In der Zusammenfassung dieser Woche untersucht CTI, wie der Angreifer „ TA4557 “ Personalvermittler gezielt mit direkten E-Mails und Malware angreift. Anschließend untersucht CTI, wie Angreifer OAuth-Anwendungen missbrauchen, um virtuelle Maschinen für das Schürfen von Kryptowährungen bereitzustellen, eine dauerhafte Präsenz aufzubauen und Spam-Kampagnen zu starten. Abschließend gibt CTI einen Überblick über die taktischen und zielbezogenen Überschneidungen zwischen der APT-Gruppe „Sandman“ und dem in China ansässigen Bedrohungscluster „Red Dev 40“.
1. TA4557 wendet sich per E-Mail an Personalvermittler
Ein Angreifer, der unter den Namen „ “ bekannt ist (TA4557 (öffnet in einem neuen Tab) ), nimmt Personalvermittler mit direkten E-Mails ins Visier, die zur Verbreitung von Malware führen.
Laut Proofpoint sind die ersten E-Mails harmlos und zielen darauf ab, Vertrauen beim Opfer aufzubauen, indem Interesse an einer derzeit offenen Stelle im Unternehmen bekundet wird. Die Angriffskette beginnt, sobald der Personalvermittler auf die E-Mail antwortet.
TA4557’s Kampagnenstrategien
In den jüngsten TA4557 Kampagnen wendet der Angreifer eine neue Methode an, bei der er Personalvermittler direkt per E-Mail anspricht, und kombiniert diese mit einer bereits bekannten Technik, bei der er sich auf Stellenangebote bewirbt, die auf öffentlichen Jobbörsen veröffentlicht wurden.
In der Angriffskette, bei der der neue Ansatz mit direkten E-Mails zum Einsatz kommt, muss das Opfer auf die zunächst harmlos erscheinende E-Mail antworten, damit der Angriff beginnen kann. Sobald das Opfer antwortet, sendet der Angreifer eine URL, die das Opfer auf eine vom Angreifer kontrollierte Website weiterleitet, die sich als Lebenslauf eines Bewerbers ausgibt.
In anderen Fällen antwortet der Täter mit einem PDF- oder Word-Dokument, in dem Sie angewiesen werden, dieselbe Website aufzurufen, auf der der gefälschte Lebenslauf gehostet wird. Bei neueren Kampagnen werden die E-Mail-Empfänger aufgefordert, den Domainnamen ihrer E-Mail-Adresse zu verwenden, um auf ihr Portfolio zuzugreifen, wodurch die E-Mail der Erkennung entgehen kann.
Wenn das Opfer die Website wie angegeben aufruft, wird ihm eine Seite angezeigt, die dem Lebenslauf eines Bewerbers oder einer allgemeinen Jobbörse für diesen Bewerber nachempfunden ist. Die Website selbst verfügt über Filtermechanismen, um zu ermitteln, wie die nächste Stufe der Angriffskette aussehen soll.
Werden die Filterprüfungen nicht bestanden, wird das Opfer auf eine Seite weitergeleitet, die einen Lebenslauf im Klartext enthält; werden die Filterprüfungen hingegen bestanden, wird es auf die Website des Bewerbers weitergeleitet. Diese Bewerber-Website nutzt CAPTCHA; sobald die Eingabe abgeschlossen ist, wird der Download einer ZIP-Datei gestartet, die eine LNK-Datei enthält.
Über TA4557
Proofpoint verfolgt TA4557 bereits seit 2018. Der Akteur scheint finanziell motiviert zu sein und ist dafür bekannt, die Backdoor „More_Eggs“ zu verbreiten, die einen Endpunkt profiliert und zusätzliche Payloads versendet.
Wie Proofpoint erläutert, unterscheidet sich der Angreifer deutlich von anderen vorrangig zu beobachtenden Angreifern, die das Unternehmen im Blick hat. Dies ist auf ihre einzigartige Nutzung von Malware und Tools, den Einsatz von Ködern mit Bezug zu Stellenbewerbern, die gezielte Ausrichtung ihrer Kampagnen, ausgefeilte Tarnmaßnahmen, charakteristische Angriffsketten sowie die von den Akteuren kontrollierte Infrastruktur zurückzuführen.
Einige frühere Aktivitäten der Gruppe TA4557 überschneiden sich mit denen der berüchtigten Gruppe FIN6 . Darüber hinaus wird die Malware „ TA4557’s “ auch von der „“, der „Cobalt Group“ sowie von „Evilnum“ eingesetzt.
Zwar gibt es gewisse Überschneidungen mit anderen Gruppen, dennoch wird davon ausgegangen, dass TA4557 einen eigenständigen Aktivitätscluster darstellt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Maßnahme richtet sich speziell an Personalvermittler. Da die erste E-Mail im Rahmen des Angriffs harmlos ist, ist es unwahrscheinlich, dass sie von E-Mail-Sicherheitslösungen abgefangen wird. Daher ist es von entscheidender Bedeutung, Schulungen und Sensibilisierungsmaßnahmen zum Thema Phishing durchzuführen; noch wichtiger ist es jedoch, maßgeschneiderte Phishing-Schulungen für Mitarbeiter in Funktionen anzubieten, die möglicherweise mit spezifischeren Arten von Phishing-Köderangriffen konfrontiert sind.
2. Angreifer nutzen OAuth-Apps, um BEC- und Cryptomining-Angriffe zu automatisieren
Angreifer nutzen derzeit OAuth-Anwendungen (wird in einem neuen Tab geöffnet) als Automatisierungstool, um virtuelle Maschinen für das Schürfen von Kryptowährungen bereitzustellen, nach BEC-Angriffen eine dauerhafte Präsenz aufzubauen und Spam-Kampagnen unter Nutzung der Ressourcen und des Domainnamens des Unternehmens zu starten.
Microsoft hat festgestellt, dass Angreifer Phishing- und Passwort-Spraying-Angriffe unter (wird in einem neuen Tab geöffnet) gegen Konten durchgeführt haben, die zwar nicht über eine starke Authentifizierung verfügten, aber über Berechtigungen zum Erstellen und/oder Ändern von OAuth-Anwendungen verfügten.
Was ist OAuth?
OAuth ist ein offener Standard für die tokenbasierte Authentifizierung und Autorisierung. Dadurch können Anwendungen auf Daten und Ressourcen zugreifen, und zwar entsprechend den von einem Benutzer festgelegten Berechtigungen. Dies macht OAuth zu einem attraktiven Ziel für Angreifer, die möglicherweise versuchen, Benutzerkonten mit den entsprechenden Zugriffsrechten zu kompromittieren und diese Konten dazu zu nutzen, OAuth-Anwendungen zu erstellen, zu ändern und ihnen weitreichende Berechtigungen zu erteilen. Diese können dazu genutzt werden, weitere böswillige Aktivitäten zu verschleiern.
Microsoft hat den Missbrauch von OAuth-Anwendungen beobachtet und festgestellt, dass dies es einem Angreifer ermöglicht, seinen Zugriff auf Anwendungen aufrechtzuerhalten, selbst wenn er den Zugriff auf das ursprünglich kompromittierte Konto verliert.
OAuth-Anwendungen zur Bereitstellung von virtuellen Maschinen für das Cryptomining
Microsoft hat konkret festgestellt, dass ein Angreifer namens „Storm-1283“ ein kompromittiertes Konto nutzte, um eine OAuth-Anwendung zu erstellen.
In diesem Fall nutzte der Angreifer dies, um virtuelle Maschinen für das Cryptomining bereitzustellen. Der Schauspieler nutzte das gehackte Konto, um sich über ein VPN anzumelden, und erstellte eine neue OAuth-Anwendung mit einem einzigen Mandanten unter Microsoft Entra ID. Da dieses Konto über die Eigentümerrolle für ein Azure-Abonnement verfügte, konnte der Angreifer der Rolle „Mitwirkender“ Berechtigungen für die Anwendung erteilen.
Der Angreifer nutzte anschließend bestehende OAuth-Anwendungen, auf die der betroffene Nutzer Zugriff hatte, indem er diesen Anwendungen einen weiteren Satz von Anmeldedaten hinzufügte. Den von dieser Aktivität betroffenen Organisationen entstanden Rechengebühren in Höhe von 10 000 bis 1,5M US-Dollar.
OAuth-Anwendungen für BEC und Phishing
Bei einem anderen Angriff stellte Microsoft fest, dass ein Angreifer Benutzerkonten kompromittierte und OAuth-Anwendungen erstellte, um eine dauerhafte Präsenz zu gewährleisten und Phishing-E-Mail-Kampagnen unter dem Namen „ “ zu starten:.
Mithilfe eines „Adversary-in-the-Middle“ (AiTM)-Phishing-Kits wurde eine groß angelegte Kampagne mit Phishing-E-Mails versendet, die unterschiedliche Betreffzeilen und URLs enthielten und an Opfer in verschiedenen Organisationen gerichtet waren. Als das Opfer auf die URL in der E-Mail klickte, wurde es auf eine Microsoft-Anmeldeseite weitergeleitet, die über den Proxy-Server des Angreifers geleitet wurde. Dadurch konnten sie das Token aus dem Sitzungs-Cookie des Benutzers entwenden und dieses Token später nutzen, um eine „Sitzungs-Cookie-Replay“-Attacke durchzuführen.
- Anhaltende Aktivität nach der Wiedergabe von BEC-s: Bei einigen beobachteten Fällen kam es nach der Wiedergabe der Session-Cookies zu weiteren Aktivitäten. In einigen Fällen nutzte der Angreifer das kompromittierte Konto für BEC-Erkundungszwecke und öffnete in OWA E-Mail-Anhänge, die relevante finanzielle Schlüsselwörter wie „Zahlung“ oder „Rechnung“ enthielten. Der Angreifer würde daraufhin eine OAuth-Anwendung erstellen und unter der kompromittierten Kontositzung agieren, um dieser Anwendung neue Anmeldedaten hinzuzufügen.
- E-Mail-Phishing-Aktivitäten „“: Microsoft hat einige Fälle beobachtet, in denen der Angreifer keine BEC-Aufklärung durchführte, sondern stattdessen nach dem Wiederverwenden gestohlener Sitzungs-Cookies mandantenfähige OAuth-Anwendungen erstellte. Diese Anwendungen wurden zur Aufrechterhaltung der Persistenz, zum Hinzufügen neuer Anmeldedaten und zum Zugriff auf die Microsoft Graph-API genutzt, um entweder Phishing-E-Mails zu versenden oder lediglich E-Mails auszulesen. Microsoft stellte fest, dass der Angreifer etwa 17 000 mandantenfähige OAuth-Anwendungen über verschiedene Mandanten hinweg erstellt hatte. Es wurde zudem beobachtet, dass der Angreifer im Posteingang des kompromittierten Kontos Regeln erstellt hat. Insgesamt versendeten die schädlichen Anwendungen mehr als 927 000 Phishing-E-Mails.
OAuth-Anwendungen für Spam-Aktivitäten
Zudem wurden groß angelegte Spam-Aktivitäten beobachtet, die von einem Angreifer namens Storm-1286 durchgeführt wurden. Dieser Angreifer führte „Password-Spraying“-Angriffe auf Konten durch, bei denen die Zwei-Faktor-Authentifizierung größtenteils nicht aktiviert war. Die kompromittierten Konten wurden anschließend dazu verwendet, mithilfe von Azure PowerShell oder eines auf Swagger Codegen basierenden Clients 1-3 neue OAuth-Anwendungen zu erstellen. In einigen Fällen wartete der Angreifer nach der Erstellung der Anwendungen mehrere Monate, bevor er mit den Spam-Aktivitäten begann.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Diese Kampagne erstreckte sich zwar nur über einen Zeitraum von wenigen Monaten (Juli bis November), dennoch konnten im Rahmen dieser Kampagne fast eine Million Phishing-E-Mails versendet werden.
Auch wenn Microsoft inzwischen alle bösartigen OAuth-Anwendungen, die Teil dieser Kampagne waren, entfernt hat, ist es wichtig zu verstehen, wie es zu diesen Vorfällen gekommen ist und was wir tun können, um unsere Organisationen besser vor solchen Angriffen zu schützen. Microsoft hat mehrere Maßnahmen zum Schutz vor dieser Aktivität empfohlen, darunter die Durchsetzung der Multi-Faktor-Authentifizierung (MFA), die Aktivierung von Richtlinien für den bedingten Zugriff, die regelmäßige Überprüfung von Apps und erteilten Berechtigungen sowie weitere Maßnahmen. Microsoft hat zudem verschiedene Suchabfragen bereitgestellt.
3. Die Verbindung zwischen der APT-Gruppe „Sandman“ und der in China ansässigen Backdoor „KEYPLUG“
Forscher haben taktische und zielbezogene Überschneidungen zwischen der APT-Gruppe „ “ („Sandman“) und „Red Dev 40“ (öffnet in einem neuen Tab) festgestellt, einem in China ansässigen Bedrohungscluster, der dafür bekannt ist, die Backdoor „KEYPLUG“ einzusetzen.
Die gemeinsame Analyse von SentinelOne, PwC und Microsoft (wird in einem neuen Tab geöffnet) stützt sich auf die Feststellung, dass die Lua-basierte Malware des Angreifers, „LuaDream“, sowie „KEYPLUG“ nachweislich in denselben Opfernetzwerken vorhanden waren.
Der Zusammenhang zwischen Sandman und Red Dev 40
„Red Dev 40 “ ist eine Bedrohungsgruppe, die in erster Linie Telekommunikationsanbieter und staatliche Stellen im Nahen Osten und in Südasien ins Visier nimmt; dies ähnelt dem Vorgehen von „Sandman“. Sandman and Red Dev 40 have numerous links including victimology overlaps, cohabitation, and shared C2 infrastructure and management practices.
- KEYPLUG, eine modulare Backdoor, ist ein fester Bestandteil des Red-Dev- 40’s -Arsenals, wurde jedoch auch bei anderen Angreifern beobachtet. Es wird davon ausgegangen, dass KEYPLUG von verschiedenen in China ansässigen Gruppen gemeinsam genutzt wird.
Red Dev 40 is distinguished from other groups using KEYPLUG based on specific malware characteristics like unique encryption keys for C2 communication. Sie sind zudem für ihre besonders hohen Sicherheitsstandards im Betrieb bekannt, wozu auch der Einsatz einer cloudbasierten Reverse-Proxy-Infrastruktur gehört, um den tatsächlichen Standort ihrer C2 Server zu verschleiern.
- LuaDream ist eine modulare Backdoor, die auf LuaJIT basiert. Forscher haben festgestellt, dass die Malware „LuaDream“ von Sandman und die KEYPLUG-Implantate in denselben Opferumgebungen vorkommen, teilweise sogar auf denselben Endgeräten.
In einem Fall wurde KEYPLUG ganze drei Monate vor LuaDream bereitgestellt, und beide waren etwa zwei Wochen lang gleichzeitig aktiv. A look at the implementation and C2 infrastructure of these malware revealed shared development and infrastructure.
LuaDream und KEYPLUG
Die Malware-Variante „KEYPLUG“ ist in C++ programmiert, während der Großteil der LuaDream-Komponenten in Lua implementiert ist.
Die Forscher analysierten Proben beider Malware-Varianten und bestätigten, dass diese zwar offenbar nicht aus derselben Quelle stammen, jedoch Anzeichen für gemeinsame Entwicklungspraktiken und weitere Überschneidungen aufweisen.
Ihre Untersuchungen deuten darauf hin, dass die beiden Malware-Varianten hinsichtlich der Anforderungen der Betreiber gemeinsame Merkmale aufweisen, was bei Malware chinesischer Herkunft nicht ungewöhnlich ist.
- C2: Beide Malware-Varianten sind äußerst modular aufgebaut und unterstützen mehrere Protokolle. Beide unterstützen die Protokolle HTTP, TCP, WebSocket und QUIC für die C2 -Kommunikation. Die Reihenfolge, in der die Malware das konfigurierte Protokoll auswertet, ist dieselbe: HTTP, TCP, WebSocket und QUIC in dieser Reihenfolge.
KEYPLUG bietet zusätzliche Unterstützung für UDP, die LuaDream nicht bietet. Da LuaDream jedoch vermutlich noch in der Entwicklung ist, besteht die Möglichkeit, dass zukünftige Versionen von LuaDream UDP unterstützen werden.
- Ausführung/C2 Datenverwaltungs: Der allgemeine Ausführungsablauf von LuaDream und KEYPLUG ist sehr ähnlich. Beide beginnen damit, System- und Benutzerinformationen zu erfassen und aus dem System zu exfiltrieren, und weisen Überschneidungen hinsichtlich der erfassten Daten auf. Anschließend erstellen sie Threads, die C2 -Daten senden und empfangen, eine Verbindung zum C2 -Server herstellen, Backdoor-Befehle verarbeiten und Plugins verwalten.
Beide Schadprogramme speichern zudem überlappende Informationen über die globalen Puffer, darunter Startadressen im Speicher, Größen sowie Verweise auf Windows-CRITICAL_SECTION-Strukturen. Beide sind dafür ausgelegt, aus diesen Puffern zu lesen und in diese zu schreiben. Beide generieren zudem einmalige Werte auf der Grundlage der Systemlaufzeit, die von der Funktion „GetTickCount“ zurückgegeben wird. Dieser Wert wird auf dieselbe Weise berechnet und dient zur Festlegung von Schlafintervallen oder protokollspezifischen Schlüsseln.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Bedrohungslandschaft rund um die in China ansässigen Akteure ist unglaublich komplex, insbesondere angesichts der Tatsache, wie häufig diese Akteure maßgeschneiderte Tools untereinander austauschen.
Angesichts dieser Bereitschaft zur gemeinsamen Nutzung von Tools ist es weniger überraschend, dass Akteure wie Sandman Überschneidungen in Bezug auf Infrastruktur und TTPs mit einem in China ansässigen Bedrohungscluster aufweisen.
Zudem wurde Lua-basierte Malware bislang nur in wenigen Fällen beobachtet (zuletzt bei Zero-Day-Angriffen auf Cisco), sodass die zunehmende Verbreitung von Lua sicherlich im Auge behalten werden sollte.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
