Den Auftakt in unserem Wochenrückblick bildet der Bericht von CTI über eine Studie von Proofpoint, aus der hervorgeht, dass staatlich geförderte Hacker weltweit zunehmend kleine und mittlere Unternehmen (KMU) ins Visier nehmen und kompromittierte Infrastruktur nutzen, um weitere Kampagnen gegen andere kleine Unternehmen, Regierungen, Militärs und große Konzerne zu starten. Anschließend analysiert CTI einen Bericht von Fortinet über eine neue, auf PowerShell basierende Malware namens „PowerExchange“, die bei Angriffen eingesetzt wird, deren Ziel es ist, Hintertüren in lokal installierten Microsoft Exchange-Servern zu implantieren. Abschließend rundet CTI den Beitrag mit einem Blick auf einen interessanten Fall ab, bei dem es sowohl um einen Ransomware-Angriff als auch um eine Insider-Bedrohung geht.
1. Staatlich unterstützte Angreifer nehmen kleine und mittlere Unternehmen ins Visier
Laut Proofpoint nehmen staatlich geförderte Hacker, die von den Regierungen von Russland, Iran und Nordkorea unterstützt werden (wird in einem neuen Tab geöffnet) , weltweit zunehmend kleine und mittlere Unternehmen ins Visier. Diese Angriffe zielen darauf ab, die kompromittierte Infrastruktur als Ausgangspunkt für weitere Kampagnen zu nutzen, bei denen die Angreifer sowohl andere kleine und mittlere Unternehmen als auch Regierungsstellen, Militärs und große Konzerne ins Visier nehmen.
Die Forscher von Proofpoint führten eine rückwirkende Analyse von kleinen und mittleren Unternehmen (KMU) durch, die im ersten Quartal des Jahres 2022 bis einschließlich des ersten Quartals des Jahres 2023 Ziel von Akteuren im Rahmen fortgeschrittener, hartnäckiger Bedrohungen (APT) waren. Dank der einzigartigen Einblicke des Unternehmens in die sogenannte „Proofpoint Essentials“-Telemetrie ermöglicht der Sicherheitsanbieter Forschern, die wichtige Trends in der Cyberbedrohungslandschaft identifizieren möchten, Einblicke in mehr als 200.000 kleine und mittlere Unternehmen (KMU) – wobei der Schwerpunkt auf der Beobachtung jener Akteure liegt, die eine besondere Bedrohung für KMU weltweit darstellen.
Anhand dieser wertvollen Daten identifizierte Proofpoint verschiedene APT-Akteure, die es auf kleine und mittlere Unternehmen abgesehen hatten. Die Forscher gehen davon aus, dass diese Akteure mit den Regierungen Russlands, des Irans und Nordkoreas in Verbindung stehen und Berichten zufolge Operationen zur Unterstützung der staatlichen Interessen dieser Länder durchführen.
Die wichtigsten Angriffstrends, die auf kleine und mittlere Unternehmen abzielen
Forscher von Proofpoint haben drei Haupttrends bei Angriffen auf kleine und mittlere Unternehmen (KMU) mit 2022 bis 2023 Mitarbeitern ermittelt. Dazu gehören:
- Die Nutzung kompromittierter SMB-Infrastrukturen in „ “-Phishing-Kampagnen.
- Regionale Angriffe auf kleine und mittlere Unternehmen durch staatlich unterstützte Akteure zum Zwecke des Finanzdiebstahls.
- Anfällige regionale Managed-Services-Anbieter (regionale MSPs) werden Ziel von Phishing-Angriffen, wodurch die Gefahr von Angriffen auf die Lieferkette kleiner und mittlerer Unternehmen entsteht. Regionale MSPs sind kleine bis mittelgroße MSPs, die Kunden in einem begrenzten geografischen Gebiet betreuen.
Nutzung kompromittierter SMB-Infrastruktur in APT-Kampagnen
Einer der interessantesten Trends, der sich aus der Analyse von Proofpoint abzeichnet, ist die Nutzung kompromittierter SMB-Infrastrukturen durch APT-Akteure, um Phishing-Kampagnen gegen sekundäre, besonders wertvolle Ziele zu ermöglichen.
Wie die Forscher hervorheben, bestand ein typisches Beispiel für solche Aktivitäten darin, dass ein Angreifer einen Webserver oder ein E-Mail-Konto eines kleinen oder mittleren Unternehmens erfolgreich kompromittierte.
Die Art und Weise des erstmaligen Zugangs war unterschiedlich. Die Infiltration könnte durch das Ausspähen von Zugangsdaten oder – im Falle eines Webservers – durch die Ausnutzung einer nicht gepatchten Sicherheitslücke erfolgt sein. Unabhängig vom Einfallstor wird eine kompromittierte E-Mail-Adresse häufig dazu genutzt, bösartige E-Mails von einer „vertrauenswürdigen Quelle“ an attraktive Sekundärziele zu versenden.
Wie Proofpoint hervorhebt, würde der nächste Schritt – sollte es einem Angreifer gelingen, einen Webserver zu kompromittieren, auf dem eine Domain gehostet wird – höchstwahrscheinlich darin bestehen, diese legitime Infrastruktur zu missbrauchen, um darüber schädliche Malware zu hosten oder an ein vorgelagertes Opfer eines Drittanbieters zu übermitteln.
Drei Beispiele aus der Praxis
Beispiel aus der Praxis: TA473
Der Bericht führt einen Fall aus der Praxis an, in dem Forscher von Proofpoint beobachteten, wie eine kompromittierte SMB-Infrastruktur von dem APT-Akteur genutzt wurde, den das Unternehmen unter der Bezeichnung TA473 (Winter Vivern) verfolgt, und zwar im Rahmen von Phishing-Kampagnen, die zwischen dem November 2022 und dem Februar 2023 stattfanden.
Von Proofpoint:
Diese Kampagnen richteten sich gegen staatliche Stellen in den USA und in Europa. In dem Bericht „ März 2023“ veröffentlichte Proofpoint Einzelheiten zu TA473’s Weiterleitungs-E-Mails, die von kompromittierten E-Mail-Adressen versendet wurden. In mehreren Fällen stammten diese E-Mails von WordPress-gehosteten Domains, die zum Zeitpunkt des Angriffs möglicherweise nicht auf den neuesten Stand gebracht oder unsicher waren. Darüber hinaus wurden nicht gepatchte Zimbra-Webmail-Server ausgenutzt, um E-Mail-Konten von staatlichen Stellen zu kompromittieren. Neben dem Versand von E-Mails über kompromittierte SMB-Infrastrukturen hat die Gruppe „ TA473 “ auch kompromittierte Domains kleiner und mittlerer Unternehmen genutzt, um Malware-Nutzlasten zu verbreiten.
Beispiel aus der Praxis: TA422
Ein weiteres reales Szenario betraf die routinemäßige Vortäuschung der Identität eines KMU (mit Sitz in Saudi-Arabien und aus der Automobilbranche) im Rahmen einer Phishing-Kampagne – deren Ziel die Erlangung von Zugangsdaten war.
Die Kampagne richtete sich gegen private E-Mail-Adressen von Opfern in den USA und der Ukraine und wurde der Gruppe „ TA422 “ (auch bekannt als „APT28“) zugeschrieben, einem staatlich geförderten Akteur, der mit dem russischen Militärgeheimdienst GRU in Verbindung steht. Abgesehen davon, dass die Kampagne deutlich machte, dass ukrainische Organisationen weiterhin im Visier von APTs mit Verbindungen zu Russland stehen, umfasste sie zudem die Vortäuschung einer Organisation aus dem Nahen Osten, um Opfer in den USA und Europa anzugreifen.
Von Proofpoint:
Der Angreifer fügte die gefälschte Adresse in das „MailTo“-Feld des E-Mail-Headers ein, vermutlich um seine Social-Engineering-Maßnahmen zu verstärken und so den Anschein zu erwecken, er sei die imitierte Organisation. Diese Identitätsfälschung über das „MailTo“-Feld hat jedoch zur Folge, dass nicht zugestellte E-Mails an die legitime Domain zurückgesendet werden, deren Identität der Angreifer vortäuscht. Daher ermöglichte dieser unbeabsichtigte Nebeneffekt der abgelehnten E-Mails den Forschern von Proofpoint Einblicke in die Seiten zum Sammeln von Anmeldedaten von TA422 , die die folgenden Subdomains nutzten, um Phishing-Seiten zum Abgreifen von Anmeldedaten zu hosten: 42web[.]io und frge[.]io.
Beispiel aus der Praxis: TA499
Das dritte und letzte Beispiel aus der Praxis, das im Bericht von Proofpoint angeführt wurde, betraf einen schwerwiegenden Fall von APT-Identitätsbetrug, der sich im Jahr Mai 2022 ereignete. Der von Proofpoint als „ TA499 “ (auch bekannt als „Vovan“ oder „Lexus“) identifizierte Angreifer – ein in Russland ansässiger und mit dem Staat verknüpfter Akteur, der regelmäßig hochrangige, pro-ukrainisch eingestellte Persönlichkeiten zu Telefonkonferenzen mit politischen Themen einlädt – hatte es auf ein mittelständisches Unternehmen abgesehen, das sich in den USA mit der Vertretung von Prominenten befasst.
Von Proofpoint:
TA499 versuchte, eine bekannte amerikanische Persönlichkeit zu einer Videokonferenz über den Konflikt in der Ukraine zu bewegen, indem er sich als der ukrainische Präsident Wolodymyr Selenskyj ausgab. Proofpoint konnte diese Kampagne der Gruppe „ TA499 “ zuordnen, und zwar auf der Grundlage einer Reihe von E-Mail-Adressen und Domains, die von dieser Gruppe kontrolliert wurden und die diese im Laufe des Jahres 2022 durchgängig nutzte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Aus den im Bericht von Proofpoint dargelegten Gesamtergebnissen geht eindeutig hervor, dass staatlich geförderte APT-Akteure zunehmend versuchen, kleine und mittlere Unternehmen – von denen viele anfällig für Angriffe sind – sowie regionale MSPs ins Visier zu nehmen, um die staatlich vorgegebenen Anforderungen an die Informationsbeschaffung zu erfüllen.“
„Aus den oben beschriebenen Erkenntnissen geht zudem deutlich hervor, dass eben diese staatlich unterstützten Gruppen bestrebt und bereit sind, die Kompromittierung der Infrastruktur kleiner und mittlerer Unternehmen (KMU) zu nutzen, um Folgeangriffe auf hochrangige Ziele zu erleichtern, die mit größerer Wahrscheinlichkeit weitaus mehr verwertbare Erkenntnisse liefern.“
2. Neue „PowerExchange“-Malware erschließt Hintertüren in Microsoft Exchange-Servern
Fortinet hat eine neue, auf PowerShell basierende Malware namens „PowerExchange“ entdeckt, die bei Angriffen eingesetzt wird, deren Ziel es ist, Hintertüren in lokal installierten Microsoft Exchange-Servern einzuschleusen. Es wird davon ausgegangen, dass diese Aktivität mit der als „ APT34“ bekannten iranischen Bedrohungsgruppe in Verbindung steht.
Fortinet hat im vergangenen Jahr mehrere gleichzeitige Angriffe auf eine staatliche Einrichtung in den Vereinigten Arabischen Emiraten beobachtet, von denen einer bis heute noch nicht identifiziert worden war. Wie sich herausstellte, handelte es sich bei diesem Fall um die Malware „PowerExchange“. Das Command-and-Control-Protokoll (C2) der Backdoor basiert auf E-Mail und nutzt den Microsoft Exchange-Server des Opfers als C2 -Server.
Weitere Untersuchungen ergaben, dass die Hintertür auch auf weiteren Endgeräten innerhalb der Umgebung vorhanden war, wobei sich mehrere weitere Implantate auf verschiedenen Servern befanden. Ein solches Implantat, das sich auf einem Microsoft Exchange-Server befand, war eine als „ExchangeLeech“ bekannte Web-Shell.
Die Infektionskette dieses Angriffs begann mit einer klassischen Phishing-E-Mail. Das Opfer öffnete eine ZIP-Datei mit dem Namen „Brochure.zip“, die eine bösartige .NET-Ausführungsdatei mit demselben Namen enthielt. Die Datei, eine ausführbare Datei mit einem Adobe-PDF-Symbol, wurde in einen temporären Ordner verschoben und zeigte beim Ausführen eine Fehlermeldung an. Bei der ausführbaren Datei handelt es sich tatsächlich um einen Dropper, der die Installation und Ausführung der eigentlichen Schadsoftware ermöglicht. Dabei werden drei Dateien erstellt: „autosave.exe“, „wsdl.ps1“ und „Microsoft.Exchange.WebServices.dll“. Der Dropper richtet anschließend die Persistenz für „autosave.exe“ über eine geplante Aufgabe ein, die regelmäßig in Abständen von fünf Minuten ausgeführt wird. „Autosave.exe“ führt die abschließende PowerShell-Nutzlast – „wsdl.ps1 “ – in einem neuen Prozess aus.
Über die „PowerExchange“-Backdoor
- Die Backdoor „PowerExchange“ verdankt ihren Namen der Funktionsweise ihres Kanals C2 , da sie die Exchange Web Services (EWS)-API nutzt, um eine Verbindung zum Exchange-Server des Opfers herzustellen, und Postfächer zum Senden und Empfangen von Befehlen verwendet.
- Zu diesem Zweck wird eine .NET-DLL über Reflection aus demselben Ordner geladen. The Exchange server is accessible from the internet, saving C2 communication to external servers and acting as a proxy for the threat actor.
- Die Hintertür stellt eine Verbindung zum Exchange-Server her und sendet den Computernamen „ base64-encoded “ an ein Postfach, um anzuzeigen, dass sie aktiv ist. Die E-Mail-Adresse und die Anmeldedaten sind fest in der Backdoor selbst hinterlegt. Der Betreiber kann daraufhin weitere Postfächer angeben, an die die Hintertür in der aktuellen Sitzung ein Signal senden soll, oder die ID einer E-Mail, aus der ein Befehl abgerufen und ausgeführt werden soll.
- Um Daten zu versenden, erstellt die Hintertür eine E-Mail mit dem Betreff „Update Microsoft Edge“. Der Textkörper dieser E-Mail besteht lediglich aus dem Wort „Microsoft Edge-Update“. Die Daten selbst werden als Anhang in der E-Mail mit dem Betreff „New Text Document.txt“ übermittelt.
- Befehle werden als nicht aufgefüllter, im base64 -Format kodierter Inhalt in E-Mail-Anhängen an die Backdoor gesendet. Die Hintertür unterstützt drei bestimmte Befehle, indem sie den Status vorgegebener Variablen nach der Auswertung der Ausdrücke überprüft. Die Antworten werden per E-Mail an dieselbe E-Mail-Adresse gesendet, von der die Befehlsnachricht eingegangen ist.
Quellenangabe: APT34
Fortinet hat die Kampagne, bei der die „PowerExchange“-Backdoor zum Einsatz kam, der iranischen Hackergruppe „ APT34“ zugeschrieben, die in der Vergangenheit bereits eine Reihe von Branchen ins Visier genommen hat, darunter den Finanzsektor, den öffentlichen Sektor, die Energiebranche, die chemische Industrie und die Telekommunikationsbranche. Die Gruppe nutzt häufig Beziehungen zwischen Organisationen aus, um Angriffe auf die Lieferkette durchzuführen.
PowerExchange weist eine ganze Reihe von Ähnlichkeiten mit der TriFive-Backdoor auf, die zuvor mit APT34 in Verbindung gebracht wurde. Die Backdoors sind beide in PowerShell geschrieben, werden durch eine regelmäßig geplante Aufgabe aktiviert, und die C2 Kanäle nutzen den Exchange-Server der Organisation über die EWS-API. Der beiden Programmen zugrunde liegende Code unterscheidet sich zwar, es wird jedoch davon ausgegangen, dass PowerExchange lediglich eine neue und verbesserte Version von TriFive ist.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
“This campaign uses the victim’s Exchange server for its C2 communication, allowing the backdoor to better blend in with legitimate and benign traffic."
„Diese Technik ermöglicht es dem Angreifer, netzwerkbasierte Erkennungsmaßnahmen besser zu umgehen. Es sei jedoch noch einmal betont, dass diese Hintertür derzeit auf lokal betriebene Exchange-Server abzielt, die angesichts des umfassenden Wandels hin zur Cloud zweifellos immer seltener werden.“
3. IT-Mitarbeiter gibt sich als Mitglied einer Ransomware-Bande aus, um seinen Arbeitgeber zu erpressen
Der 28-jährige Ashley Liles, der in Großbritannien wohnt, wurde wegen unbefugten Zugriffs auf Computersysteme in krimineller Absicht sowie wegen Erpressung seines Arbeitgebers verurteilt.
Im Jahr 2018 war Herr Liles als IT-Sicherheitsanalyst bei einem Unternehmen mit Sitz in Oxford tätig. Am 27. Februar desselben Jahres kam es in seinem Unternehmen zu einem Cybersicherheitsvorfall, bei dem sich der Angreifer Zugang zu einem Großteil der Computersysteme verschaffte. Der Angreifer benachrichtigte daraufhin führende Mitarbeiter des Unternehmens und forderte ein Lösegeld.
Von da an wurde es nur noch seltsamer.
Aufgrund seiner Position wurde Liles mit der Untersuchung des Vorfalls beauftragt – bei dem die Angreifer Kontakt zu den Führungskräften des Unternehmens aufnahmen und Lösegeld forderten. Herr Liles spielte eine wichtige Rolle bei den internen Ermittlungen und Maßnahmen zur Vorfallbewältigung der Organisation, wobei er von seinen Kollegen im Unternehmen sowie von Angehörigen der örtlichen Strafverfolgungsbehörden unterstützt wurde.
Zu diesem Zeitpunkt erkannte Liles eine Gelegenheit, den Cybersicherheitsvorfall zu seinem Vorteil zu nutzen: Er machte sich die Sicherheitslücke zunutze, um sich finanziell zu bereichern, indem er sich an den bestehenden Vorfall „anhängte“ und versuchte, die potenzielle Lösegeldzahlung auf eine von ihm kontrollierte Kryptowährungs-Wallet umzuleiten.
BleepingComputer berichtet, dass (öffnet in einem neuen Tab) Liles während der Phase der Vorfallbewältigung bei „ “ versucht habe, „sich durch den Angriff zu bereichern, indem er seinen Arbeitgeber dazu brachte, das Lösegeld an ihn statt an den ursprünglichen externen Angreifer zu zahlen“.
Wie in der Pressemitteilung von SEROCU heißt es: „Er griff mehr als 300 Mal auf die privaten E-Mails eines Vorstandsmitglieds zu und änderte zudem die ursprüngliche Erpressungs-E-Mail sowie die vom ursprünglichen Angreifer angegebene Zahlungsadresse.“ „Dies geschah in der Hoffnung, dass eine etwaige Zahlung an ihn und nicht an den ursprünglichen Angreifer erfolgen würde.“
Liles ging sogar so weit, eine E-Mail-Adresse einzurichten, die fast identisch mit der des tatsächlichen Angreifers war, und nutzte dieses Konto, um seinem Arbeitgeber eine Nachricht zu senden, in der er Druck ausübte, der Lösegeldforderung nachzugeben und die Zahlung zu leisten.
Ohne dass sein Arbeitgeber oder die Polizei davon wussten, hatte Liles faktisch einen „separaten und sekundären“ Angriff auf das Unternehmen gestartet – das bereits an einer anderen Front gegen einen tatsächlichen Ransomware-Angriff zu kämpfen hatte.
Zum Leidwesen von Herrn Liles war der Firmeninhaber nicht daran interessiert, die Angreifer zu bezahlen, und anschließende interne Ermittlungen deckten Liles’ Verrat rasch auf – der zu diesem Zeitpunkt bereits wiederholte unbefugte Zugriff auf vertrauliche E-Mails des Unternehmens umfasste –, wodurch die Ermittler direkt auf seine private IP-Adresse zu Hause geführt wurden.
Zu diesem Zeitpunkt hatte Liles offenbar bereits gespürt, dass ihm die Schlinge um den Hals immer enger wurde, und damit begonnen, alle Daten von seinen privaten Geräten zu löschen – eine Aufgabe, die er bereits erfolgreich abgeschlossen hatte, als seine Wohnung vom SEROCU-Team für Cyberkriminalität durchsucht und sein Computer beschlagnahmt wurde. Zum Leidwesen des in Bedrängnis geratenen Herrn Liles konnten die Ermittler genügend belastende Daten wiederherstellen, um ein Verfahren gegen ihn einzuleiten.
In den folgenden fünf Jahren bestritt Liles jegliche Beteiligung an der Straftat. Bei einer kürzlich stattgefundenen Verhandlung vor dem Crown Court in Reading bekannte er sich jedoch schließlich in allen Anklagepunkten für schuldig. Die Urteilsverkündung findet am 11. Juli 2023 statt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Wir sprechen oft von Insider-Bedrohungen und zählen sie stets zu den schwerwiegenden Cyberbedrohungen, denen Unternehmen ausgesetzt sind, doch ist es eher selten, dass alle schockierenden Details eines solchen Falls ans Licht kommen.“
„Auch wenn nur wenige technische Details zu diesem Fall bekannt sind, dient er doch als Mahnung dafür, welchen Schaden ein einzelner Unruhestifter anrichten kann, dem zu viel Spielraum eingeräumt wird.“ Stellen als Sicherheitsanalysten sind in der Regel gut bezahlte Tätigkeiten, die dem Mitarbeiter meist ein hohes Maß an Zugriffsrechten und Privilegien gewähren. Die Angreifer sind sich dieser Tatsachen ebenso bewusst wie wir. Das soll jedoch nicht heißen, dass sich Angreifer in Scharen auf Stellen im Sicherheitsbereich bewerben. „Es gab jedoch Fälle, in denen Angreifer genau diese Art von Mitarbeitern ins Visier genommen haben, um sie durch Bestechung, Nötigung oder Erpressung dazu zu bringen, ihnen bei der Durchführung böswilliger Aktivitäten zu helfen.“
Wie „ “ auf Help Net (wird in einem neuen Tab geöffnet) erläutert:
Zwar können manche Bedrohungen durch Insider auf Fahrlässigkeit oder Unwissenheit zurückzuführen sein, doch verdeutlicht dieser Fall ein weitaus bedrohlicheres Szenario, bei dem eine böswillige, opportunistische Person im Spiel ist. Böswillige Insider nutzen ihren autorisierten Zugriff und ihre Berechtigungen aus, um schädliche, unethische oder illegale Handlungen zu begehen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyberbedrohungen im Rahmen der „ “.
