In der Zusammenfassung dieser Woche untersucht CTI eine aktive Kampagne der staatlich gestützten Gruppe „ APT28 “, bei der der Angreifer eine kritische Sicherheitslücke in Outlook ausnutzt, um sensible Informationen zu stehlen. Anschließend untersucht CTI die wichtigsten Merkmale von Phishing-E-Mails mit QR-Code- , darunter die häufigsten Quellen, Betreffzeilen und Domains, die Angreifer bei ihren Angriffen nutzen. CTI analysiert zudem einen kürzlich erfolgten Angriff auf einen öffentlich zugänglichen MSSQL-Server, der zur Installation der Ransomware „BlueSky“ führte.
1. APT28 nutzt eine kritische Sicherheitslücke in Outlook aus
Die vom Kreml unterstützte Gruppe „ “ APT28 (öffnet in einem neuen Tab) (auch bekannt als „ “ und „Fancy Bear“) nutzt aktiv eine inzwischen behobene kritische Sicherheitslücke im E-Mail-Dienst Outlook aus. APT28 nutzt CVE-2023-23397 (öffnet in einem neuen Tab) aus, um sich unbefugten Zugriff auf Microsoft Exchange-Konten zu verschaffen und sensible Informationen zu stehlen.
CVE-2023-23397 ist eine Sicherheitslücke in Microsoft Outlook unter Windows, die eine Eskalation kritischer Berechtigungen ermöglicht ( ) (wird in einem neuen Tab geöffnet) . Um diese Sicherheitslücke auszunutzen, sendet der Angreifer eine speziell gestaltete Nachricht an einen Nutzer. Der Angreifer kann den Wert für „PidLidReminderFileParameter“ festlegen, um ein Net-NTLMv2 -Hash-Leck an die von ihm kontrollierten Server auszulösen. Das Opfer muss nicht auf die E-Mail reagieren. Solange Outlook geöffnet ist, wenn die Erinnerung ausgelöst wird, kommt es zur Ausnutzung der Sicherheitslücke.
Alle Versionen von Outlook unter Windows waren von dieser Sicherheitslücke betroffen, während Outlook für Android, iOS, Mac und OWA nicht betroffen waren. Microsoft hat Hinweise auf eine mögliche Ausnutzung dieser Sicherheitslücke auf die Website April 2022 zurückverfolgt. Diese Sicherheitslücke wurde erstmals im März 2023 gemeldet, und seitdem wurde ein Patch zur Verfügung gestellt.
Über APT28
Obwohl diese Sicherheitslücke bereits vor einigen Monaten bekannt wurde, hat Microsoft kürzlich bestätigt, dass die Gruppe „ APT28 “ sie aktiv ausnutzt. „APT28 “ – auch bekannt als „Forest Blizzard“ und „Fancy Bear“ – ist eine russische Hackergruppe, die dem Hauptnachrichtendienst des Generalstabs der russischen Streitkräfte (GRU) zugeschrieben wird.
Die Gruppe ist seit mindestens 2004 aktiv und greift in der Regel Regierungsstellen, Energieunternehmen, Verkehrsunternehmen sowie Nichtregierungsorganisationen in den Vereinigten Staaten, Europa und dem Nahen Osten an. Es ist bekannt, dass APT28 bei ihren Angriffen öffentlich zugängliche Exploits nutzt und einen Großteil der Zeit im Rahmen der Operation „ September 2023 “ damit verbrachte, die WinRAR-Sicherheitslücke (CVE-2023-38831) gegen Ziele der ukrainischen Regierung auszunutzen. Es wird davon ausgegangen, dass die Gruppe über umfangreiche Ressourcen verfügt und gut ausgebildet ist, ihre Vorgehensweisen kontinuierlich verfeinert und neue, maßgeschneiderte Malware einsetzt.
APT28 nutzt nun bei seinen Angriffen aktiv die seit neun Monaten bekannte Sicherheitslücke in Outlook aus, um sich unbefugten Zugriff auf E-Mail-Konten auf Exchange-Servern zu verschaffen. Microsoft hat in Zusammenarbeit mit dem polnischen Cyberkommando (DKWOC) diese jüngsten Aktivitäten analysiert.
Nach der Ausnutzung der Outlook-Sicherheitslücke ändert „ APT28 “ in der Regel die Ordnerberechtigungen im Postfach des Opfers, um jedem authentifizierten Nutzer innerhalb der Organisation den Zugriff zu ermöglichen. Dies ermöglicht es dem Angreifer, über jedes kompromittierte E-Mail-Konto innerhalb der Exchange-Organisation mithilfe des Exchange Web Services (EWS)-Protokolls auf Postfächer mit wertvollen Informationen zuzugreifen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
APT28 ist eine erfolgreiche Hackergruppe, der regelmäßig neue böswillige Aktivitäten zugeschrieben werden.
Zwar ist die Gruppe „ APT28 “ einfallsreich, doch ist sie auch dafür bekannt, Sicherheitslücken kurz nach deren Bekanntwerden auszunutzen. Daher ist das Installieren kritischer Patches von entscheidender Bedeutung für den Schutz vor APT28 -Angriffen.
2. QR-Phishing-Kampagnen werden immer komplexer
Ein neuer Bericht von Cofense beschreibt die wichtigsten Merkmale von QR-Code-Phishing-E-Mails unter dem Titel „ “ (wird in einem neuen Tab geöffnet) und behandelt dabei die Quellen, Betreffzeilen und Arten von Domains, die Angreifer bei diesen Kampagnen häufig nutzen. Zu den typischen Merkmalen von Phishing-E-Mails mit QR-Codes zählen Captcha, MFA sowie URLs, die eine offene Weiterleitung zu einer Seite zum Abfangen von Anmeldedaten enthalten.
Cofense hat seine „Active Threat Reports“ (ATRs) auf alle Berichte mit QR-Codes überprüft. Sie stellten fest, dass Kampagnen mit Captcha sowohl beim QR-Code-Phishing als auch beim gesamten Phishing nach Zugangsdaten am beliebtesten waren. Das MFA-Tag war in allen Berichten über Phishing-Angriffe mit Ziel auf Zugangsdaten am wenigsten verbreitet, belegte jedoch bei den Berichten über QR-Codes knapp den zweiten Platz. Darüber hinaus nutzten 29 % ihrer QR-Code-Berichte in irgendeiner Form eine MFA-Funktion, was darauf hindeutet, dass diese Kampagnen mittlerweile möglicherweise vielfältiger sind als noch vor wenigen Monaten.
Quellen der QR-Code-Bilder
QR-Codes wurden bislang in der Regel über Bilder bereitgestellt, die in eine E-Mail eingebettet waren. Da die Tools jedoch mittlerweile besser darin sind, QR-Codes auf diese Weise zu erkennen und zu scannen, suchen Angreifer zunehmend nach alternativen Übertragungswegen.
Eine neue alternative Methode – die allerdings nur bei etwa 3 % der Kampagnen zum Einsatz kommt – ist die Nutzung der Google-API zur Erstellung eines QR-Codes. Dieser QR-Code wird dann in der E-Mail oder im HTML-Anhang als externes Bild verlinkt. Über diese URL wird ein QR-Code generiert, der einen Link zu einer vom Angreifer frei wählbaren URL enthält, die Teil der „googleapis[.]com“-URL ist. Diese Methode könnte vorerst unentdeckt bleiben, da die meisten E-Mail-Gateways externe Bilder ignorieren.
Eine häufigere alternative Methode besteht darin, eine angehängte Datei zu verwenden, in die ein QR-Code eingebettet ist. Cofense stellte fest, dass bei 17 % der von ihnen beobachteten QR-Code-basierten Kampagnen Anhänge zum Einsatz kamen – eine Zahl, von der das Unternehmen erwartet, dass sie in naher Zukunft weiter steigen wird.
Häufige Betreffzeilen bei Phishing-E-Mails mit QR-Codes
Cofense stellte fest, dass E-Mails mit QR-Codes zu 29 % Themen im Zusammenhang mit der Multi-Faktor-Authentifizierung (MFA) betrafen. Zudem stellen sie zunehmend fest, dass Inhalte, die eine Schwärzung erfordern, immer häufiger personenbezogene Daten enthalten.
Domain-Typen
Es ist möglich, verschiedene Arten von URLs in einen QR-Code einzubetten. Eine Art von URL ist eine legitime Domain, die für Weiterleitungen verwendet werden kann. Angreifer nutzen gelegentlich auch Linkverkürzer wie Bitly. Es wurde festgestellt, dass Domains, die zu einem der QR-Code-Domain-Kürzer gehören, in rund 7 % der Fälle verwendet wurden. Der häufigste Domain-Typ mit einem Anteil von 62 % waren bösartige oder kompromittierte Domains.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Zwar lassen sich anhand dieser Analyse keine bahnbrechenden TTPs im Zusammenhang mit QR-Code-basierten Phishing-Kampagnen feststellen, doch deutet sie darauf hin, dass diese Kampagnen möglicherweise vielfältiger werden, als wir ursprünglich angenommen hatten.
Als das Phishing mit QR-Codes erstmals aufkam, wiesen die meisten E-Mails allgemeine Betreffzeilen auf, die sich auf die Zwei-Faktor-Authentifizierung (MFA) oder das Zurücksetzen von Passwörtern bezogen. Derzeit beobachten wir vermehrt gezielte Phishing-Angriffe mittels QR-Codes, deren Betreffzeilen persönliche Angaben oder bestimmte Datumsangaben enthalten. Wir beobachten zudem, dass Angreifer ihre Vorgehensweise anpassen, da immer mehr Lösungen zur Erkennung von QR-Code-Phishing verfügbar werden, was darauf hindeutet, dass wir noch einige Zeit mit QR-Code-basiertem Phishing rechnen müssen.
3. Ein SQL-Brute-Force-Angriff führt zur BlueSky-Ransomware
Der DFIR-Bericht hat kürzlich einen Angriff vom Typ „ “ auf einen öffentlich zugänglichen MSSQL-Server festgestellt: (wird in einem neuen Tab geöffnet) , der zur Installation der Ransomware „BlueSky“ führte. Die Zeit bis zum Einsatz der Ransomware bei diesem Angriff betrug lediglich 32 Minuten. Es ist bekannt, dass die Ransomware „BlueSky“ Verbindungen zu den durchgesickerten Quellcodes von „Conti“ und „Babuk“ aufweist.
Vor etwa einem Jahr stellte der DFIR-Bericht eine Häufung von Aktivitäten fest, die auf MSSQL-Server abzielten. Diese Aktivität begann mit Brute-Force-Angriffen auf das Passwort des MS-SQL-Systemadministrator-Kontos auf einem Server mit Internetanbindung. Vor einer erfolgreichen Anmeldung wurden über 10 000 fehlgeschlagene Anmeldeversuche verzeichnet. Nachdem der Angreifer das Passwort ermittelt hatte, aktivierte er „xp_cmdshell“, um Shell-Befehle auf dem Host ausführen zu können.
- Die Angreifer begannen mit einem PowerShell-Befehl, um eine Verbindung zu einem Cobalt Strike C2 -Server herzustellen, bevor sie sich in „winlogon“ einschleusten, bei dem es sich um einen legitimen Prozess handelt.
- Der injizierte Prozess startete sowohl PowerShell als auch cmd, um SMB-Scans und die Erkennung über SMBexec durchzuführen.
- Die PowerShell-Sitzung stellte anschließend eine Verbindung zu einem Tor2Mine -Stager-Server her und führte weitere PowerShell-Skripte aus, um die Benutzerrechte zu überprüfen, Antivirenlösungen zu deaktivieren und eine Mining-Nutzlast zu platzieren.
- Nur 15 Minuten nach dem ersten Zugriff bewegten sich die Angreifer lateral zu Domänencontrollern und zu Dateien, die über die Einrichtung eines Remote-Dienstes freigegeben wurden. Die Dienste wurden genutzt, um PowerShell-Befehle auszuführen sowie die Malware „ Tor2Mine “ herunterzuladen und auszuführen.
- 30 Minuten nach dem ersten Zugriff wurde die BlueSky-Ransomware-Datei auf dem Brückenkopf abgelegt und ausgeführt. Die Zeit bis zum Auftreten der Ransomware betrug lediglich 32 Minuten.
Die Umsetzungsphase
In dieser Phase des Angriffs richtete der Angreifer über die erweiterte SQL-Stored-Procedure (xp_cmdshell) eine Befehlsshell ein. Dadurch kann der Benutzer Befehle auf Betriebssystemebene direkt an die Windows-Befehlszeile übermitteln. Der Angreifer führte anschließend ein Cobalt-Strike-Beacon und ein PowerShell-Skript aus, die im Rahmen der Kampagne zum Einsatz kommen, um Tor2Mine Malware-Programme zu verbreiten.
Das erste PowerShell-Skript führte einen Befehl zum Herunterladen eines Cobalt-Strike-Beacons aus. Auf diese Aktion folgte eine weitere PowerShell-Ausführung und anschließend eine Verbindung zu mehreren Tor2Mine Servern und URLs. Tor2Mine nutzt PowerShell-Skripte, um zu überprüfen, ob der aktive Benutzer Administrator ist, und um die Betriebssystemversion zu ermitteln. Anschließend wird ein weiteres Skript heruntergeladen, bei dem es sich um eine PowerShell-Version von Mimikatz handelt. Es kann Antivirenprogramme wie MalwareBytes, Sophos und Windows Defender deaktivieren.
Die Malware prüft zudem, ob der Benutzer über Administratorrechte verfügt. In diesem Fall wird die richtige Version des Miners heruntergeladen und installiert, und es werden mehrere geplante Aufgaben und Dienste erstellt.
BlueSky-Ransomware
Die BlueSky-Ransomware-Binärdatei wurde schließlich als „vmware.exe“ auf dem Brückenkopf abgelegt. Die Ausführung dieser Binärdatei führte zu einem netzwerkweiten Ransomware-Angriff, der letztendlich über SMB durchgeführt wurde, da die Ransomware über Port 445 eine Verbindung zu den Hosts herstellte, um Dateien zu verschlüsseln.
Diese verschlüsselten Dateien wurden mit der Dateiendung .bluesky umbenannt. Die Ransomware hinterließ eine Lösegeldforderung in Form einer .txt-Datei mit dem Namen „# DECRYPT FILES BLUESKY #.txt“.
Der gesamte Angriff dauerte lediglich etwa 30 Minuten, wobei nur in begrenztem Umfang Daten erfasst und keine Daten abgezogen wurden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Auch wenn „The DFIR Report“ diesen Bericht über einen Angriff, der sich vor etwa einem Jahr ereignet hat, erst jetzt veröffentlicht, sind viele der TTPs nach wie vor relevant und werden auch heute noch in großem Umfang angewendet.
Dieser Angriff ist insofern interessant, als keine Datenexfiltration festgestellt wurde, was wahrscheinlich dazu beiträgt, dass der gesamte Angriff nur etwas mehr als 30 Minuten dauerte. Zudem ist die Dauer von 32 Minuten bis zum Ausbruch der Ransomware eine schmerzhafte Erinnerung daran, wie schnell ein Angreifer seine Ziele erreichen kann und wie wichtig daher eine zeitnahe Einstufung von Warnmeldungen ist.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
