeitete Liles als IT-Sicherheitsanalyst bei einem in Oxford ansässigen Unternehmen. In diesem Jahr erlebte sein Unternehmen einen 27. Februar Cybersicherheitsvorfall, bei dem der Bedrohungsakteur Zugang zu einem Teil seiner Computersysteme erhielt. Der Angreifer benachrichtigte dann leitende Mitglieder des Unternehmens, die ein Lösegeld verlangten.
Von dort wurden die Dinge nur merkwürdiger.
Dank seiner Position wurde Liles mit der Untersuchung des Vorfalls beauftragt, während dessen die Angreifer die Führungskräfte des Unternehmens kontaktierten und eine Lösegeldzahlung verlangten. Liles spielte eine bedeutende Rolle bei den internen Untersuchungen und Vorfallreaktionsaktivitäten der Organisation, die von Liles Kollegen im Unternehmen und Mitgliedern der lokalen Strafverfolgung unterstützt wurden.
An diesem Punkt entdeckte Liles eine Möglichkeit, den Cybersicherheitsvorfall zu nutzen und den Verstoß zu nutzen, um sich finanziell zu nutzen, indem er den bestehenden Vorfall „Piggybacking“ ableitete und versuchte, die potenzielle Lösegeldzahlung in eine Kryptowährungsgeldbörse unter seiner Kontrolle umzuleiten.
BleepingComputer berichtet, dass Liles während der Vorfallreaktionsphase (eröffnet sich in einer neuen Registerkarte) versuchte, sich „von dem Angriff zu bereichern, indem er seinen Arbeitgeber dazu verleitete, ihm ein Lösegeld anstelle des ursprünglichen externen Angreifers zu zahlen.“
Wie in der Pressemitteilung von SEROCU angegeben, „griff er mehr als 300 Mal auf die privaten E-Mails eines Vorstandsmitglieds zu, änderte die ursprüngliche Erpressungs-E-Mail und änderte die vom ursprünglichen Angreifer angegebene Zahlungsadresse. Das war in der Hoffnung, dass die Zahlung an ihn statt an den ursprünglichen Angreifer erfolgen würde.“
Liles ging sogar so weit, eine E-Mail-Adresse zu erstellen, die fast identisch mit derjenigen war, die der eigentliche Angreifer verwendete, und nutzte das Konto, um seinem Arbeitgeber eine Nachricht zu senden, und drängte sie, der Lösegeldforderung nachzugeben und die Zahlung zu leisten.
Unbekannt sowohl für seinen Arbeitgeber als auch für die Polizei hatte Liles effektiv einen „separaten und sekundären“ Angriff gegen das Unternehmen begonnen – der bereits an einer anderen Front einen tatsächlichen Ransomware-Angriff bekämpfte.
Leider war der Eigentümer des Unternehmens für Herrn Liles nicht daran interessiert, die Angreifer zu bezahlen, und nachfolgende interne Untersuchungen ergaben schnell den Verstoß von Liles – der zu diesem Zeitpunkt wiederholten unbefugten Zugriff auf private Unternehmens-E-Mails umfasste – Zugriff, der echte Ermittler direkt auf seine private IP-Adresse verwies.
Zu diesem Zeitpunkt hatte Liles offenbar damit begonnen, die Wände zu erfassen, die sich an ihm schließen, und begann damit, alle Daten von seinen persönlichen Geräten zu löschen – eine Aufgabe, die er erfolgreich erledigt hatte, als sein Zuhause vom Cyberkriminalitätsteam von SEROCU ausgesucht und sein Computer beschlagnahmt wurde. Leider wurden für den benachteiligten Herrn Liles genügend belastende Daten von den Ermittlern wiederhergestellt, um einen Fall gegen ihn zu erstellen.
Für die nächsten fünf Jahre wies Liles jegliche Beteiligung an der Straftat zurück. Bei einer kürzlichen Anhörung am Reading Crown Court bekannte er sich jedoch schließlich allen Vorwürfen schuldig. Die Sätze werden am übergeben 11. Juli 2023.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Wir sprechen oft von Insider-Bedrohungen und zählen sie kontinuierlich zu den ernsthaften Cyber-Bedrohungen, mit denen Organisationen konfrontiert sind, aber die Entdeckung aller luriden Details eines Falls wie dieser ist etwas selten.“
„Während die technischen Details des Falls schlank sind, dient sie als Erinnerung an die Art von Schaden, der von einer unglücklichen Person verursacht werden kann, die zu viel Spielraum hat. Sicherheitsanalystenpositionen sind in der Regel gut bezahlte Stellen, die dem Mitarbeiter in der Regel ein erhebliches Maß an Zugriff und Privileg bieten. Bedrohungsakteure sind sich dieser Fakten genauso bewusst wie wir. Das soll nicht darauf hindeuten, dass Bedrohungsakteure Sicherheitspositionen durch die Bootslast beantragen. Aber es gab Vorfälle, bei denen Bedrohungsakteure diese Art von Mitarbeiter für Bestechung, Nötigung oder Erpressung anvisiert haben, um Insider zu gewinnen, die ihnen helfen, böswillige Aktivitäten zu erleichtern.“
Wie Help Net (wird in einer neuen Registerkarte geöffnet) erklärt:
Während einige Insider-Bedrohungen auf Fahrlässigkeit oder Unwissenheit zurückzuführen sein können, zeigt dieser Fall ein hässlicheres Szenario, an dem eine böswillige, opportunistische Person beteiligt ist. Schädliche Insider nutzen ihren autorisierten Zugang und ihre Privilegien aus, um sich an schädlichen, unethischen oder illegalen Aktivitäten zu beteiligen.
Haben Sie Einblick in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium , um ein Gespräch zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
