Diese Woche untersucht CTI, warum das Sliver-Befehls- und Kontroll (C2)-Framework bei Bedrohungsakteuren als Open-Source-Alternative zu Tools wie Cobalt Strike und Metasploit an Bedeutung gewinnt. Als nächstes tauchen wir tief in die neueste Entwicklung von Emotet ein. Ebenfalls enthalten ist eine Übersicht über einen Vorgang, bei dem ein vermuteter China-Nexus-Bedrohungsakteur eine kürzlich gepatchte Schwachstelle in Fortinet FortiOS SSL-VPN ausnutzte und den Fehler als Zero-Day bei Angriffen nutzte, die auf eine europäische Regierungsbehörde und einen Managed Service Provider (MSP) in Afrika abzielten.
1. Bedrohungsakteure wenden sich an Sliver als Open-Source-Alternative zu beliebten C2 Frameworks
Sliver ist ein Tool, das Sicherheitsexperten im Betrieb des roten Teams verwenden, um kompromittierte Maschinen während der Sicherheitsbewertungen aus der Ferne zu steuern. Es handelt sich um ein Golang-basiertes, plattformübergreifendes Framework nach der Nutzung, das mit Cobalt Strike und Metasploit vergleichbar ist.
Laut einem neuen Cybereason-Bericht (eröffnet in einer neuen Registerkarte) wird Sliver bei Cyberkriminellen immer beliebter, vor allem, weil es Open-Source, modular und plattformübergreifend (OS X, Linux und Windows) ist – was es flexibel und bequem macht. Das Framework unterstützt viele der Kernfunktionen, die für die gegnerische Simulation erforderlich sind, wie dynamische Codegenerierung, Kompilierungszeitverschleierung, Mehrspielermodus und mehr.
Das Sliver C2 -Ökosystem besteht aus vier Hauptkomponenten. Es verfügt über eine Serverkonsole, die als Hauptschnittstelle fungiert, einen C2 -Server, eine Client-Konsole und ein Implantat, das als bösartiger Code dient, der auf einem Zielsystem ausgeführt wird.
Bedrohungsakteure verwenden derzeit Sliver C2
APT29/Kozy-Bär
APT29, verbunden mit Russland, wurde von mehreren verschiedenen Organisationen beobachtet, die Sliver C2 verwenden, um die Persistenz in einem kompromittierten Netzwerk sicherzustellen. Ein Bericht des National Cyber Security Centre (öffnet sich in einer neuen Registerkarte) (NCSC) stellt fest, dass die Verwendung von Sliver wahrscheinlich ein Versuch war, den Zugang zu einer Reihe von Opfern aufrechtzuerhalten.
TA551
Proofpoint identifizierte E-Mails (öffnet sich in einer neuen Registerkarte) mit Microsoft Office-Anhängen, die Makros enthielten, die zur Bereitstellung des Sliver C2 -Frameworks führten. In diesem Fall wurde Sliver nach dem anfänglichen Infektionsvektor geladen, im Gegensatz zu zuvor beobachteten TA551 Fällen.
Exotische Lilie
Cybereason berichtete zuvor über BumbleBee Loader- Infektionen (öffnet sich in einer neuen Registerkarte), die zur Bereitstellung eines C2 -Frameworks führten. Exotische Lily wird beobachtet, die eine BumbleBee-Laderinfektion verteilt, die letztendlich zum Einsatz von Sliver C2 führte.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Sliver wurde seit seiner Veröffentlichung im Jahr 2020 von Bedrohungsakteuren bewaffnet und gewinnt immer noch an Popularität in der Cyberkriminalitätsgemeinschaft.“
„Während Sliver ein beeindruckendes Framework ist (daher nutzen Bedrohungsakteure es aktiv), ist es nicht das einzige Open-Source-Framework, das von Bedrohungsakteuren ausgenutzt wird. Empire ist ein weiteres C2 -Framework, das aufgrund der breiten Palette von Funktionen an Popularität gewinnt, die es bereitstellen und angreifen kann. All dies, um es zu sagen – Open-Source- C2 -Frameworks gehen wahrscheinlich nirgendwo hin, wenn es um Cyberkriminalität geht.“
2. Emotet-Malware macht mit neuen Ausweichtechniken ein Comeback
Ein Blog (öffnet sich in einer neuen Registerkarte) des Forschungs- und Intelligence-Teams von BlackBerry taucht in die neueste Welle von Emotet-E-Mails ein, die eine neue Methode beinhalten, um Benutzer dazu zu bringen, Makros zuzulassen, um den Dropper herunterzuladen.
Zu den neuesten Ergänzungen des Arsenals von Emotet gehören ein SMB-Spreader zur Erleichterung der seitlichen Bewegung und ein Kreditkartenstealer, der auf Chrome- Browser abzielt.
Über Emotet-Malware
Emotet ist ein Trojaner, der sich hauptsächlich über Spam-E-Mails verbreitet. Sie begann als Bankentrojaner, wird heute aber hauptsächlich als Infrastruktur als Service angesehen und als Dropper für die Lieferung von Dingen wie TrickBot, Ryuk-Ransomware und Qbot verwendet.
Das FBI arbeitete mit ausländischen Strafverfolgungsbehörden und Partnern des privaten Sektors zusammen, um Emotet Anfang 2021 zu beseitigen. Um die Infrastruktur von Emotet zu stören, erlangten die Strafverfolgungsbehörden die Kontrolle über die Infrastruktur und nahmen sie von innen heraus. Die Störung der Emotet-Infrastruktur reichte jedoch nicht aus, um die Malware zu stoppen. Emotet kehrte in die Bedrohungslandschaft zurück und begann damit, die Liste der hochvolumigen Akteure von Proofpoint zu übertreffen und Tausende von E-Mails pro Tag zu verteilen.
Die wachsende Toolbox von Emotet
Emotet hat sich seit seiner Gründung weiterentwickelt. Sie kann nun eine Reihe von Modulen hosten, von denen jedes für verschiedene Aspekte des Informationsdiebstahls verwendet wird, die an die C2 Server zurückgemeldet werden.
Emotet wurde auch beobachtet, wie benutzerdefinierte Module zusammen mit leicht verfügbaren Freeware-Tools injiziert und im Laufe der Jahre optimiert wurden. Zum Beispiel zielt ein kürzlich hinzugefügtes Modul auf den Google Chrome-Browser ab, um gespeicherte Kreditkarteninformationen zu stehlen. Ein weiteres kürzlich hinzugefügtes Modul ist ein Server Message Block (SMB) Spreader-Modul, das eine seitliche Bewegung ermöglicht.
Um einige zuvor verwendete Module zu laden, verwendet Emotet auch eine Injektionstechnik, die als Heaven’s Gate bekannt ist. Dies ist eine berüchtigte Methode, die von Malware verwendet wird, um Windows auf Windows64 (WoW64) API-Hooks zu umgehen, indem bösartige 32-Bit-Prozesse verwendet werden, um in 64-Bit-Prozesse einzuspeisen. Durch Heaven’s Gate verwenden Emotet-Loader die Prozesshohltechnik, um einen legitimen Prozess auszusetzen und sein Bild dann mit bösartigem Code neu zuzuordnen. Dieser bösartige Code läuft dann vom jetzt ausgehobenen Prozess zum Laden von Modulen.
Emotets Social Engineering-Komponente
Letzten Sommer hat Microsoft beschlossen, Makros standardmäßig zu deaktivieren, sodass der Benutzer jedes Mal Makros aktivieren muss. Die neueste Welle von Emotet-Spam-E-Mails enthält angehängte .xls-Dateien, die Benutzer dazu verleiten, diese Makros zuzulassen, um den Dropper herunterzuladen.
- Wenn ein Benutzer eine .xls-Datei aus der E-Mail herunterlädt, ist der Infektionsvektor vollständig davon abhängig, dass der Benutzer Makros aktiviert, sodass der Emotet-Dropper installiert werden kann. Dazu verlässt sich Emotet auf Social Engineering, um Benutzer davon zu überzeugen, ihre eigene Maschine grundsätzlich zu gefährden.
- In dieser neuen Kampagne werden Benutzer angewiesen, die neu heruntergeladene Datei in den Ordner Vorlagen von Excel zu verschieben. Da dieser Ordner automatisch von Microsoft vertrauenswürdig ist, wird jede Datei, die von diesem Speicherort ausgeführt wird, von der Funktion Geschützte Ansicht ignoriert, wodurch die Makros problemlos ausgeführt werden können.
- Wenn die Makros ausgeführt werden, wenden sie sich an das Internet, um Emotet-Malware herunterzuladen und auszuführen. Der Emotet-Dropper wird in einen zufällig generierten Ordner als .dll-Datei heruntergeladen und erhält einen zufällig generierten Namen. Emotet läuft dann im Hintergrund und wendet sich an den C2 -Server, um zusätzliche Malware herunterzuladen.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Jedes Mal, wenn Emotet wieder in den Nachrichten erscheint, erscheint es noch raffinierter als die letzte. Diese spezielle Kampagne ist ein hervorragendes Beispiel dafür, wie Bedrohungsakteure sich als Reaktion auf Versuche, sie zu behindern, schwenken werden. In diesem Fall hat Microsoft beschlossen, Makros standardmäßig zu blockieren, und Emotet sagte: „Das ist in Ordnung, wir starten einfach aus einem Ordner, der diese geschützte Ansicht ignoriert.“
„Emotets Antwort auf die Entscheidung von Microsoft beruht ausschließlich auf Social Engineering, um einen Benutzer davon zu überzeugen, die bösartige Datei an einen Ort zu kopieren, an dem Makros ohne Behinderung ausgeführt werden können. Social Engineering funktioniert immer noch, und Emotet ist ein weiterer Beweis dafür.“
3. Chinesische Hacker nutzen Fortinet-Fehler aus, verwenden 0-Day, um Malware zu löschen
Laut Mandiant nutzte ein vermuteter China-nexus-Bedrohungsakteur erfolgreich eine kürzlich gepatchte Schwachstelle in Fortinet FortiOS SSL-VPN (öffnet sich in einer neuen Registerkarte) aus und nutzte den Fehler als Zero-Day-Angriffe auf eine europäische Regierungsbehörde und MSP in Afrika.
Was ist CVE-2022-42475?
Am veröffentlichte Fortinet eine PSIRT-Beratung und informierte Kunden 12. Dezember 2022, die von CVE-2022-42475 betroffen sein könnten (öffnet sich in einer neuen Registerkarte) und ihre Ausnutzung in den Händen von staatlich gesponserten Bedrohungsakteuren.
CVE-2022-42475 wird als Heap-basierte Pufferüberlaufschwachstelle in FortiOS SSL-VPN beschrieben. Sie kann es einem Remote-Angreifer ermöglichen, beliebigen Code oder Befehle mit speziell erstellten Anforderungen auszuführen.
Fortinet zitiert mindestens einen Fall, in dem die Schwachstelle in freier Wildbahn ausgenutzt wurde. Das PSIRT empfiehlt dringend, dass FortiOS SSL-VPN-Benutzer sofort Expositionsprüfungen durchführen, indem sie ihre Systeme streichen und sie anhand der signifikanten Liste von Indikatoren für Kompromittierung (IOCs) überprüfen, die vom PSIRT bereitgestellt werden.
Die IOCs umfassen das Vorhandensein bestimmter Protokolleinträge sowie das Vorhandensein mehrerer Artefakte innerhalb der Dateisysteme der betroffenen Geräte und ausgehende Verbindungen zu einer der verdächtigen IP-Adressen, die von Fortiguard bereitgestellt werden.
Die Verwertung
Die Ausbeutung von CVE-2022-42475 durch einen vermuteten China-Nexus-Bedrohungsakteur ereignete sich bereits, Oktober 2022mindestens zwei Monate vor der Veröffentlichung von Korrekturen.
Mandiant behauptet nicht, die Ausnutzung von CVE-2022-42475 direkt beobachtet zu haben, aber Muster der Linux-Variante von BOLDMOVE enthielten eine hartcodierte C2 -IP-Adresse, die von Fortinet als an der Ausnutzung des Sicherheitsfehlers beteiligt aufgeführt wurde. Mandiant nimmt dies als Hinweis auf die Ausnutzung von CVE-2022-42475 zum Zwecke der Bereitstellung von BOLDMOVE-Backdoor-Malware.
Die Malware, die letztendlich als Ergebnis dieser Aktivität bereitgestellt wurde – verfolgt als BOLDMOVE von Mandiant – wird von der Intel-Firma als neuer Stamm sowohl mit einer Windows- als auch einer Linux-Variante beschrieben, die speziell für die Ausführung auf FortiGate-Firewalls entwickelt wurde. Mandiant entdeckte die Hintertür von BOLDMOVE erstmals im Dezember 2022.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Diese Operation dient als Erinnerung an die Verteidiger an die Schwachstellen und Visibilitätslücken, mit denen Organisationen ständig kämpfen, wenn sie für die Remote-Verwaltung von Netzwerken und Diensten verantwortlich sind. Aufgrund der Einschränkungen, die durch die Konfigurationen der dafür erforderlichen Geräte auferlegt werden, ist es auch schwierig, den Umfang und das Ausmaß bösartiger Aktivitäten zu messen, die sich aus der Nutzung öffentlich zugänglicher Netzwerkgeräte ergeben.“
„Die Schwierigkeiten, die mit dem Versuch verbunden sind, bösartige Prozesse zu erkennen oder proaktive Jagden auf verwalteten Geräten durchzuführen, haben im Grunde die Wirkung, blinde Flecken auf dem Umfang der Zielnetzwerke zu schaffen.“
Bleiben Sie auf dem Laufenden über die neuesten Nachrichten zur Cyber Threat Intelligence, indem Sie sich unsere Bibliothek mit Roundup-Berichten ansehen.
