In dieser Woche untersucht CTI, warum das „Sliver Command and Control (C2)“-Framework bei Angreifern als Open-Source-Alternative zu Tools wie Cobalt Strike und Metasploit zunehmend an Beliebtheit gewinnt. Als Nächstes befassen wir uns eingehend mit der jüngsten Entwicklung von Emotet. Ebenfalls enthalten ist ein Überblick über eine Operation, bei der ein mutmaßlich mit China in Verbindung stehender Angreifer eine kürzlich behobene Sicherheitslücke in Fortinet FortiOS SSL-VPN ausnutzte und den Fehler als Zero-Day-Exploit bei Angriffen auf eine europäische Regierungsbehörde und einen in Afrika ansässigen Managed Service Provider (MSP) einsetzte.
1. Angreifer greifen auf Sliver als Open-Source-Alternative zu den beliebten C2 -Frameworks zurück
Sliver ist ein Tool, das Sicherheitsexperten bei Red-Team-Operationen einsetzen, um kompromittierte Rechner während Sicherheitsbewertungen aus der Ferne zu steuern. Es handelt sich um ein auf Go basierendes, plattformübergreifendes Post-Exploitation-Framework, das mit Cobalt Strike und Metasploit vergleichbar ist.
Laut einem neuen Bericht von Cybereason unter dem Titel „ “ („ “; wird in einem neuen Tab geöffnet) erfreut sich Sliver bei Cyberkriminellen zunehmender Beliebtheit, vor allem weil es Open-Source, modular und plattformübergreifend (OS X, Linux und Windows) ist – was es flexibel und praktisch macht. Das Framework unterstützt viele der Kernfunktionen, die für die Simulation von Angreifern erforderlich sind, wie beispielsweise die dynamische Codegenerierung, Verschleierung zur Kompilierungszeit, den Mehrspielermodus und vieles mehr.
Das Sliver- C2 -Ökosystem besteht aus vier Hauptkomponenten. Es verfügt über eine Serverkonsole, die als Hauptschnittstelle dient, einen C2 -Server, eine Client-Konsole sowie ein Implantat, das als Schadcode fungiert, der auf einem Zielsystem ausgeführt wird.
Angreifer, die derzeit Sliver C2 einsetzen
APT29/Gemütlicher Bär
APT29, das mit der russischen Gruppe „“ in Verbindung steht, wurde von mehreren verschiedenen Organisationen beobachtet, wobei es Sliver C2 einsetzte, um seine Persistenz in einem kompromittierten Netzwerk sicherzustellen. In einem Bericht des National Cyber Security Centre (wird in einem neuen Tab geöffnet) (NCSC) wird darauf hingewiesen, dass der Einsatz von „Sliver“ wahrscheinlich ein Versuch war, den Zugriff auf eine Reihe von Opfern aufrechtzuerhalten.
TA551
Proofpoint hat E-Mails mit den Adressen (wird in einem neuen Tab geöffnet),und identifiziert, die Anhänge im Microsoft-Office-Format enthielten, in denen Makros eingebettet waren, die zur Installation des Sliver- C2 -Frameworks führten. In diesem Fall wurde „Sliver“ im Gegensatz zu den zuvor beobachteten TA551 Fällen erst nach dem ursprünglichen Infektionsvektor geladen.
Exotische Lilie
Cybereason berichtete bereits zuvor über (wird in einem neuen Tab geöffnet) Infektionen durch den BumbleBee-Loader, die zur Bereitstellung eines C2 -Frameworks führten. Es wurde festgestellt, dass „Exotic Lily“ eine „BumbleBee“-Loader-Infektion verbreitet, die letztendlich zur Bereitstellung von „Sliver C2“ führte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Sliver wird seit seiner Veröffentlichung im Jahr 2020 von Angreifern als Waffe eingesetzt und erfreut sich in der Cyberkriminellen-Szene nach wie vor wachsender Beliebtheit.“
„Zwar ist Sliver ein beeindruckendes Framework (weshalb es von Angreifern auch aktiv genutzt wird), doch ist es nicht das einzige Open-Source-Framework, das von Angreifern ausgenutzt wird.“ Empire ist ein weiteres C2 -Framework, das aufgrund seines breiten Spektrums an Funktionen, die es bereitstellt und mit denen es Angriffe durchführen kann, zunehmend an Beliebtheit gewinnt. All of this to say – open-source C2 frameworks likely aren’t going anywhere when it comes to cybercrime.”
2. Die Malware „Emotet“ feiert mit neuen Umgehungstechniken ein Comeback
Ein Blogbeitrag unter (wird in einem neuen Tab geöffnet) des Forschungs- und Informationsteams von BlackBerry befasst sich eingehend mit der neuesten Welle von Emotet-E-Mails, bei denen eine neue Methode zum Einsatz kommt, um Nutzer dazu zu verleiten, Makros zuzulassen, damit der Dropper heruntergeladen werden kann.
Zu den jüngsten Ergänzungen im Arsenal von Emotet gehören ein SMB-Spreader zur Erleichterung der lateralen Bewegung sowie ein Kreditkartendiebstahlprogramm, das auf Chrome-Browser abzielt.
Über die Emotet-Malware
Emotet ist ein Trojaner, der sich hauptsächlich über Spam-E-Mails verbreitet. Es begann als Banking-Trojaner, wird heute jedoch überwiegend als „Infrastructure as a Service“ betrachtet und als Dropper für die Verbreitung von Malware wie TrickBot, der Ryuk-Ransomware und Qbot eingesetzt.
Das FBI arbeitete Anfang 2021 in einer koordinierten Aktion mit ausländischen Strafverfolgungsbehörden und Partnern aus der Privatwirtschaft zusammen, um Emotet zu zerschlagen. Um die Infrastruktur von Emotet zu stören, übernahmen die Strafverfolgungsbehörden die Kontrolle über diese und legten sie von innen heraus lahm. Die Störung der Emotet-Infrastruktur reichte jedoch nicht aus, um die Malware zu stoppen. Emotet kehrte in die Bedrohungslandschaft zurück und führte fortan die Liste der Akteure mit hohem Versandvolumen von Proofpoint an, wobei täglich Tausende von E-Mails versendet wurden.
Die wachsende Toolbox von Emotet
Emotet hat sich seit seiner Entstehung weiterentwickelt. Es kann nun eine Reihe von Modulen beherbergen, von denen jedes für verschiedene Aspekte des Informationsdiebstahls genutzt wird und an die C2 Server Rückmeldungen übermittelt.
Es wurde zudem beobachtet, dass Emotet im Laufe der Jahre maßgeschneiderte Module zusammen mit frei verfügbaren Freeware-Tools einbaute und diese anpasste. Ein kürzlich hinzugefügtes Modul zielt beispielsweise auf den Google Chrome-Browser ab, um dort gespeicherte Kreditkartendaten zu stehlen. Ein weiteres kürzlich hinzugefügtes Modul ist ein SMB-Spreader-Modul (Server Message Block), das eine laterale Ausbreitung ermöglicht.
Um einige zuvor verwendete Module zu laden, nutzt Emotet zudem eine als „Heaven’s Gate“ bekannte Injektionstechnik. Dies ist eine berüchtigte Methode, die von Malware eingesetzt wird, um die Windows-API-Hooks Windows64 (WoW64) zu umgehen, indem bösartige 32-Bit-Prozesse in 64-Bit-Prozesse eingeschleust werden. Über „Heaven’s Gate“ nutzen Emotet-Loader die sogenannte „Process Hollowing“-Technik, um einen legitimen Prozess auszusetzen und anschließend dessen Image mit Schadcode zu überschreiben. Dieser Schadcode wird dann von dem nun ausgehöhlten Prozess aus ausgeführt, um Module zu laden.
Die Social-Engineering-Komponente von Emotet
Im vergangenen Sommer beschloss Microsoft, Makros standardmäßig zu deaktivieren, sodass der Benutzer sie jedes Mal erneut aktivieren muss. Die neueste Welle von Emotet-Spam-E-Mails enthält angehängte .xls-Dateien, die Nutzer dazu verleiten, diese Makros zu aktivieren, um den Dropper herunterzuladen.
- Wenn ein Benutzer eine .xls-Datei aus der E-Mail herunterlädt, hängt der Infektionsweg vollständig davon ab, ob der Benutzer Makros aktiviert, damit der Emotet-Dropper installiert werden kann. Zu diesem Zweck nutzt Emotet Social-Engineering-Techniken, um die Nutzer davon zu überzeugen, im Grunde ihren eigenen Computer zu kompromittieren.
- In dieser neuen Kampagne werden die Nutzer dazu aufgefordert, die neu heruntergeladene Datei in den Ordner „Vorlagen“ von Excel zu verschieben. Da dieser Ordner von Microsoft automatisch als vertrauenswürdig eingestuft wird, werden alle Dateien, die von diesem Speicherort aus ausgeführt werden, von der Funktion „Geschützte Ansicht“ ignoriert, sodass die Makros problemlos ausgeführt werden können.
- Wenn die Makros ausgeführt werden, stellen sie eine Verbindung zum Internet her, um die Emotet-Malware herunterzuladen und auszuführen. Der Emotet-Dropper wird als .dll-Datei in einen zufällig generierten Ordner heruntergeladen und erhält einen zufällig generierten Namen. Emotet läuft dann im Hintergrund weiter und stellt eine Verbindung zum C2 -Server her, um weitere Schadsoftware herunterzuladen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Jedes Mal, wenn Emotet erneut in den Nachrichten auftaucht, scheint es noch ausgefeilter zu sein als zuvor.“ Diese spezielle Kampagne ist ein Paradebeispiel dafür, wie Angreifer ihre Vorgehensweise anpassen, wenn versucht wird, sie daran zu hindern. In diesem Fall beschloss Microsoft, Makros standardmäßig zu blockieren, woraufhin Emotet erklärte: „Das ist in Ordnung, wir starten einfach aus einem Ordner, der diese geschützte Ansicht ignoriert.“
„Die Reaktion von Emotet auf die Entscheidung von Microsoft stützt sich ausschließlich auf Social Engineering, um einen Nutzer davon zu überzeugen, die schädliche Datei an einen Speicherort zu kopieren, an dem Makros ungehindert ausgeführt werden können.“ „Social Engineering funktioniert nach wie vor, und Emotet ist ein weiterer Beweis dafür.“
3. Chinesische Hacker nutzen eine Sicherheitslücke bei Fortinet aus und setzen einen Zero-Day-Angriff ein, um Malware zu verbreiten
Laut Mandiant gelang es einem mutmaßlich mit China in Verbindung stehenden Angreifer, eine kürzlich behobene Sicherheitslücke in Fortinet FortiOS SSL-VPN (öffnet in einem neuen Tab) erfolgreich auszunutzen und den Fehler als Zero-Day-Exploit bei Angriffen auf eine europäische Regierungsbehörde und einen MSP in Afrika zu nutzen.
Was ist CVE-2022-42475?
Am 12. Dezember 2022 veröffentlichte Fortinet eine PSIRT-Meldung und informierte Kunden, die von der Sicherheitslücke „ CVE-2022-42475“ (wird in einem neuen Tab geöffnet) sowie deren Ausnutzung durch staatlich geförderte Angreifer betroffen sein könnten.
CVE-2022-42475 wird als heap-basierte Pufferüberlauf-Sicherheitslücke in FortiOS SSL-VPN beschrieben. Dies könnte es einem unbefugten Angreifer aus der Ferne ermöglichen, mithilfe speziell gestalteter Anfragen beliebigen Code oder Befehle auszuführen.
Fortinet nennt mindestens einen Fall, in dem die Sicherheitslücke in der Praxis ausgenutzt wurde. Das PSIRT empfiehlt den Nutzern von FortiOS SSL-VPN nachdrücklich, unverzüglich eine Sicherheitsüberprüfung durchzuführen, indem sie ihre Systeme scannen und anhand der vom PSIRT bereitgestellten umfassenden Liste von Indikatoren für Kompromittierung (IOCs) überprüfen.
Zu den Indikatoren für eine Kompromittierung (IOCs) zählen das Vorhandensein bestimmter Protokolleinträge sowie das Vorhandensein mehrerer Artefakte in den Dateisystemen der betroffenen Geräte und ausgehende Verbindungen zu einer der von Fortiguard bereitgestellten verdächtigen IP-Adressen.
Die Ausbeutung
Die Ausnutzung der Schwachstelle „ CVE-2022-42475 “ durch einen mutmaßlich mit China in Verbindung stehenden Angreifer erfolgte bereits imOktober 2022, also mindestens fast zwei Monate vor der Veröffentlichung der Sicherheitspatches.
Mandiant erhebt keinen Anspruch darauf, die Ausnutzung von „ CVE-2022-42475“ direkt beobachtet zu haben; jedoch enthielten Beispiele der Linux-Variante von BOLDMOVE eine fest programmierte IP-Adresse mit der Nummer C2 , die von Fortinet als an der Ausnutzung der Sicherheitslücke beteiligt aufgeführt wurde. Mandiant wertet dies als Hinweis darauf, dass die Schwachstelle CVE-2022-42475 dazu ausgenutzt wurde, die Backdoor-Malware „BOLDMOVE“ zu verbreiten.
Die Malware, die letztendlich infolge dieser Aktivitäten verbreitet wurde – von Mandiant als „BOLDMOVE“ bezeichnet –, wird von dem Sicherheitsunternehmen als neue Variante beschrieben, die sowohl über eine Windows- als auch eine Linux-Variante verfügt und speziell für die Ausführung auf FortiGate-Firewalls entwickelt wurde. Mandiant entdeckte die BOLDMOVE-Backdoor erstmals im Dezember 2022.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Dieser Vorfall macht den Sicherheitsverantwortlichen erneut deutlich, mit welchen Schwachstellen und Lücken in der Transparenz Organisationen ständig zu kämpfen haben, wenn sie für die Fernverwaltung von Netzwerken und Diensten zuständig sind. Aufgrund der Einschränkungen, die sich aus den Konfigurationen der dafür erforderlichen Geräte ergeben, ist es zudem schwierig, den Umfang und das Ausmaß böswilliger Aktivitäten zu erfassen, die aus der Ausnutzung öffentlich zugänglicher Netzwerkgeräte resultieren.“
„Die Schwierigkeiten, die mit dem Versuch verbunden sind, bösartige Prozesse auf verwalteten Geräten zu erkennen oder proaktive Suchvorgänge durchzuführen, führen im Grunde dazu, dass am Rand der betroffenen Netzwerke blinde Flecken entstehen.“
Bleiben Sie über die neuesten Entwicklungen im Bereich der Cyber-Bedrohungsinformationen auf dem Laufenden, indem Sie unsere Sammlung von Übersichtsberichten einsehen.
