Eine überraschende Studie zeigt, dass offensive Cyberaktivitäten im Zusammenhang mit dem Konflikt zwischen Russland und der Ukraine außerhalb des mit dem Einsatzgebiet des Konflikts verbundenen Cyberbereichs kaum mehr als geringfügige Auswirkungen hatten. Als Nächstes befassen wir uns mit dem neuen „Phishing-as-a-Service“ (PhaaS)-Toolkit „EvilProxy“, das derzeit in der kriminellen Unterwelt als neue Methode für Angreifer beworben wird, um die Zwei-Faktor-Authentifizierung zu umgehen (2FA). Zudem stellen wir einen aktuellen Bericht von BlackBerry vor, der sich mit einer neu aufgetauchten Ransomware-Operation namens „Monti“ befasst.
1. Die Auswirkungen von Angriffen, die mit Russland und der Ukraine in Verbindung stehen
Eine neue Studie der „ “ zeigt (wird in einem neuen Tab geöffnet) , dass Cyberangriffe im Zusammenhang mit dem Russland-Ukraine-Konflikt außerhalb des Einsatzgebiets nur geringe Auswirkungen hatten und eine weitere Eskalation unwahrscheinlich ist.
Die Studie konzentriert sich in erster Linie auf die Aktivitäten der Cyberkriminalitätsszene (Hacktivisten, Cyberkriminellen-Syndikate, Ransomware-Banden usw.), doch lassen sich daraus auch Schlussfolgerungen ableiten, die für hochrangige Bedrohungsakteure gelten.
Forscher der „ “ der Universität Cambridge, der Universität Edinburgh und der Universität Strathclyde untersuchten Daten (wird in einem neuen Tab geöffnet), die in den zwei Monaten vor und den vier Monaten nach Beginn der militärischen Operationen Russlands in der Ukraine erhoben wurden. Sie analysierten 281 000 Angriffe zur Verunstaltung von Webseiten, 1,7 Millionen Distributed-Denial-of-Service-Angriffe (DDoS) sowie Hunderte von Ankündigungen auf Telegram, die von Hackern zur Koordinierung ihrer Aktivitäten genutzt wurden.
Was die Forscher vorhergesagt hatten
Zunächst schienen die feindseligen Cyberaktivitäten zwischen den beiden Ländern den Prognosen der Branche zu entsprechen. Russland war das erste Land, das in großem Umfang angegriffen wurde; wenige Tage später folgte die Ukraine. Innerhalb von etwa zwei Wochen hatten die Cyberangriffe jedoch wieder das Niveau erreicht, das die Forscher als „Niveau vor dem Konflikt“ bezeichnen.
An dieser Stelle werden die Daten erst richtig interessant. Die folgenden, im Rahmen der Studie gewonnenen Erkenntnisse verdeutlichen die Unterschiede zwischen den Erwartungen der Brancheninsider hinsichtlich des Verlaufs dieses Konflikts und dem tatsächlichen Geschehen.
Zu Beginn des Konflikts herrschte in der Branche allgemein Einigkeit darüber, dass das größte Cyberrisiko, das der Konflikt mit sich brachte, in der Gefahr hochentwickelter, zerstörerischer Angriffe auf die kritische Infrastruktur beider Nationen bestand. Branchenexperten sagten bereits frühzeitig voraus, dass Russland seine Hackerfähigkeiten unter Beweis stellen würde, indem es seine berüchtigten, von staatlichen und militärischen Geheimdiensten unterstützten und mit dem GRU, dem FSB sowie dem SVR verbundenen „Advanced Persistent Threat“-Gruppen (APT) wie beispielsweise „ APT29 “ oder „APT28“ gegen die kritische Infrastruktur der Ukraine einsetzen würde. Beide Akteure sind für ihre Raffinesse und ihre hochentwickelten Werkzeuge bekannt.
Die größte Sorge, wie sie vom FBI, von der CISA geäußert und von einer Vielzahl von Experten der Cybersicherheitsbranche wiederholt wurde, war die Ausweitung von „ “ (öffnet in einem neuen Tab) – ein Begriff, der das Risiko beschreibt, dass zerstörerische Malware oder feindliche Cyberoperationen die Grenzen des osteuropäischen Einsatzgebiets überschreiten und ihren Weg zu westlichen Zielen finden, sei es versehentlich oder als Vergeltungsmaßnahme für Sanktionen oder andere Strafen, die gegen Russland wegen seiner vermeintlichen Aggressivität gegenüber einer den USA freundlich gesinnten Nation verhängt wurden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Für CTI stellen die Ergebnisse dieser Studie einen Mikrokosmos des Russland-Ukraine-Konflikts und der damit einhergehenden Cyberaktivitäten dar. Der mit diesem Einsatzgebiet verbundene Cyberbereich gleicht eindeutig einer Art „Wildem Westen“, in dem minderwertige Hacktivisten und Cyberkriminelle neue Angriffstechniken ausprobieren und Ziele auswählen – sei es aus Spaß, wegen der damit verbundenen Herausforderung oder aus purer Langeweile. Ebenso scheinen die in diesem Konflikt aktiven, staatlich unterstützten APTs diesen als eine Art Testfeld für neue Werkzeuge und Taktiken genutzt zu haben. „Wir halten es für ein Glück, dass wir bislang kaum (wenn überhaupt) etwas von den vielbeschworenen Folgewirkungen gesehen haben, vor denen uns unsere Cyber-Behörden gewarnt hatten.“
„Angesichts der Raffinesse und der Sorgfalt in Bezug auf die operative Sicherheit (OPSEC), die einigen der Gruppen zugeschrieben wird, die hier sicherlich hinter den Kulissen agieren (APT29, APT28 usw.), würde es uns natürlich nicht überraschen, wenn wir in den kommenden Monaten von Folgevorfällen erfahren würden.“
2. Das neue „Phishing-as-a-Service“-Toolkit „EvilProxy“ ermöglicht es Cyberkriminellen, 2FA Sicherheitsmaßnahmen zu umgehen
Jüngste Berichte des Cybersicherheitsunternehmens Resecurity, Inc. enthüllen ein neues „Phishing-as-a-Service“ (PhaaS)-Toolkit mit dem Namen „ “ (EvilProxy) (öffnet in einem neuen Tab), das im kriminellen Untergrund als Möglichkeit für Angreifer beworben wird, die Sicherheitsmaßnahmen von 2FA zu umgehen. Der Dienst ermöglicht es auch technisch weniger versierten Angreifern, Online-Konten zu stehlen, die ansonsten gut geschützt sind, indem er Reverse-Proxy- und Cookie-Injection-Methoden nutzt, um 2FA zu umgehen.
Was ist EvilProxy?
EvilProxy, das in anderen Quellen auch als „Moloch“ bezeichnet wird, wurde im Dark Web entdeckt und dort als neues PhaaS beworben.
Die erste Erwähnung von EvilProxy wurde auf Mai 2022 festgestellt, als dessen Betreiber ein Demonstrationsvideo veröffentlichten, in dem detailliert gezeigt wurde, wie das Tool zur Verbreitung von ausgeklügelten Phishing-Links genutzt werden kann, mit dem Ziel, Kundenkonten großer Marken wie Apple, Facebook, GoDaddy, GitHub, Google, Dropbox, Instagram, Microsoft, Twitter, Yahoo, Yandex und anderer zu kompromittieren. EvilProxy unterstützt zudem Phishing-Angriffe auf PyPI, was ein ziemlicher Zufall ist, da PyPI angeblich den ersten bekannten Phishing-Angriff (wird in einem neuen Tab geöffnet)erst in der vergangenen Woche verzeichnet hat.
EvilProxy nutzt das Prinzip des „Reverse-Proxys“, bei dem ein Reverse-Proxy (wird in einem neuen Tab geöffnet) eingesetzt wird, um alle legitimen Inhalte abzurufen, die ein Nutzer erwarten würde – wie beispielsweise Anmeldeseiten –, wobei der Datenverkehr jedoch beim Durchlaufen des Proxys überwacht wird. Genauer gesagt ist ein Reverse-Proxy ein Server, der sich zwischen dem Opfer und einem legitimen Endpunkt, wie beispielsweise dem Anmeldeformular eines Unternehmens, befindet. Wenn das Opfer versucht, eine Verbindung zu einer Phishing-Seite herzustellen, zeigt der Reverse-Proxy das legitime Anmeldeformular an; sobald das Opfer seine Anmeldedaten auf der Phishing-Seite eingibt, wird es an den Server der eigentlichen Plattform weitergeleitet. Da sich der Proxy-Server jedoch in der Mitte befindet, kann er auch das Sitzungs-Cookie abfangen, das das Authentifizierungstoken enthält. Das Authentifizierungs-Cookie kann dann vom Angreifer genutzt werden, um sich als der Benutzer auf der Website anzumelden und so die MFA-Sicherheitsmaßnahmen zu umgehen.
Nach der Aktivierung wird der Betreiber aufgefordert, SSH-Zugangsdaten anzugeben, um einen Docker-Container und eine Reihe von Skripten weiter zu implementieren. Dieser Ansatz wurde auch bei einem anderen PhaaS-Dienst namens „Frappo“ angewendet, der in diesem Jahr von Resecurity aufgedeckt wurde. Nach der Bereitstellung leiten die Skripte den Datenverkehr der Opfer über 2 als „Upstream“ definierte Gateways weiter.
Techniken zur Umgehung der Erkennung
Die hinter EvilProxy stehenden Angreifer wenden verschiedene Techniken an, um das PhaaS-Toolkit vor einer Entdeckung zu schützen. Ähnlich wie bei Lösungen zur Betrugsbekämpfung und zur Cyber-Bedrohungsanalyse sammeln sie Daten über bekannte VPN-Dienste, Proxys, TOR-Ausgangsknoten und andere Hosts, die für die IP-Reputationsanalyse herangezogen werden können. Sollten sie den Verdacht hegen, dass es sich um einen Bot oder einen Forscher handelt, unterbrechen sie die Verbindung oder leiten sie an einen bestimmten Host um. EvilProxy geht zudem sorgfältig vor, wenn es darum geht, mögliche virtuelle Maschinen zu erkennen, die in der Regel von Sicherheitsanalysten zur Untersuchung schädlicher Inhalte genutzt werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Betreiber von EvilProxy scheinen mehrere zusätzliche Maßnahmen zu ergreifen, um sicherzustellen, dass das Toolkit eine breite und effektive Reichweite aufweist. Zunächst einmal ist die Anzahl der Anleitungsvideos, die die Angreifer zur Verfügung gestellt haben, beeindruckend. Viele davon vermitteln buchstäblich Schritt für Schritt die Maßnahmen, die Hacker ergreifen müssen, um EvilProxy erfolgreich einzusetzen. „Diese Videos ermöglichen es Angreifern aller Erfahrungsstufen, das Toolkit zu nutzen, um die MFA zu umgehen, und verdeutlichen zudem, wie einfach der Einstieg in die Welt der Cyberkriminalität ist.“
„Der bemerkenswerteste Aspekt von EvilProxy ist die Tatsache, dass die Betreiber die Kunden, die das Toolkit erwerben möchten, einer Überprüfung unterziehen.“ Es ist nicht klar, was das Überprüfungsverfahren genau beinhaltet, doch die Tatsache, dass es ein solches Verfahren gibt, deutet darauf hin, dass einige potenzielle Käufer wahrscheinlich abgelehnt werden. CTI würde gerne wissen, welche Faktoren möglicherweise zum Scheitern eines Geschäfts führen könnten … etwa negative Einträge in der Strafregisterakte?
3. Der merkwürdige Fall der Ransomware „Monti“: ein Doppelgänger aus der realen Welt
Ein aktueller „“-Bericht des Incident-Response-Teams von BlackBerry unter dem Titel „ “ (wird in einem neuen Tab geöffnet) beschreibt einen Angriff einer bislang unbekannten Gruppe, die sich „Monti“ nennt. Die meisten der im Rahmen des Monti-Angriffs identifizierten IOCs wurden auch in früheren Fällen der Conti-Ransomware beobachtet.
Die Ransomware-Gruppe „Monti“: Ein Überblick
Obwohl nur begrenzte Informationen über die Ransomware-Gruppe „Monti“ vorliegen, gehen die Forscher von BlackBerry davon aus, dass dieser Angreifer zwischen Mai und Juni 2022 aufgetreten ist. Forscher vermuten, dass die Gruppe gezielt die TTPs der bekannteren Conti-Ransomware-Gruppe nachgeahmt hat, ebenso wie viele ihrer Tools und die Payload des Verschlüsselungsprogramms. Die interne Kommunikation von Conti, Chat-Protokolle, Schulungsunterlagen, Quellcode usw. wurden alle zu Beginn des Jahres öffentlich bekannt gegeben (wird in einem neuen Tab geöffnet). Durch diese Datenpanne erhielten die Monti-Angreifer (und wahrscheinlich auch viele andere Angreifer) praktisch eine Schritt-für-Schritt-Anleitung, um die berüchtigten erfolgreichen Angriffe von Conti nachzuahmen.
Der „Monti“-Ransomware-Angriff
Das Incident-Response-Team von BlackBerry Security Services wurde im Juli beauftragt, eine forensische Untersuchung eines Sicherheitsvorfalls im Zusammenhang mit Ransomware durchzuführen. Es wird davon ausgegangen, dass sich der Angreifer den ersten Zugriff durch Ausnutzung der bekannten Sicherheitslücke „ Log4Shell “ (CVE-2021-44228 (öffnet in einem neuen Tab)) im internetgestützten VMware Horizon-Virtualisierungssystem des Kunden verschafft hat.
Als BlackBerry hinzugezogen wurde, hatte der Angreifer bereits 18 Benutzer-Desktops verschlüsselt. Der Angreifer verschlüsselte zudem einen aus drei Servern bestehenden ESXi-Cluster, wodurch 21 virtualisierte Server betroffen waren.
Nachdem sich der Angreifer Zugang zur Umgebung des Opfers verschafft hatte, installierte er den Google Chrome-Browser und nutzte diesen, um verschiedene Angriffstools herunterzuladen. Der Angreifer hat darüber hinaus zwei Agenten für die Fernüberwachung und -wartung heruntergeladen und installiert, darunter AnyDesk und Action1. Diese Agenten wurden genutzt, um eine dauerhafte Präsenz zu etablieren, und ermöglichten einen zusätzlichen Fernzugriff.
Die Tools, die der Angreifer in die Umgebung eingeschleust hatte, wurden zudem dazu verwendet, Anmeldedaten aus dem Speicher auszulesen und das Netzwerk zu scannen. Das in Microsoft Windows integrierte Remote-Desktop-Protokoll (RDP) wurde genutzt, um eine Verbindung zu anderen Servern herzustellen, auf Datendateien in Netzwerkfreigaben zuzugreifen und schließlich die Ransomware-Variante „Monti“ zu verbreiten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Auch wenn dies nicht gänzlich ausgeschlossen ist, gibt es keine konkreten Hinweise darauf, dass sich Conti in Monti umbenannt hat.“ Da der Quellcode von Conti öffentlich zugänglich ist, ist es möglich, dass Monti diese Informationen lediglich genutzt hat, um auf der Grundlage von Conti eine eigene Ransomware zu entwickeln.
Angesichts des bekanntermaßen großen Erfolgs von Conti wäre eine echte Umgestaltung der Marke „Conti“ komplexer als die bloße Wiederverwendung von durchgesickertem Quellcode – aber das ist nur unsere bescheidene Meinung. Die Wiederverwendung vieler der TTPs von Conti könnte Sicherheitsforschern und Verteidigern einen Vorteil verschaffen, wenn es um die Warnung vor und die Erkennung der Monti-Ransomware geht.
Zwar mag die Wiederverwendung von Contis Quellcode strategisch bedingt sein, doch die Wiederverwendung der eigentlichen Lösegeldforderung ist seltsam und fast schon ironisch. Die Lösegeldforderungen sind identisch, abgesehen von der Verwendung von „Monti“ anstelle von „Conti“ und einer anderen Onion-Domain. Im Hauptteil der Notiz steht weiterhin: „Falls Sie nicht wissen, wer wir sind – googeln Sie es einfach“, was nicht wirklich Sinn ergibt, wenn man bedenkt, dass Monti neu ist und derzeit bei einer Google-Suche nur sehr wenige Treffer liefert.“
Werfen Sie einen Blick auf unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungen von „“ unter. Oder probieren Sie doch einfach die „ “-Lösung von Tanium für konvergentes Endpunktmanagement (XEM) aus.
