In der Zusammenfassung dieser Woche befasst sich CTI mit dem aktuellen „Cyber Threat Index“-Bericht von Coalition und bietet Einblicke in die Internetsicherheit, Trends bei Cyberrisiken sowie Sicherheitslücken. Als Nächstes untersucht CTI eine derzeit laufende Phishing-Kampagne unter dem Namen „ “ ( ), die sich mit steuerbezogenen Lockangeboten an Opfer in Mexiko richtet. Abschließend gibt CTI einen Überblick über den jährlichen „State of the Phish“-Bedrohungsbericht von Proofpoint für das Jahr 2024.
1. Forscher prognostizieren einen Anstieg der CVEs um 25 %
Coalition has released its latest Cyber Threat Index report for 2024 (opens in a new tab), offering insights into recent internet security, risk trends, and vulnerabilities.
Zu den wichtigsten Ergebnissen zählt die Prognose des Unternehmens, dass die Zahl der „Common Vulnerabilities and Exposures“ (CVEs) im Jahr 2024 um 25 % steigen wird. Die Koalition rechnet mit etwa 2 900 Sicherheitslücken pro Monat, was einen Anstieg gegenüber einem Durchschnitt von 2 321 im Jahr 2023 darstellt.
Über die Honeypot-Daten von Coalition
Die Koalition unterhält mehrere Honeypots, die zahlreiche Sicherheitslücken enthalten. Sie setzen bewusst veraltete Software ein, um einen Einblick darin zu gewinnen, worauf es den Angreifern ankommt.
Zwar hat Coalition eine beträchtliche Menge an harmlosem Datenverkehr festgestellt, der auf ihre Honeypots zielt, doch hat das Unternehmen auch von einer beträchtlichen Menge an bösartigem Datenverkehr berichtet. Insbesondere der RDP-Datenverkehr nahm im Jahr 2023 zu, wobei die Zahl der eindeutigen IP-Adressen, die nach RDP-Verbindungen suchten, um 59 % stieg.
Über das Internet zugängliche Dienste
Die Koalition überprüft regelmäßig die risikoreichsten Schwachstellen im öffentlichen Internet. Das Unternehmen stellte fest, dass offene Ports nach wie vor eines der größten Risiken darstellen. Zudem war Port 7547 der höchste, der bei 2023 gescannt wurde.
Es wurde beobachtet, dass Angreifer nach bestimmten Webdiensten wie Apache, Nginx und IIS suchten und fehlkonfigurierte Fernverwaltungstools ausnutzten. Es überrascht nicht, dass die Angreifer auch nach ungeschützten Datenbanken suchten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Ergebnisse der Koalition untermauern zudem die von der „ “ hervorgehobene Notwendigkeit einer zeitnahen Installation von Patches – eine Notwendigkeit, die von Jahr zu Jahr an Bedeutung gewinnt.
Das Unternehmen prognostiziert einen Anstieg der CVEs für 2024. Es ist zwar wichtig, sich der Risiken bewusst zu sein, die Sicherheitslücken mit sich bringen, doch ebenso wichtig ist es zu verstehen, dass sie nicht die einzige Bedrohung darstellen, der Unternehmen heutzutage ausgesetzt sind.
2. TimbreStealer verbreitet sich über Phishing-E-Mails
Eine Phishing-Kampagne unter dem Namen „ “ (wird in einem neuen Tab geöffnet) richtet sich aktiv an Opfer in Mexiko und nutzt dabei finanzielle Anreize. Die Kampagne läuft bereits seit mindestens dem November 2023 und zielt darauf ab, eine bislang unbekannte Malware namens „TimbreStealer“ zu verbreiten. Der Angreifer nutzt ausgefeilte Verschleierungstechniken und setzt Geofencing ein, um Nutzer von besonderem Interesse zu identifizieren.
Über die Kampagne
Im Rahmen dieser Kampagne leiten Phishing-E-Mails die Opfer auf eine kompromittierte Website weiter, auf der eine schädliche Nutzlast bereitgestellt wird. Die E-Mails zielen darauf ab, die Opfer dazu zu bewegen, schädliche Inhalte auszuführen.
Die Kampagne richtet sich derzeit ausschließlich an Nutzer in Mexiko und nutzt hierfür Geofencing-Techniken. Mit dieser Technik wird jedem Nutzer, der versucht, auf die schädliche Website zuzugreifen, und sich nicht in Mexiko befindet, anstelle des eigentlichen schädlichen Dokuments ein leeres PDF-Dokument angezeigt.
Was ist TimbreStealer?
TimbreStealer ist ein kürzlich identifizierter Informationsdieb vom Typ „ “ ( ), der eine Reihe von Techniken einsetzt, um einer Erkennung zu entgehen und seine Persistenz aufrechtzuerhalten. Zu diesen Techniken gehören unter anderem die Umgehung der herkömmlichen API-Überwachung, die Nutzung der „Heaven’s Gate“-Technik sowie der Einsatz benutzerdefinierter Loader. Cisco Talos geht davon aus, dass der hinter der Malware stehende Angreifer über fundierte Kenntnisse verfügen muss, da diese Funktionen relativ komplex sind.
- Nachdem die erste Ebene extrahiert wurde, führt die Malware eine Überprüfung durch, um festzustellen, ob das System als Angriffsziel in Frage kommt und ob sie in einer Sandbox ausgeführt wird.
- Anschließend werden zahlreiche Submodule extrahiert, die in der Nutzlast eingebettet sind. Bemerkenswert ist, dass Cisco Talos in seinem Bericht ausführlich auf die verschiedenen Ebenen der Malware eingeht.
- Das Interessante an dieser Malware ist, dass sie Aufrufe an eine Funktion ausführt, die dazu dient, Systemwiederherstellungspunkte auf dem Gerät zu entfernen. Laut Cisco Talos ist diese Aktivität in der Regel typisch für Ransomware, doch bislang wurden auf den infizierten Geräten noch keine Anzeichen von Ransomware-Aktivitäten festgestellt.
Forscher haben mehrere Zeichenfolgen innerhalb von Funktionen entdeckt, die für das Durchsuchen von Dateien und Verzeichnissen auf dem Rechner des Opfers zuständig sind. Es wurde zudem festgestellt, dass die Malware die SQLite-Bibliothek einbettet, die für die Speicherdateien von Anmeldedaten verschiedener Browser benötigt wird.
TimbreStealer durchsucht Verzeichnisse nach Dateien, doch der genaue Zweck dieser Aktion ist bislang nicht bekannt. Zu den gescannten Ordnern gehören unter anderem Dateien im Zusammenhang mit AdwCleaner, dem Avast-Scanner, der Quarantäne von 360 Antivirus und weiteren Programmen. Außerdem identifizierten sie eine Reihe von Zeichenfolgen wie „.Spotlight-V100” “ und „.fseventsd“, die mit macOS in Zusammenhang stehen.
Die Malware nutzt WMI und Registrierungsschlüssel, um Informationen vom Computer des Opfers zu sammeln. Zu den erfassten Informationen gehören Angaben zum Betriebssystem, zum SMB-BIOS, zur Hardware, zur Netzwerkdomäne sowie Anwendungsdaten.
Vorherige zugehörige Kampagne
Cisco Talos hat beobachtet, dass der mutmaßliche Angreifer seit mindestens dem September 2023 neue Kampagnen durchführt. In „ September 2023“ verbreitete der Schauspieler eine Variante von „Mispadu“, bei dem es sich um einen Banking-Trojaner handelt. Bei dieser früheren Kampagne wurden kompromittierte Websites genutzt, um letztendlich eine .url-Datei zu übermitteln, mit der eine extern gehostete Datei ausgeführt wurde. Die Datei verwendete einen WebDAV-Dateipfad, und alle WebDAV-Server waren durch ein Geofence-System so eingeschränkt, dass nur Verbindungen von IP-Adressen in Mexiko zugelassen wurden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Den Erkenntnissen von Cisco Talos zufolge verbreitete dieser Angreifer zuvor den Banking-Trojaner „Mispadu“, bevor er auf diese neue Malware namens „TimbreStealer“ umstieg. Abgesehen von den Veränderungen bei der Malware blieben die übrigen TTPs relativ unverändert.
Dennoch wäre es nicht überraschend, wenn dieser Akteur in naher Zukunft erneut auf eine andere Malware umsteigen würde. Auch wenn diese Kampagne speziell auf Nutzer in Mexiko zugeschnitten ist, greift sie ein für diese Jahreszeit sehr verbreitetes Phishing-Thema auf: Steuern.
Diese Aktion erinnert uns zumindest daran, während der Steuerzeit wachsam zu sein und auf steuerbezogene Lockangebote zu achten.
3. Proofpoint veröffentlicht seinen 2024 . „State of the Phish“-Bericht
Proofpoint hat seinen jährlichen Bedrohungsbericht „State of the Phish (wird in einem neuen Tab geöffnet)“ für das Jahr 2024 veröffentlicht. Der Bericht basiert auf einer Umfrage unter 7 500 Endnutzern und 1 050 Sicherheitsexperten in verschiedenen Ländern sowie auf Proofpoints eigenen Daten, die aus den Produkten des Unternehmens, von Bedrohungsforschern und aus simulierten Phishing-Nachrichten stammen.
Der Bericht hebt hervor, dass „Menschen ein wesentlicher Bestandteil jeder guten Verteidigung sind, aber auch am verwundbarsten sein können.“
Wichtigste Erkenntnisse aus dem Bericht von Proofpoint
Proofpoint hat durchschnittlich 66 Millionen Angriffe im Rahmen von „Business Email Compromise“ (BEC) pro Monat erkannt und abgewehrt. In ihrem Bericht wird zudem erneut darauf hingewiesen, dass Ransomware auf dem Vormarsch ist und dass Microsoft nach wie vor die am häufigsten imitierte Marke ist.
Eine interessante Statistik, die von Proofpoint veröffentlicht wurde, stammt aus einer Umfrage unter Endnutzern und besagt, dass “71 % der berufstätigen Erwachsenen zugaben, eine riskante Handlung begangen zu haben, wie beispielsweise die Wiederverwendung oder Weitergabe eines Passworts, das Anklicken von Links unbekannter Absender oder die Weitergabe von Zugangsdaten an eine nicht vertrauenswürdige Quelle. „Und 96 % von ihnen taten dies in dem Bewusstsein, dass sie ein Risiko eingingen.“
Trends im Bereich Sicherheitsbewusstsein
Obwohl 99 % der befragten Unternehmen über ein Programm zur Sensibilisierung für Sicherheitsfragen verfügen, bewirken viele davon keine tatsächliche Verhaltensänderung. Einer der wichtigsten Gründe hierfür liegt in den Themen, die in Schulungen zur Sensibilisierung für Sicherheitsfragen behandelt werden, da diese häufig nicht das gesamte Spektrum der Risiken abdecken.
Proofpoint stellt zudem einen Aufwärtstrend bei der Schulung bestimmter Funktionen bzw. Abteilungen in Unternehmen fest (bis zu 41 % gegenüber 28 % im Vorjahr), was einen wesentlich gezielteren Schulungsansatz darstellt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Proofpoint hat in seinem Bericht zahlreiche weitere interessante Statistiken aufgeführt, weshalb sich die Lektüre lohnt. Sie fassen ihre Erkenntnisse in einem Punkt zusammen: „Selbst die besten technischen Schutzmaßnahmen können untergraben werden, wenn die Nutzer die grundlegenden Vorsichtsmaßnahmen nicht befolgen, wie zum Beispiel das Meiden verdächtiger Links, die Überprüfung der Identität des Absenders, die Festlegung eines sicheren Passworts und die Geheimhaltung desselben.“
Kurz gesagt: Schulungs- und Sensibilisierungsprogramme sind von entscheidender Bedeutung und dürfen nicht stagnieren. Sie müssen regelmäßig mit den aktuellsten Bedrohungen aktualisiert werden, damit die Nutzer wissen, worauf sie achten müssen, und die potenziellen Risiken verstehen. Darüber hinaus sind gezielte und maßgeschneiderte Schulungen zur Sensibilisierung für Sicherheitsfragen von entscheidender Bedeutung, um das Programm Ihres Unternehmens auf die nächste Stufe zu heben.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
