In der Zusammenfassung dieser Woche befasst sich CTI mit einem als „ToddyCat“ bekannten Angreifer, bei dem beobachtet wurde, dass er gleichzeitige Verbindungen zu den Systemen der Opfer nutzt, um sich dauerhaft Zugang zu verschaffen und Daten in industriellem Ausmaß zu stehlen. Als Nächstes untersucht CTI einen nordkoreanischen Akteur, der möglicherweise Verbindungen zu Kimsuky unterhält. Abschließend erläutert CTI, wie die russische Gruppe „ APT28 “ eine ältere Sicherheitslücke im Windows-Druckspooler ausnutzt, um ein bislang unbekanntes Hacking-Tool namens „GooseEgg“ einzusetzen.
1. ToddyCat setzt fortschrittliche Tools für Datendiebstahl im industriellen Maßstab ein
Kürzlich wurde beobachtet, dass ein als „ToddyCat“ bekannter Angreifer gleichzeitige Verbindungen zu den Systemen der Opfer nutzte, um sich dauerhaft Zugang zu verschaffen und Daten zu stehlen.
Die Kampagne nutzt verschiedene Instrumente, von denen viele für den „ “-Akteur „ToddyCat“ neu sind. Forscher haben die Liste der von dem Angreifer in dieser jüngsten Kampagne eingesetzten Tools aufgeschlüsselt.
Die Tools von ToddyCat zum Tunneling von Datenverkehr
ToddyCat verfügte über mehrere Tunnel zur infizierten Infrastruktur, die jeweils mithilfe unterschiedlicher Tools eingerichtet wurden, um auch dann in der Umgebung bestehen zu bleiben, wenn ein Tunnel abgeschaltet wird. Dieser ständige Zugriff auf die Infrastruktur ermöglichte es dem Akteur, aggressive Erkundungsmaßnahmen durchzuführen.
- Reverse-SSH-Tunnel: Es wurde festgestellt, dass ToddyCat einen Reverse-SSH-Tunnel nutzte, um auf Remote-Dienste zuzugreifen.
- SoftEther VPN: ToddyCat nutzte für die Tunnelbildung ebenfalls das Server-Dienstprogramm aus dem SoftEther-VPN-Paket. In den meisten Fällen benannte der Täter die digital signierte ausführbare Datei des VPN-Servers um, um deren Zweck auf dem System zu verschleiern.
- Ngrok Agent und Krong: In einigen Fällen richtete der Angreifer einen Tunnel zu einem legitimen Cloud-Anbieter ein, um auf die Remote-Infrastruktur zuzugreifen. Laut Kaspersky ist Ngrok „ein schlanker Agent, der Datenverkehr von Endgeräten zur Cloud-Infrastruktur und umgekehrt umleiten kann“. Ngrok wurde auf mehreren Hosts installiert und dazu verwendet, den C2 -Datenverkehr von der Cloud-Infrastruktur auf einen bestimmten Port dieser Hosts umzuleiten. Der angegebene Port war derselbe Port, auf dem ein anderes Tool namens Krong auf Verbindungen wartet. „Krong“ ist eine seitlich geladene DLL-Datei, die von AVG TuneUp digital signiert wurde.
- FRP-Client: Nachdem der Angreifer mithilfe der oben genannten Methoden mehrere Tunnel eingerichtet hatte, installierte er den FRP-Client. Dieser Client ist ein Reverse-Proxy, der den Zugriff aus dem Internet auf einen lokalen Server hinter einem NAT oder einer Firewall ermöglicht.
Tools zur Datenerfassung
Es wurde zudem beobachtet, dass ToddyCat verschiedene Tools zur Datenerfassung einsetzt, die jeweils einem anderen Zweck dienen.
- Cuthead: Ein neues Tool, das zur Suche nach Dokumenten dient. Der Name wurde anhand des Feldes „Dateibeschreibung“ der von SecureList identifizierten Probe ermittelt. Das Tool ist in .NET kompiliert und sucht nach Dateien, die es anschließend in einem Archiv speichert. Das Tool kann nach bestimmten Dateiendungen oder bestimmten Wörtern suchen.
- WAExp: „ “ ist ein WhatsApp-Datendiebstahlprogramm. Es wurde in .NET programmiert und zielt darauf ab, Daten aus der Webversion von WhatsApp zu stehlen. Die Webversionen speichern Daten über einen Nutzer, darunter Profilangaben, Chat-Daten, Telefonnummern der Chat-Partner sowie Daten zur aktuellen Sitzung.
- TomBerBil: Der Akteur wurde zudem dabei beobachtet, wie er ein Tool namens TomBerBil einsetzte, um Passwörter aus Browsern zu stehlen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
ToddyCat hat sich offensichtlich intensiv Gedanken darüber gemacht, wie man sich in einer Umgebung am besten behaupten kann, und ist zu dem Schluss gekommen, mehrere Tunnel zu nutzen, für den Fall, dass einer entdeckt und abgeschnitten wird.
Dieser Ansatz erfordert – zusammen mit dem Einsatz verschiedener Tools zur Datenerfassung – einen höheren Wartungsaufwand und mehr Verwaltungsaufwand. Dies kann sich jedoch als recht effektiv erweisen, insbesondere wenn neue oder maßgeschneiderte Werkzeuge in den Mix einbezogen werden.
2. Hacker nutzen eScan-Updates, um die Malware „GuptiMiner“ zu verbreiten
Ein nordkoreanischer Akteur vom Typ „ “ ( ), der möglicherweise Verbindungen zu der APT-Gruppe „Kimsuky“ unterhält, wurde dabei beobachtet, wie er den Aktualisierungsmechanismus des Antivirenprogramms eScan ausnutzte.
Der Angreifer verschaffte sich eine „ “-Position als „Adversary-in-the-Middle“ ( , AitM), um das legitime eScan-Update-Paket zu kapern und zu ersetzen. Ziel des Angriffs ist es, über die Malware „GuptiMiner“ Hintertüren zu installieren und Kryptowährungs-Miner zu verbreiten.
Die Infektionskette
Diese Infektionskette beginnt, wenn eScan eine Aktualisierung vom Aktualisierungsserver anfordert. Dabei fängt ein Angreifer vom Typ „Man-in-the-Middle“ das Update-Paket ab, lädt es herunter und ersetzt es durch ein schädliches Paket. Anschließend entpackt und lädt eScan dieses Paket, während eine DLL per Sideloading geladen wird, die den weiteren Ablauf der Kette ermöglicht.
- Schritt 0 – Installationsvorgang: Die Hintermänner dieser Kampagne führten einen Man-in-the-Middle-Angriff durch, um anstelle des legitimen eScan-Updates ein infiziertes Installationsprogramm auf das Gerät des Opfers herunterzuladen. Derzeit liegen nur begrenzte Informationen darüber vor, wie der Angreifer die MitM-Phase des Angriffs durchgeführt hat.
- Phase 0,9 – Verbesserungen bei der Installation: Der Installationsprozess wurde im Laufe der Zeit weiterentwickelt und unterscheidet sich mittlerweile erheblich von der ursprünglichen Version. Nun nutzt der Angreifer geplante Aufgaben, WMI-Ereignisse, verschiedene Folgetätigkeiten, deaktiviert Windows Defender und installiert Zertifikate unter Windows.
- Phase 1 – PNG-Loader: Eine in Phase 0 ausgeführte PE-Datei dient in dieser Phase sowie in weiteren Phasen als Dropper, indem sie eine Verbindung zum bösartigen DNS-Server des Angreifers herstellt. Eine erhaltene Antwort enthält eine verschlüsselte URL des eigentlichen C2 -Servers, von dem die Malware eine zusätzliche PNG-Bild-Nutzlast anfordert. Diese PNG-Nutzlast enthält einen Shellcode, der zu einem späteren Zeitpunkt zusätzliche Funktionen bereitstellt.
- Stufe 2 – Gzip-Loader: Dies ist die kürzeste Stufe, in der der Gzip-Loader einen weiteren Shellcode über Gzip entpackt und diesen in einem separaten Thread ausführt. In diesem Thread wird die Etappe 3 geladen. Im Rahmen verschiedener GuptiMiner-Operationen wurde der Gzip-Loader nicht verändert.
- Stufe 3 – Puppeteer: Diese Stufe ist für die Steuerung der wichtigsten Funktionen der Malware zuständig, darunter das Schürfen von Kryptowährungen und das Einrichten von Hintertüren. Puppeteer überprüft das System alle 5 Sekunden auf laufende Prozesse und beendet dabei Programme wie taskmgr, Autoruns, Wireshark, Wireshark-gtp und TCPView. Die Malware überprüft einen Registrierungsschlüssel für den DNS-Server, um festzustellen, ob es sich bei dem Rechner um einen Windows-Server handelt. Anschließend ermittelt es die Anzahl der in der Domäne registrierten Computer und versucht, eine zusätzliche PNG-Datei herunterzuladen.
- Stage 4 – Backdoor: GuptiMiner setzt zwei Arten von Backdoors ein. Die erste basiert auf einer maßgeschneiderten Version von PuTTY und verfügt über Erweiterungen für das lokale SMB-Scannen, um eine laterale Bewegung zu ermöglichen. Die zweite Hintertür ist eine modulare Hintertür, die zunächst nach lokal gespeicherten privaten Schlüsseln bzw. Krypto-Wallets sucht und anschließend eine modulare Hintertür in Form von Shellcode einschleust.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Dieser Angreifer zeichnet sich durch ein hohes Maß an Raffinesse aus und nutzt bis zur endgültigen Verteilung der Payload eine Reihe von Phasen, Funktionen und Tools.
Der Angriff endet zudem mit der Verbreitung von XMRig, was, wie Avast hervorhebt, „für eine derart gut durchdachte Operation etwas unerwartet ist“, da sich das Programm leicht erkennen lässt.
Die Überschneidungen bei der Infrastruktur und den TTPs mit dem berüchtigten Akteur „Kimsuky“ erhöhen zweifellos das Ausmaß dieser Bedrohung.
3. APT28 nutzt eine Schwachstelle im Windows-Druckspooler aus
Microsoft warnt davor, dass Russian APT28 eine ältere Sicherheitslücke im Windows-Druckspooler ausnutzt, um ein bislang unbekanntes Hacking-Tool namens „GooseEgg“ zu installieren.
Es wird davon ausgegangen, dass APT28 GooseEgg mindestens seit Mitte 2020 einsetzt und in jüngerer Zeit CVE-2022-38028 ausnutzt. Die Malware wird dazu verwendet, bestimmte Anwendungen über die Befehlszeile mit erweiterten Berechtigungen zu starten, wodurch der Angreifer verschiedene Aktivitäten nach dem Einbruch durchführen kann.
APT28: Eine Auffrischung
APT28 – das von Microsoft auch unter dem Namen „Forest Blizzard“ erfasst wird – nutzt bei seinen Angriffen häufig öffentlich zugängliche Sicherheitslücken aus.
Die APT wird mit der Hauptverwaltung für Aufklärung des russischen Generalstabs (GRU) in Verbindung gebracht und führt in dieser Funktion Angriffe durch, deren Schwerpunkt auf der strategischen Informationsbeschaffung liegt. Die Nutzung der „GooseEgg“-Malware durch den Schauspieler ist eine neue Erkenntnis.
Wie APT28 GooseEgg einsetzt
- APT28 nutzt GooseEgg, um erweiterte Zugriffsrechte zu erlangen und Informationen aus dem Zielsystem zu entwenden.
- Das Tool wird eingesetzt, nachdem ein erster Zugriff auf das Gerät erlangt wurde.
- Es wurde beobachtet, dass GooseEgg mithilfe eines Batch-Skripts namens „execute.bat“ oder „doit.bat“ bereitgestellt wird.
- Das Skript erstellt eine Datei, die Befehle zum Speichern bzw. Komprimieren von Registrierungsstrukturen enthält. Diese Datei ruft die ausführbare Datei „GooseEgg“ auf und stellt über eine geplante Aufgabe eine dauerhafte Verbindung her.
Ein genauerer Blick auf die GooseEgg-Binärdatei
Die GooseEgg-Binärdatei trug im Rahmen verschiedener Angriffe mehrere Namen, darunter „justice.exe“ und „DefragmentSrv.exe“.
Die Binärdatei kann einen von vier Befehlen entgegennehmen, von denen jeder einen anderen Ausführungsweg hat.
- Der erste Befehl gibt einen benutzerdefinierten Rückgabewert aus und wird beendet.
- Die nächsten beiden Befehle lösen den Exploit aus und starten eine DLL oder eine ausführbare Datei mit erweiterten Berechtigungen.
- Der letzte Befehl testet den Exploit und bestätigt dessen Erfolg mithilfe des Befehls „whoami“.
Laut Microsoft enthält der Name der eingebetteten schädlichen DLL-Datei häufig den Begriff „wayzgoose“. Die DLL wird in einem der wenigen Installationsunterverzeichnisse unter „C:\ProgramData“ abgelegt, darunter „Microsoft“, „Adobe“, „Comms“, „Intel“, „Kaspersky Lab“, „Bitdefender“, „ESET“, „NVIDIA“, „UbiSoft“ und „Steam“.
Zudem wird ein Unterverzeichnis mit einer zufällig generierten Zeichenfolge angelegt, das als Installationsverzeichnis dient. Ein Beispiel für ein solches erstelltes Verzeichnis lautet: „C[:]\ProgramData\Adobe\v2,116,4405.“ Anschließend werden Registrierungsschlüssel angelegt, um eine neue CLSID zu registrieren.
Der Exploit ersetzt den Verweis auf das Laufwerk C: im Objektmanager so, dass er auf das zuvor erstellte Verzeichnis verweist. Wenn der Druckerspooler also versucht, bestimmte Komponenten zu laden, wird er in das erstellte Verzeichnis umgeleitet.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die rechtzeitige Installation von Patches ist der beste Schutz gegen APT28. Der Akteur ist dafür bekannt, Sicherheitslücken relativ schnell auszunutzen, nachdem sie öffentlich bekannt geworden sind.
In den letzten Monaten wurde beobachtet, wie der Akteur unter anderem eine Sicherheitslücke in Microsoft Outlook (CVE-2023-23397) und eine Sicherheitslücke in WinRAR (CVE-2023-38831) ausnutzte, um nur einige Beispiele zu nennen. Die Fähigkeit der Gruppe, öffentlich bekannte Exploits in ihre Angriffe einzubeziehen, ist sicherlich einer der Gründe dafür, dass sie seit über einem Jahrzehnt aktiv bleiben konnte.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum unter , und beteiligen Sie sich an einer Diskussion.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
