CTI untersucht in der ersten Runde dieser Woche, wie Bedrohungsakteure neue Truebot-Malware-Varianten verwenden, um Organisationen in den Vereinigten Staaten und Kanada anzusprechen. Als nächstes untersucht CTI eine kürzliche Kampagne unter Beteiligung der iranischen staatlich gesponserten Bedrohungsgruppe Charming Kitten. Die Kampagne hebt das aktualisierte Malware-Arsenal und die neuen TTPs des Bedrohungsakteurs hervor – insbesondere sein Ziel für neue Betriebssysteme, einschließlich macOS. Zum Schluss fasst CTI die Dinge mit einem Überblick über einen kürzlichen Bericht zusammen, der eine laufende Phishing-Kampagne namens SmugX hervorhebt.
1. CISA: Erhöhte Truebot-Aktivität infiziert US- und Kanada-basierte Netzwerke
Die Cybersecurity and Infrastructure Security Agency (CISA), das Federal Bureau of Investigation (FBI), das Multi-State Information Sharing and Analysis Center (MS-ISAC) und das Canadian Centre for Cyber Security (CCCS) haben eine gemeinsame Cybersicherheitsberatung als Reaktion auf Cyberbedrohungsakteure herausgegeben, die neue TrueBot-Malware-Varianten (öffnet sich in einer neuen Registerkarte) gegen verschiedene Organisationen in den USA und Kanada einsetzen.
Was ist TrueBot?
TrueBot ist ein Malware-Downloader, der mit einer russischsprachigen Cyberkriminellen Bande namens Silence verknüpft wurde. Es wurde von Hackern verwendet, die zur Bedrohungsgruppe TA505 gehören (öffnet sich in einer neuen Registerkarte) (die auch mit der Gruppe FIN11 Cyberkrimineller verknüpft sind), um CL0P Ransomware bereitzustellen. (öffnet in einer neuen Registerkarte)
Von der gemeinsamen Beratung:
Truebot ist ein Botnetz, das von bösartigen Cybergruppen wie CL0P Ransomware Gang verwendet wurde, um Informationen von seinen Zielopfern zu sammeln und zu exfiltrieren.. Vorherige Truebot- Malware-Varianten wurden hauptsächlich von Cyber-Bedrohungsakteuren über bösartige Phishing-E-Mail-Anhänge bereitgestellt; neuere Versionen ermöglichen es Cyber-Bedrohungsakteuren jedoch auch, ersten Zugriff durch Exploiting CVE-2022-31199 (Öffnung in einer neuen Registerkarte) zu erhalten – (eine Remote-Code-Ausführungsschwachstelle in der Netwrix Auditor-Anwendung), die die Bereitstellung der Malware in großem Umfang innerhalb der gefährdeten Umgebung ermöglicht.
CL0P war kürzlich für den massiven MOVEit Zero-Day-Lieferkettenangriff (Öffnung in einer neuen Registerkarte) sowie nachfolgende Erpressungsangriffe verantwortlich, die weiterhin auf die nachgelagerten Benutzer der Anwendung abzielen und heute finanzielles Chaos verursachen.
Zusammenfassung der Aktivität
Laut der gemeinsamen Beratung haben die Autorenorganisationen einen Anstieg der Anzahl der Bedrohungsakteure beobachtet, die neue Versionen von Truebot bereits einsetzen 31 May 2023.
Basierend auf bestätigter Open-Source-Berichterstattung und Analyse der neuesten TrueBot-Varianten bewerten die Autoren des Berichts, dass Bedrohungsakteure jetzt neue Varianten der Malware über Phishing-Kampagnen mit bösartigen Umleitungs-Hyperlinks und die Ausnutzung von CVE-2022-3119 bereitstellen.
TrueBot-Phishing-Aktivität
Der gemeinsame Hinweis, dass Bedrohungsakteure Phishing-E-Mails hauptsächlich als bevorzugte Bereitstellungsmethode von TrueBot-Malware verwendet haben. Die E-Mails versuchen normalerweise, Empfänger dazu zu bringen, auf einen Hyperlink zu klicken, um Malware auszuführen, aber Forscher haben auch Bedrohungsakteure beobachtet, die ausführbare Dateien in E-Mail-Anhängen verschleiern, die als legitime Softwareaktualisierungsbenachrichtigungen verschleiert sind.
Wenn Benutzer mit der ausführbaren Datei interagieren, leitet sie sie zu bösartigen Domains um und löst bösartige Skripte aus. Der gemeinsame Hinweis macht darauf aufmerksam, dass Truebot sich in einer Vielzahl legitimer Dateiformate verstecken kann.
Ausnutzung von CVE-2022-3119
Während Phishing die beliebteste der beiden Truebot-Bereitstellungsmethoden bleibt, die im gemeinsamen Hinweis besprochen wurden, haben Forscher auch Bedrohungsakteure dabei beobachtet, wie sie Taktiken verschieben und damit beginnen, CVE-2022-3119 auszunutzen – eine Remote-Code-Ausführungsschwachstelle in Netwrix Auditor.
Durch die Ausnutzung dieser Schwachstelle können Bedrohungsakteure einen ersten Zugriff erreichen und sich lateral in gefährdeten Umgebungen bewegen.
Was ist FlawedGrace?
Sobald die Malware heruntergeladen wurde, benennt sich Truebot um und lädt den Remote Access Trojan (RAT ) von FlawedGrace (wird in einer neuen Registerkarte geöffnet ) auf den infizierten Host herunter. FlawedGrace kann die Registrierung und die Print-Spooler-Programme ändern, die den Dokumentenfluss in die Warteschlange eines Druckers verwalten. Durch die Manipulation dieser beiden Funktionen kann FlawedGrace Berechtigungen eskalieren und Persistenz erreichen.
Verschlüsselte Nutzdaten werden während der Ausführungsphase von FlawedGrace innerhalb des Registers gespeichert. Es ist auch in der Lage, geplante Aufgaben zu erstellen und Nutzdaten in msiexec.exe und svchost.exe einzuspeisen. Jeder dieser Prozesse unterstützt FlawedGrace bei der Erleichterung eines Befehls- und Steuerungs-(C2)-Kommunikationskanals und ermöglicht es dem RAT, die DLLs zu laden, die es ihm ermöglichen, eine Privilegeskalation zu erreichen.
Laut dem gemeinsamen Hinweis haben Forscher auch beobachtet, dass Truebot während der ersten Stunden vor Beginn zusätzlicher Operationen nach dem Kompromittieren Cobalt Strike-Beacons in den Speicher in einen Ruhemodus injiziert.
Entdeckung, Verteidigungshinterziehung
Die erste Phase des Ausführungsprozesses von Truebot umfasst die Überprüfung der aktuellen Betriebssystemversion über RtlGetVersion und die Analyse der Prozessorattribute über GetNativeSystemInfo.
In dem, was Teil eines zunehmend verbreiteten Trends in der Rohstoff-Malware-Branche zu sein scheint, sind einige TrueBot- Varianten komplett mit einem ganzen Bund von Padding-Code ausgestattet. Wie der gemeinsame Hinweis erläutert, wurde die analysierte Truebot- Probe mit über einem Gigabyte Junkcode versetzt, der dazu konzipiert wurde, die Erkennungs- und Analysebemühungen zu erschweren, wenn nicht sogar in einigen Fällen unmöglich.
Nach Abschluss der vorgenannten Prüfungen kann Truebot alle laufenden Prozesse aufzählen, sensible Hostdaten sammeln und diese Daten an einen codierten Datenstrom übertragen, um die Stufe für die Ausführung in der zweiten Stufe festzulegen. Und basierend auf der Art der IOCs, die mit der hierin beschriebenen Aktivität verbunden sind, scheint Truebot auch in der Lage zu sein, Softwaresicherheitsprotokolle und Metriken in Bezug auf die Systemzeit zu entdecken. Diese Funktionen sollen wahrscheinlich bei der Verteidigungshinterziehung helfen, können aber auch nützlich sein, damit die Malware mit der internen Uhr eines kompromittierten Systems synchronisiert werden kann – was es einfacher macht, Aufgaben genau zu planen.
Aus dem gemeinsamen Hinweis:Als
nächstes verwendet es eine JSONIP- Erweiterung (z. B. IgtyXEQuCEvAM.JSONIP), um eine dreizehnstellige global eindeutige Kennung (GUID) zu erstellen – eine 128-Bit-Textzeichenfolge, die Truebot verwendet, um die erfassten Daten zu kennzeichnen und zu organisieren..... Nach dem Erstellen der GUID erstellt Truebot laufende Prozessdaten entweder in einer base64 - oder einer eindeutigen hexadezimal codierten Zeichenfolge und wertet sie auf. Das Hauptziel von Truebot ist die Identifizierung des Vorhandenseins von Sicherheits-Debugger-Tools. Das Vorhandensein identifizierter Debugger-Tools ändert jedoch nicht den Ausführungsprozess von Truebot – die Daten werden zu einer base64 codierten Zeichenfolge für Tracking- und Verteidigungshinterziehungszwecke zusammengestellt.
Datenerfassung und Exfiltration
Nachdem die oben beschriebenen Phasen ihren Kurs ausgeführt haben, sendet Truebot den Computer- und Domänennamen des kompromittierten Hosts zusammen mit der neu generierten GUID an eine hartcodierte URL in Form einer POST-Anforderung (wie in der User-Agent-Zeichenkette beobachtet).
Die POST-Anforderung initiiert und erstellt eine C2 -Verbindung, die den Zwei-Wege-Verkehr unterstützen kann. Sobald diese Verbindung hergestellt wurde, nutzt die Malware eine zweite verschleierte Domain für verschiedene Zwecke – einschließlich, aber nicht beschränkt auf das Herunterladen zusätzlicher Nutzdaten, die Selbstreplikation über die Umgebung und/oder das Löschen der Dateien, die den Vorgang bis zu diesem Punkt unterstützt haben.
Zusätzliche Bereitstellungsmethoden und Tools
Die folgende Liste enthält zusätzliche Liefervektoren und Tools, mit denen Truebot verknüpft wurde:
- Raspberry Robin (Malware): Raspberry Robin ist eine schadhafte Malware mit Links zu anderen Malware-Familien und verschiedenen Infektionsmethoden, einschließlich der Installation über ein USB-Laufwerk.
Raspberry Robin hat sich zu einer der größten Malware-Verteilungsplattformen entwickelt und wurde bei der Bereitstellung von Truebot sowie anderen nach der Kompromittierung kompromittierten Nutzlasten wie IcedID und Bumblebee-Malware beobachtet.
- Teleport (Tool): Cyber-Bedrohungsakteure wurden mit einem benutzerdefinierten Datenexfiltrationstool beobachtet, das Talos als Teleport bezeichnet.
Teleport ist dafür bekannt, die Erkennung während der Datenexfiltration zu umgehen, indem es einen Verschlüsselungscode verwendet, der in der Binärdatei hartcodiert ist, und ein benutzerdefiniertes Kommunikationsprotokoll, das Daten mithilfe eines erweiterten Verschlüsselungsstandards (AES) und eines hartcodierten Schlüssels verschlüsselt.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Angesichts der Verbindung von TrueBot mit Cyberkriminellen Organisationen wie der CL0P Erpressungs-/Ransomware-Gruppe und einigen ihrer gefährlicheren verbundenen Unternehmen wäre es unweise, TrueBot und die oben beschriebene Aktivität als alles zu charakterisieren, was weniger als eine ernsthafte Bedrohung ist – insbesondere wenn ihre Operationen Organisationen auf eine solche undifferenzierte Weise anvisieren.“
2. Entdecken Sie Charming Kittens Vorstoß in LNKs und Mac-Malware
Der neueste Bericht von Proofpoint (eröffnet in einer neuen Registerkarte) untersucht eine kürzlich von Charming Kitten durchgeführte Kampagne, einer iranischen, staatlich gesponserten Bedrohungsgruppe. Die Kampagne hebt das aktualisierte Malware-Arsenal und die neuen TTPs des Bedrohungsakteurs hervor – insbesondere sein Ziel für neue Betriebssysteme, einschließlich macOS.
Überblick über Bedrohungen
In Mai 2023 Proofpoint beobachtete Charming Kitten, dass er ein gutartiges Gespräch veranstaltete, das sich als leitender Kollege beim Royal United Services Institute (RUSI) maskierte.
Die gutartige E-Mail wurde an den öffentlichen Medienkontakt für einen Nuklearsicherheitsexperten in einer in den USA ansässigen Think Tank gesendet, die sich auf Außenangelegenheiten konzentrierte. Die E-Mail suchte nach Feedback zu einem bestimmten Projekt und bat um Erlaubnis, einen Entwurf zur Überprüfung zu senden.
Charming Kitten nutzt eine Vielzahl von Cloud-Hosting-Anbietern, um eine neuartige Infektionskette bereitzustellen, die eine neu identifizierte PowerShell-Hintertür namens GorjolEcho bereitstellt. Der Bedrohungsakteur portierte auch seine Malware und versuchte, eine Infektionskette gegen macOS-Geräte zu starten. Proofpoint bezieht sich auf diese Infektionskette und Hintertür als NokNok.
Targeting mit gutartigen Nachrichten
Charming Kitten verwendet häufig gutartige Nachrichten, um Opfer anzusprechen. Während die Joint Comprehensive Plan of Action (JCPOA)-Verhandlungen fortgesetzt werden und Tehran sich zunehmend isoliert in seinem Einflussbereich befindet, konzentriert sich Charming Kitten einen Großteil seiner Zielbemühungen auf die Experten, die diese ausländischen Richtlinien wahrscheinlich informieren.
Bei einem der kürzlich beobachteten Vorfälle kontaktierte der Bedrohungsakteur sein Ziel mit einer gutartigen E-Mail, bevor er später eine Persona-Imitation verwendete, wobei zusätzliche Experten aufgeführt wurden, um zu versuchen, eine Beziehung zum Opfer aufzubauen.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Die TTPs und neuen Hintertüren, die in dieser Kampagne beobachtet wurden, unterstreichen die Fähigkeit von Charming Kitten, seine Infektionsketten anzupassen, um weiterhin erfolgreich in seinem Spionagebetrieb zu sein.
Die bemerkenswerteste Änderung in dieser Kampagne ist die Portierung ihrer Malware auf macOS-Geräte, sodass der Bedrohungsakteur ein breiteres Zielspektrum haben kann.“
Von Proofpoint:
Die Verwendung von Google Scripts, Dropbox und CleverApps zeigt, dass Charming Kitten weiterhin einen Multi-Cloud-Ansatz abonniert, um Unterbrechungen durch Bedrohungssuchende wahrscheinlich zu minimieren.
3. Verdächtige chinesische Hacker zielen in der SmugX-Kampagne auf europäische Regierungsbehörden ab
Ein kürzlich veröffentlichter Bericht von Check Point Research hebt eine laufende Phishing-Kampagne namens SmugX hervor, die Verbindungen zu einem chinesischen, staatlich gesponserten Bedrohungsakteur hat.
Das Ziel der Kampagne scheint Spionage zu sein und umfasst zwei verschiedene Infektionsketten, die für die Bereitstellung des PlugX-Remote-Access-Trojaners (RAT) entwickelt wurden.
Details zur Kampagne
Die SmugX-Kampagne begann Berichten zufolge im Jahr Dezember 2022. Die Opferologie des Betriebs besteht aus Ministerien und Botschaften für Außenangelegenheiten in europäischen Ländern wie Großbritannien, Frankreich, Schweden, Ukraine, Tschechien, Ungarn und der Slowakei.
Lure-Dokumente, die im Rahmen der Phishing-Kampagne bereitgestellt werden, beziehen sich hauptsächlich auf europäische in- und ausländische Richtlinien.
Aus einem BleepingComputer-Artikel, der die Kampagne behandelt:
Unter den Proben, die Check Point während der Untersuchung gesammelt hat, sind:
- Ein Schreiben der serbischen Botschaft in Budapest
- Ein Dokument, das die Prioritäten der schwedischen Präsidentschaft des Rates der Europäischen Union angibt
- Eine Einladung zu einer diplomatischen Konferenz, die vom Außenministerium Ungarns herausgegeben wird
- Ein Artikel über zwei chinesische Menschenrechtsanwälte
Die in der SmugX-Kampagne verwendeten Lures verbergen das Zielprofil des Bedrohungsakteurs und weisen auf Spionage als wahrscheinliches Ziel der Kampagne hin. Die Forschung von
Check Point zeigt, dass die SmugX-Kampagne zwei neuartige Bereitstellungsmethoden nutzt (wodurch jede zu niedrigen Erkennungsraten führt), um eine neue Variante von PlugX einzusetzen, ein RAT, das hauptsächlich mit Chinas mehreren staatlich gesponserten Advanced Persistent Threat (APT)-Gruppen verbunden ist.
Die bemerkenswertere der beiden Angriffsketten nutzt HTML-Schmuggel (daher der Name der Kampagne), eine zunehmend beliebte Technik bei Cyberkriminellen und nationalen Akteuren gleichermaßen.
HTML-Schmuggel: eine Auffrischung
Bevor wir uns mit den beiden Angriffsketten befassen, die in dieser Kampagne beobachtet wurden, nehmen wir uns einen Moment Zeit, um uns mit HTML-Schmuggel vertraut zu machen, den Check Point als „eine gut dokumentierte Technik... Schädliche Dateien sind in HTML-Dokumente eingebettet, sodass sie netzwerkbasierte Erkennungsmaßnahmen umgehen können.“
In der SmugX-Kampagne erleichtert HTML-Schmugling den Download einer JavaScript- oder ZIP-Datei.
Das Öffnen eines der bösartigen HTML-Dokumente, die im Vorgang angezeigt werden, löst die folgende Ereignissequenz aus:
- Erstens wird die Nutzdaten, die in den Code des Dokuments eingebettet sind, decodiert und in einem JavaScript-Blob gespeichert, wobei sie als geeigneter Dateityp (d. h. Anwendung/ZIP) festgelegt sind.
- Als Nächstes erstellt der JavaScript-Code ihn dynamisch, anstatt das HTML
<a>-Element zu verwenden. - Das oben erwähnte JavaScript-Blob erstellt ein URL-Objekt unter Verwendung der Funktion createObjectURL.
- Das Download-Attribut wird mit dem gewünschten Dateinamen festgelegt.
- Schließlich ruft der Code die Klickaktion auf, simuliert einen Benutzer, der auf den Link klickt und initiiert den Dateidownload.
Prüfpunkthinweise, dass der Code bei älteren Browserversionen msSaveOrOpenBlob verwendet, um den Blob mit dem gewünschten Dateinamen zu speichern.
Zwei verschiedene Angriffsketten
Die SmugX-Kampagne besteht aus zwei Hauptinfektionsketten, die beide mit einer HTML-Datei beginnen.
Dies dient zum Speichern der zweiten Phase in den Download-Ordnern der Opfer. Es gibt einige Abweichungen in Bezug auf die zweite Phase. Eine nutzt eine ZIP-Datei, die eine bösartige LNK-Datei enthält, während die andere Kette JavaScript verwendet, um eine MSI-Datei von einem Remote-Server herunterzuladen.
- Die SmugX-Archivkette: In dem ersten der beiden oben beschriebenen Szenarien schmuggelt die HTML-Datei ein ZIP-Archiv, das eine bösartige LNK-Datei enthält, die zur Ausführung von PowerShell entwickelt wurde. Mit PowerShell extrahiert der Angreifer ein komprimiertes Archiv, das in die LNK-Datei eingebettet ist, und speichert es im Verzeichnis %temp%.
- Die SmugX JavaScript-Kette: Der zweite der beiden PlugX-Infektionsvektoren verwendet HTML-Schmugling, um eine JavaScript-Datei herunterzuladen.
Nach seiner Ausführung lädt die Datei eine MSI-Datei herunter und führt sie aus, die vom Remote-Server des Angreifers bereitgestellt wird. Ein neuer Ordner wird von der MSI erstellt und im Verzeichnis %appdata%\Local gespeichert, in dem auch drei Dateien gespeichert werden, die aus dem MSI-Paket extrahiert wurden. Diese drei abgelegten Dateien bestehen aus einer entführten legitimen ausführbaren Datei, der Loader-DLL und der verschlüsselten Nutzlast.
Hinsichtlich der ausgewählten Ladetechnik dieser Kampagne gibt es wenig Unterschied zu vielen anderen zuvor beobachteten Fällen von PlugX-Infektion; die Malware nutzt DLL-Seitenladetechniken.
PlugX, überarbeitet
Die letzte Nutzlast dieser Kampagne ist PlugX, ein Implantat, das China-Nexus-Cyberbedrohungsakteure seit 2008 verwenden. Es handelt sich um ein modulares Stück Malware, das es ermöglicht, als Remote-Zugriffstool zu arbeiten und gleichzeitig eine Vielzahl von Plug-ins aufzunehmen – jedes mit einer unterschiedlichen Funktionalität. Dies ermöglicht es Betreibern, eine Vielzahl von bösartigen Aktivitäten auf kompromittierten Systemen zu ermöglichen. Beispiele sind Dateidiebstahl, Screenshots, Keylogging und Befehlsausführung.
Im Hinblick auf die Persistenz kopiert PlugX das legitime Programm und die DLL und speichert sie in einem versteckten Verzeichnis, das vom Implantat erstellt wurde. Die verschlüsselten Nutzdaten werden in einem separaten versteckten Ordner abgelegt, und PlugX erreicht Persistenz, indem das legitime Programm zum Registrierungsschlüssel für die Ausführung hinzugefügt wird.
Überlappende APT-Aktivität
Die Einschätzung von Check Point, dass die SmugX-Kampagne die Arbeit eines chinesischen Bedrohungsakteurs ist, basiert nicht allein auf der Verwendung des PlugX-Implantats durch die Angreifer. Die Forscher des Unternehmens stützen ihre Theorie auch auf die Tatsache, dass die Kampagne „signifikante Ähnlichkeiten mit Aktivitäten teilt, die von anderen Sicherheitsanbietern entweder RedDelta oder Mustang Panda zugeschrieben werden“.
Analystenkommentare vom Tanium Cyber Threat Intelligence Team
„Basierend auf den oben dargestellten Fakten scheint Check Point korrekt zu sein und die SmugX-Kampagne mit einem chinesischen Bedrohungsakteur zu verknüpfen. Das Ziel der Kampagne ist eindeutig die Sammlung und Spionage von Informationen, und die Ziele der Kampagne stimmen mit den staatlichen Interessen der chinesischen Regierung überein. CTI wird diese Kampagne und alle anderen daran gebundenen Kampagnen weiterhin auf Entwicklungen überwachen.“
Haben Sie Einblicke in diese Geschichten, die Sie teilen möchten? Gehen Sie zum Diskussionsforum von Tanium , um ein Gespräch zu beginnen.
Für weitere Lektüre informieren Sie sich über unsere jüngsten Informationsrundungen zu Cyber-Bedrohungen.
