In der Zusammenfassung dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit einigen der wichtigsten Entwicklungen im Bereich Cybersicherheit aus dem Jahr 2023 , die auch im neuen Jahr weiterhin eine Bedrohung darstellen.
Zunächst befasst sich CTI mit „Chae$ 4 “ – der neuesten Variante der Malware „“ Chaes (wird in einem neuen Tab geöffnet). Als Nächstes befasst sich CTI mit der neuen Gruppe „ 03 UHR “, die nun globale Unternehmen ins Visier nimmt. CTI liefert zudem aktuelle Informationen zur Malware „DarkGate“ sowie zur nordkoreanischen APT-Gruppe „Andariel“.
1. Chae$ 4 stellt eine Bedrohung für den Finanz- und Logistiksektor dar
Finanz- und Logistikunternehmen sind nun durch „Chae$ 4“ gefährdet, eine neue Variante der Chaes-Malware, die ein eigens entwickeltes Chrome-DevTools-Protokoll nutzt, um auf Browserfunktionen zuzugreifen und Daten zu stehlen. Bislang hat „ “ Chae$ 4 folgende Ziele ins Visier genommen: (wird in einem neuen Tab geöffnet) sowie die Kunden von Banken und Plattformen wie Mercado Libre, WhatsApp Web, Mercado Pago, der Itau Bank, MetaMask und der Caixa Bank. Zudem hat es Content-Management-Systeme wie WordPress, Magento, Drupal und Joomla angegriffen.
Chae$ 4 weist gegenüber der ursprünglichen Chaes-Malware-Bedrohung mehrere Verbesserungen auf, darunter eine optimierte Code-Architektur, eine verbesserte Modularität, zusätzliche Verschlüsselung sowie Tarnfunktionen. Die Variante wurde zudem auf Python umgestellt und nutzt WebSockets, um die Kommunikation zwischen dem C2 -Server und seinen Modulen zu ermöglichen.
Wie funktioniert Chae$ 4 ?
Laut Morphisec, einer Chae$ 4 -Infektion (wird in einem neuen Tab geöffnet) beginnt mit der Ausführung eines schädlichen MSI-Installationsprogramms, das sich als JAVA JDE- oder Antiviren-Installationsprogramm tarnt. Durch das Ausführen des schädlichen Installationsprogramms kann die Malware ihre Dateien in einem fest programmierten Ordner unter %Appdata%/ entpacken und herunterladen. In diesem Ordner befinden sich Python-Bibliotheken, ausführbare Dateien und Python-Skripte. Die Malware entpackt zudem ein Kernmodul namens ChaesCore. Nach der Initialisierung kommuniziert ChaesCore weiterhin mit der Adresse C2 , um auf externe Module zuzugreifen und diese in sein Zielsystem zu laden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Malware „Chaes“ ist bereits seit mindestens November 2020 im Umlauf. Diese neueste Variante enthält zahlreiche Verbesserungen sowie getarnte MSI-Installationsprogramme, die es der Malware ermöglichen, mehrstufige Infektionen durchzuführen.
Die auf Python basierende Variante „Chae$ 4 “ stellt eine erhebliche Bedrohung für Logistik- und Bankunternehmen dar, da sie in der Lage ist, herkömmliche Abwehrmechanismen zu umgehen. Unternehmen in diesen Branchen sollten weiterhin höchste Wachsamkeit walten lassen.
2. Die Ransomware „ 03 UHR “ breitet sich weiter aus
Bereits im September warnte CTI vor einer neuen Malware-Familie namens „ “ ( 03 UHR, (öffnet in einem neuen Tab),, ) – einer 64-Bit-Rust-Ausführungsdatei, die Dienste stören, Dateien verschlüsseln und Volume-Shadow-Kopien löschen kann. Die Angreifer hinter „ 03 UHR “ scheinen die neue Ransomware gezielt einzusetzen, weshalb bislang nur eine Handvoll Angriffe beobachtet wurden.
Zwei aktuelle Beispiele für die Ransomware „ 03 UHR “ sind Angriffe auf Woodruff Enterprises und Share & Harris LLC. Die Angriffe führten zur Verschlüsselung und zum Klonen wichtiger interner Daten. Nachdem die Gruppe „ 03 UHR “ die Daten gesichert hatte, forderte sie Lösegeldzahlungen und drohte damit, Informationen an die Öffentlichkeit weiterzugeben. Die Gruppe „ 03 UHR “ hatte es zudem auf DS Granit abgesehen, ein in Frankreich ansässiges Unternehmen, das Oberflächen aus Granit, Quarz und Keramik liefert und verlegt.
Wer ist die Ransomware-Gruppe „ 03 UHR “?
Symantec entdeckte die Ransomware „ 03 UHR “ (wird in einem neuen Tab geöffnet) im Jahr 2023 nach einem Vorfall, bei dem ein Partner die Ransomware einsetzte, nachdem ein Versuch, LockBit einzusetzen, fehlgeschlagen war. Der Name „ 03 UHR “ leitet sich aus Hinweisen in der Lösegeldforderung der Gruppe ab und rührt daher, dass bei dem Angriff die Dateiendung „.threeamtime“ an die verschlüsselten Dateien angehängt wird.
Derzeit liegen noch immer nur wenige Informationen über „ 03 UHR “ und dessen Betreiber vor. „03 UHR “ scheint ein Ausweichplan für fehlgeschlagene LockBit-Angriffe zu sein. Es sind jedoch weitere Untersuchungen erforderlich, um zu einer Schlussfolgerung zu gelangen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Im ersten Bericht von CTI zur Ransomware „ 03 UHR “ wurde prognostiziert, dass in nächster Zeit wahrscheinlich weitere Angriffe der Art „03 UHR “ zu erwarten seien. Ein paar Monate später tauchen, wie zu erwarten war, bereits weitere Fälle der Malware „ 03 UHR “ auf. CTI wird diesen sich weiterentwickelnden Ransomware-Trend auch in den kommenden Monaten weiterhin genau im Auge behalten.
3. BattleRoyal setzt DarkGate und NetSupport ein
Forscher von Proofpoint verfolgen einen neuen Betreiber der DarkGate-Malware unter (wird in einem neuen Tab geöffnet) , der den Namen „BattleRoyal“ trägt. Laut Proofpoint hat BattleRoyal zwischen September und November 2023 in mindestens 20 E-Mail-Kampagnen die Malware „DarkGate“ eingesetzt. Die Gruppe versandte Zehntausende von E-Mails und nahm Dutzende von Branchen in den gesamten USA und Kanada ins Visier.
Gegen Ende November stellte „ “ BattleRoyal auf NetSupport (wird in einem neuen Tab geöffnet) um, ein Fernzugriffstool, um eine dauerhafte Verbindung zu den Endgeräten herzustellen. BattleRoyal nutzt mittlerweile eine Kombination aus E-Mails, manipulierten Websites und vorgetäuschten Update-Aufforderungen, um Opfer dazu zu verleiten, Malware herunterzuladen.
Wie Proofpoint erläutert, sind die Gründe für den Wechsel von DarkGate zu NetSupport nach wie vor unklar. Diese Kehrtwende könnte jedoch auf die zunehmende Beliebtheit von DarkGate zurückzuführen sein, das zunehmend die Aufmerksamkeit von Bedrohungsforschern und Sicherheitsexperten auf sich zieht.
BattleRoyal nutzt eine SmartScreen-Sicherheitslücke aus
Proofpoint stellte fest, dass BattleRoyal eine als „ CVE-2023-36025 “ bezeichnete Sicherheitslücke in großem Umfang ausnutzte, um Malware zu verbreiten, bevor Microsoft das Problem im November behob.
Die Sicherheitslücke betrifft Windows SmartScreen, eine Sicherheitsfunktion, die verhindert, dass Benutzer schädliche Websites aufrufen. Die Sicherheitslücke ermöglicht es einem Angreifer, die SmartScreen-Schutzmaßnahmen zu umgehen, indem er einen Benutzer dazu verleitet, auf eine benutzerdefinierte .URL-Datei oder einen Hyperlink zu klicken, der zu einer .URL-Datei führt.
Die Kampagne von DarkGate Teams richtet sich an Unternehmen
DarkGate ist einer der beliebtesten Fernzugriffstrojaner (RATs) auf dem Markt, und Angreifer setzen ihn zunehmend ein, um Unternehmen anzugreifen.
In einem besonders auffälligen Fall wurde beobachtet, dass Angreifer Microsoft Teams mit dem DarkGate-Loader ins Visier nahmen: (öffnet in einem neuen Tab). Die Täter versendeten kompromittierte Chat-Nachrichten an externe Office- 365 -Konten. Zudem nutzten sie Social-Engineering-Taktiken, um die Opfer dazu zu verleiten, schädliche Dateien herunterzuladen und zu öffnen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die wichtigste Erkenntnis hierbei ist, dass BattleRoyal sowohl DarkGate als auch NetSupport nutzt, um Opfer auszuwählen. BattleRoyal nutzt NetSupport, um Hosts zu steuern, Malware zu installieren und sich lateral durch kompromittierte Umgebungen zu bewegen (wird in einem neuen Tab geöffnet) und setzt DarkGate ein, um Malware-Payloads herunterzuladen und Informationen zu stehlen.
Sicherheitsforscher gehen davon aus, dass der Einsatz von DarkGate und NetSupport in den kommenden Monaten zunehmen wird, weshalb Sie diese Bedrohung unbedingt im Auge behalten sollten. Darüber hinaus bedeutet der jüngste Wechsel von DarkGate zu NetSupport, dass die Möglichkeit besteht, dass dieser Akteur in Zukunft auf eine weitere Payload umsteigen könnte.
4. Andariel stiehlt südkoreanische Verteidigungsgeheimnisse
Einem neuen Bericht zufolge, , hat die nordkoreanische APT-Gruppe „Andariel“ (öffnet in einem neuen Tab) durch Angriffe auf Dutzende südkoreanischer Rüstungsunternehmen rund 1,2 Terabyte an Daten gestohlen. Die APT-Gruppe „Andariel“ hat zudem Lösegeld in Höhe von rund 360 000 US-Dollar in Bitcoin nach Nordkorea überwiesen.
Die Seoul Metropolitan Policy Agency gibt an, dass Andariel zwischen dem Dezember 2022 und dem März 2023 83 Mal aus dem Stadtteil Ryugyong-dong in Pjöngjang über Hosting-Dienste, die Server an nicht identifizierte Kunden vermieten, auf südkoreanische Unternehmen zugegriffen habe. Die südkoreanische Sicherheitsbehörde untersucht den Fall nun gemeinsam mit dem US-amerikanischen Federal Bureau of Investigation (FBI).
Laut der „Korea Times“ diversifiziert Nordkorea derzeit seine Taktiken im Bereich der Cyberkriminalität aufgrund des Wertverfalls von Kryptowährungen und der Zinserhöhungen in den USA. Auch Nordkorea ist auf russische Börsen angewiesen, um seine Kryptowährungen zu veräußern.
Die Andariel-Gruppe: Eine gefährliche APT
Andariel – eine Untergruppe der nordkoreanischen Lazarus-Gruppe – wird immer raffinierter und nimmt eine Reihe von Sektoren ins Visier, darunter unter anderem ausländische Regierungsorganisationen, Finanzdienstleister und Verteidigungsbehörden.
Die Gruppe nutzt eine Vielzahl von Werkzeugen, um Angriffe auf ihre Ziele zu starten. So wurde beispielsweise kürzlich beobachtet, dass Andariel einen bislang unbekannten Fernzugriffstrojaner vom Typ „ “ namens EarlyRAT einsetzte: (öffnet in einem neuen Tab). Im Jahr 2022 setzte Andariel EarlyRAT im Rahmen einer Reihe von Cyberangriffen ein, bei denen die Sicherheitslücke „ “ Log4j Log4Shell ausgenutzt wurde: (wird in einem neuen Tab geöffnet).
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie „ “ von Mandiant in einem Beitrag mit dem Titel „ “ (wird in einem neuen Tab geöffnet) erläutert, ist das nordkoreanische Regime entschlossen, sein Offensivprogramm weiterzuentwickeln und Cyberangriffe zur Spionage sowie zur Begehung von Finanzdelikten zu nutzen. Die Fähigkeit dieser Gruppen, Cyberspionageoperationen durchzuführen und gleichzeitig finanziell motivierte Cyberkriminalitätskampagnen zu betreiben, macht sie zu einer komplexeren und vielschichtigen Bedrohung.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
