Als Erstes in unserem Wochenüberblick befasst sich CTI damit, wie Angreifer neue Varianten der Truebot-Malware einsetzen, um Unternehmen in den Vereinigten Staaten und Kanada anzugreifen. Anschließend befasst sich CTI mit einer aktuellen Kampagne, an der die vom iranischen Staat unterstützte Hackergruppe „Charming Kitten“ beteiligt ist. Die Kampagne verdeutlicht das aktualisierte Malware-Arsenal des Angreifers sowie dessen neue TTPs – insbesondere die Ausrichtung auf neue Betriebssysteme, darunter auch macOS. Abschließend gibt CTI einen Überblick über einen aktuellen Bericht, in dem eine laufende Phishing-Kampagne namens „SmugX“ beleuchtet wird.
1. CISA: Verstärkte Truebot-Aktivität befällt Netzwerke in den USA und Kanada
Die Cybersecurity and Infrastructure Security Agency (CISA), das Federal Bureau of Investigation (FBI), das Multi-State Information Sharing and Analysis Center (MS-ISAC) und das Canadian Centre for Cyber Security (CCCS) haben eine gemeinsame Cybersicherheitswarnung herausgegeben, nachdem Cyberkriminelle neue Varianten der TrueBot-Malware (öffnet in einem neuen Tab) gegen verschiedene Organisationen in den USA und Kanada eingesetzt haben.
Was ist TrueBot?
TrueBot ist ein Malware-Downloader, der mit einer russischsprachigen Cyberkriminellen-Bande namens „Silence“ in Verbindung gebracht wird. Es wurde von Hackern der TA505 -Bedrohungsgruppe (öffnet in einem neuen Tab) (die auch mit der FIN11 -Cyberkriminellen-Gruppe in Verbindung stand) genutzt, um die Ransomware CL0P zu verbreiten. (öffnet in einem neuen Tab)
Aus der gemeinsamen Mitteilung:
Truebot ist ein Botnetz, das von böswilligen Cyber-Gruppen wie der „ CL0P Ransomware Gang“ genutzt wurde, um Informationen von ihren Opfern zu sammeln und abzugreifen... Frühere Varianten der „Truebot“-Malware wurden von Cyberangreifern in erster Linie über bösartige Phishing-E-Mail-Anhänge unter verbreitet; neuere Versionen ermöglichen es Cyberangreifern jedoch auch, sich einen ersten Zugriff zu verschaffen, indem sie CVE-2022-31199 (öffnet in einem neuen Tab) – (eine Sicherheitslücke zur Ausführung von Remote-Code in der Anwendung „Netwrix Auditor“) ausnutzen, wodurch die Malware in großem Umfang innerhalb der kompromittierten Umgebung eingesetzt werden kann.
CL0P war kürzlich für den massiven „ “-Zero-Day-Angriff auf die Lieferkette von MOVEit verantwortlich (öffnet in einem neuen Tab) sowie für nachfolgende Erpressungsangriffe, die weiterhin auf die nachgelagerten Nutzer der Anwendung abzielen und bis heute erheblichen finanziellen Schaden anrichten.
Zusammenfassung der Aktivitäten
Laut der gemeinsamen Mitteilung haben die verfassenden Organisationen einen Anstieg der Zahl von Angreifern festgestellt, die neue Versionen von Truebot einsetzen, zuletzt noch im 31 May 2023.
Auf der Grundlage bestätigter Open-Source-Berichte und der Analyse aktueller TrueBot-Varianten kommen die Autoren des Berichts zu dem Schluss, dass die Angreifer nun neue Varianten der Malware über Phishing-Kampagnen verbreiten, die bösartige Weiterleitungs-Hyperlinks enthalten und die Sicherheitslücke CVE-2022-3119 ausnutzen.
Phishing-Aktivitäten von TrueBot
In der gemeinsamen Stellungnahme wird darauf hingewiesen, dass Angreifer vor allem Phishing-E-Mails als bevorzugte Übertragungsmethode für die TrueBot-Malware genutzt haben. In der Regel versuchen diese E-Mails, die Empfänger dazu zu verleiten, auf einen Hyperlink zu klicken, um Malware auszuführen; Forscher haben jedoch auch beobachtet, dass Angreifer ausführbare Dateien in E-Mail-Anhängen verstecken, die als legitime Benachrichtigungen über Software-Updates getarnt sind.
Wenn Nutzer mit der ausführbaren Datei interagieren, werden sie auf bösartige Domains umgeleitet, und es werden bösartige Skripte ausgelöst. In der gemeinsamen Warnmeldung wird ausdrücklich darauf hingewiesen, dass sich Truebot in einer Vielzahl legitimer Dateiformate verstecken kann.
Ausbeutung von CVE-2022-3119
Zwar ist Phishing nach wie vor die beliebteste der beiden in der gemeinsamen Sicherheitsempfehlung behandelten Truebot-Verbreitungsmethoden, doch haben Forscher auch beobachtet, dass die Angreifer ihre Taktik ändern und nun damit beginnen, „ CVE-2022-3119 “ auszunutzen – eine Sicherheitslücke in Netwrix Auditor, die die Ausführung von Remote-Code ermöglicht.
Durch Ausnutzung dieser Sicherheitslücke können Angreifer sich einen ersten Zugriff verschaffen und sich innerhalb der kompromittierten Umgebungen lateral bewegen.
Was ist „FlawedGrace“?
Sobald die Malware heruntergeladen ist, benennt sich Truebot um und lädt den Fernzugriffstrojaner (RAT) „“ FlawedGrace (öffnet in einem neuen Tab) auf den infizierten Rechner herunter. FlawedGrace kann die Registrierung sowie die Druckerspooler-Programme verändern, die den Dokumentenfluss in die Warteschlange eines Druckers verwalten. Durch die Ausnutzung dieser beiden Funktionen kann „FlawedGrace“ Berechtigungen erweitern und eine dauerhafte Präsenz im System erreichen.
Verschlüsselte Nutzdaten werden während der Ausführungsphase von „FlawedGrace“ in der Registrierungsdatenbank gespeichert. Zudem ist es in der Lage, geplante Aufgaben zu erstellen und Nutzdaten in die Dateien „msiexec.exe“ und „svchost.exe“ einzuschleusen. Bei all diesen Vorgängen handelt es sich um Prozesse, die „FlawedGrace“ dabei unterstützen, einen „Command-and-Control“-Kommunikationskanal (C2) zu etablieren, und die es dem RAT zudem ermöglichen, die DLLs zu laden, mit denen er eine Rechteausweitung erreichen kann.
Laut der gemeinsamen Warnmeldung haben Forscher zudem beobachtet, dass Truebot Cobalt-Strike-Beacons in den Speicher einschleust, die in den ersten Stunden vor dem Beginn weiterer Operationen nach der Kompromittierung im Ruhemodus verbleiben.
Beweisaufnahme, Umgehung der Verteidigung
Der erste Schritt des Ausführungsprozesses von Truebot besteht darin, die aktuelle Betriebssystemversion über RtlGetVersion zu überprüfen und die Eigenschaften des Prozessors über GetNativeSystemInfo zu analysieren.
Als Teil eines offenbar immer häufiger auftretenden Trends in der Malware-Branche enthalten einige TrueBot-Varianten eine ganze Reihe von Füllcode. Wie in der gemeinsamen Stellungnahme erläutert wird, war die analysierte Truebot-Probe mit über einem Gigabyte an unbrauchbarem Code belastet, der darauf ausgelegt war, die Erkennung und Analyse zu erschweren, wenn nicht sogar in manchen Fällen unmöglich zu machen.
Nach Abschluss der oben genannten Überprüfungen kann Truebot alle laufenden Prozesse auflisten, sensible Hostdaten erfassen und diese Daten in einen verschlüsselten Datenstrom übertragen, um die Voraussetzungen für die Ausführung der zweiten Phase zu schaffen. Und ausgehend von der Art der IOCs, die mit der hier beschriebenen Aktivität in Verbindung stehen, scheint es, dass Truebot auch in der Lage ist, Software-Sicherheitsprotokolle und -Metriken im Zusammenhang mit der Systemzeit zu erkennen. Diese Funktionen dienen wahrscheinlich dazu, die Umgehung von Abwehrmaßnahmen zu erleichtern, können aber auch nützlich sein, um die Malware mit der internen Uhr eines kompromittierten Systems zu synchronisieren – was die genaue Planung von Aufgaben vereinfacht.
Aus der gemeinsamen Mitteilung:
Anschließend wird mithilfe einer .JSONIP-Erweiterung (z. B. IgtyXEQuCEvAM.JSONIP) eine dreizehnstellige, global eindeutige Kennung (GUID) erstellt – eine 128-Bit-Textzeichenfolge, die Truebot zur Kennzeichnung und Organisation der von ihm erfassten Daten verwendet... Nach der Erstellung der GUID kompiliert Truebot die Daten laufender Prozesse und fasst sie entweder als „ base64 “ oder als eindeutige hexadezimal kodierte Zeichenfolge zusammen … Das Hauptziel von Truebot besteht darin, das Vorhandensein von Sicherheits-Debugger-Tools zu erkennen. Das Vorhandensein identifizierter Debugger-Tools hat jedoch keinen Einfluss auf den Ausführungsprozess von Truebot – die Daten werden zu einer base64 -kodierten Zeichenfolge kompiliert, um die Nachverfolgung zu erschweren und Abwehrmaßnahmen zu umgehen.
Datenerfassung und -exfiltration
Nachdem die oben beschriebenen Schritte abgeschlossen sind, sendet Truebot den Computer und den Domänennamen des kompromittierten Hosts zusammen mit der neu generierten GUID in Form einer POST-Anfrage (wie aus der User-Agent-Zeichenkette ersichtlich) an eine fest codierte URL.
Die POST-Anfrage initiiert und baut eine C2 -Verbindung auf, die den bidirektionalen Datenverkehr unterstützt. Sobald diese Verbindung hergestellt ist, nutzt die Malware eine zweite verschleierte Domain für verschiedene Zwecke – darunter unter anderem das Herunterladen zusätzlicher Payloads, die Selbstvermehrung innerhalb der Umgebung und/oder das Löschen der Dateien, die den Vorgang bis zu diesem Zeitpunkt unterstützt haben.
Weitere Bereitstellungsmethoden und -werkzeuge
Die folgende Liste enthält weitere Bereitstellungsvektoren und Tools, mit denen Truebot in Verbindung gebracht wurde:
- Raspberry Robin (Malware): Raspberry Robin ist eine Malware mit Wurmfunktion, die Verbindungen zu anderen Malware-Familien aufweist und verschiedene Infektionsmethoden nutzt, darunter die Installation über einen USB-Stick.
Raspberry Robin hat sich zu einer der größten Plattformen für die Verbreitung von Malware entwickelt; es wurde beobachtet, dass über diese Plattform Truebot sowie weitere Payloads für die Zeit nach der Kompromittierung, wie beispielsweise die Malware IcedID und Bumblebee, eingesetzt werden.
- Teleport (Tool): Es wurde beobachtet, dass Akteure im Bereich der Cyberbedrohungen ein maßgeschneidertes Tool zur Datenexfiltration einsetzen, das Talos als „Teleport“ bezeichnet.
Es ist bekannt, dass „Teleport“ bei der Datenexfiltration der Erkennung entgeht, indem es einen in der Binärdatei fest einprogrammierten Verschlüsselungsschlüssel sowie ein benutzerdefiniertes Kommunikationsprotokoll verwendet, das Daten mithilfe des Advanced Encryption Standard (AES) und eines fest einprogrammierten Schlüssels verschlüsselt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Angesichts der Verbindungen von TrueBot zu cyberkriminellen Organisationen wie der Erpressungs-/Ransomware-Gruppe „ CL0P “ und einigen ihrer gefährlicheren Partner wäre es unklug, TrueBot und die oben beschriebenen Aktivitäten als weniger als eine ernstzunehmende Bedrohung einzustufen – insbesondere da seine Aktivitäten offenbar auf eine derart wahllose Weise gegen Organisationen gerichtet sind.“
2. Ein Blick auf den Vorstoß von „Charming Kitten“ in den Bereich der LNK-Dateien und der Mac-Malware
Der neueste Bericht von Proofpoint mit dem Titel „ “ (wird in einem neuen Tab geöffnet) befasst sich mit einer kürzlich durchgeführten Kampagne der iranischen, staatlich geförderten Hackergruppe „Charming Kitten“. Die Kampagne verdeutlicht das erweiterte Malware-Arsenal des Angreifers sowie dessen neue TTPs – insbesondere die gezielte Ausrichtung auf neue Betriebssysteme, darunter auch macOS.
Übersicht über Bedrohungen
In dem Beitrag „ Mai 2023 “ stellte Proofpoint fest, dass „Charming Kitten“ eine harmlose Konversation als Köder versandte, wobei er sich als leitender wissenschaftlicher Mitarbeiter des Royal United Services Institute (RUSI) ausgab.
Die harmlose E-Mail wurde an den öffentlichen Medienansprechpartner eines Experten für nukleare Sicherheit bei einem in den USA ansässigen Thinktank mit Schwerpunkt auf Außenpolitik gesendet. In der E-Mail wurde um Rückmeldung zu einem bestimmten Projekt gebeten und um die Erlaubnis ersucht, einen Entwurf zur Überprüfung zu übermitteln.
Charming Kitten nutzt verschiedene Cloud-Hosting-Anbieter, um eine neuartige Infektionskette zu verbreiten, die eine kürzlich identifizierte PowerShell-Backdoor von einsetzt, die unter dem Namen „GorjolEcho“ bekannt ist. Der Angreifer hat zudem seine Malware angepasst und versucht, eine Infektionskette gegen macOS-Geräte in Gang zu setzen. Proofpoint bezeichnet diese Infektionskette und diese Hintertür als „NokNok“.
Gezielte Ansprache mit harmlosen Botschaften
„Charming Kitten“ nutzt häufig harmlos wirkende Nachrichten, um Opfer anzusprechen. Während die Verhandlungen über den Gemeinsamen Umfassenden Aktionsplan (JCPOA) weitergehen und Teheran innerhalb seines Einflussbereichs zunehmend isoliert wird, richtet „Charming Kitten“ den Großteil seiner Angriffe gegen jene Experten, die vermutlich maßgeblich an der Gestaltung dieser Außenpolitik beteiligt sind.
In einem der kürzlich beobachteten Vorfälle kontaktierte der Angreifer sein Ziel zunächst mit einer harmlos wirkenden E-Mail, bevor er später die Identitätsfälschung unter Verwendung mehrerer Identitäten einsetzte und dabei weitere Experten nannte, um zu versuchen, ein Vertrauensverhältnis zum Opfer aufzubauen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die in dieser Kampagne beobachteten TTPs und neuen Hintertüren unterstreichen die Fähigkeit von Charming Kitten, seine Infektionsketten anzupassen, um bei seinen Spionageoperationen weiterhin erfolgreich zu sein.“
Die bemerkenswerteste Veränderung im Rahmen dieser Kampagne ist die Anpassung ihrer Malware auf macOS-Geräte, wodurch der Angreifer nun über ein breiteres Spektrum an Angriffszielen verfügt.“
Von Proofpoint:
Die Nutzung von Google Scripts, Dropbox und CleverApps zeigt, dass Charming Kitten weiterhin auf einen Multi-Cloud-Ansatz setzt, um Störungen durch Bedrohungsjäger möglichst zu minimieren.
3. Mutmaßliche chinesische Hacker nehmen im Rahmen der „SmugX“-Kampagne europäische Regierungsstellen ins Visier
Ein kürzlich von Check Point Research veröffentlichter Bericht beleuchtet eine andauernde Phishing-Kampagne namens „SmugX“, die Verbindungen zu einem vom chinesischen Staat unterstützten Angreifer aufweist.
Das Ziel der Kampagne scheint Spionage zu sein; sie umfasst zwei verschiedene Infektionsketten, die darauf ausgelegt sind, den Fernzugriffstrojaner (RAT) „PlugX“ einzuschleusen.
Details zur Kampagne
Die SmugX-Kampagne soll im Jahr Dezember 2022 begonnen haben. Zu den Opfern dieser Operation zählen Außenministerien und Botschaften in europäischen Ländern wie dem Vereinigten Königreich, Frankreich, Schweden, der Ukraine, Tschechien, Ungarn und der Slowakei.
Die im Rahmen der Phishing-Kampagne eingesetzten Köderdokumente befassen sich in erster Linie mit Themen der europäischen Innen- und Außenpolitik.
Aus einem Artikel von BleepingComputer über die Kampagne:
Zu den Proben, die Check Point im Rahmen der Untersuchung gesammelt hat, gehören:
- Ein Schreiben der serbischen Botschaft in Budapest
- Ein Dokument, in dem die Prioritäten der schwedischen EU-Ratspräsidentschaft dargelegt werden
- Eine Einladung zu einer diplomatischen Konferenz, herausgegeben vom ungarischen Außenministerium
- Ein Artikel über zwei chinesische Menschenrechtsanwälte
Die in der SmugX-Kampagne verwendeten Köder lassen das Zielprofil des Angreifers erkennen und deuten darauf hin, dass Spionage das wahrscheinliche Ziel der Kampagne ist.
Die Untersuchungen von Check Point zeigen, dass die SmugX-Kampagne zwei neuartige Verbreitungsmethoden nutzt (die jeweils zu niedrigen Erkennungsraten führen), um eine neue Variante von PlugX zu verbreiten – einem RAT, das vorwiegend mit mehreren staatlich geförderten Advanced-Persistent-Threat-Gruppen (APT) aus China in Verbindung gebracht wird.
Die bemerkenswertere der beiden Angriffsketten nutzt HTML-Smuggling (daher auch der Name der Kampagne), eine Technik, die sowohl bei Cyberkriminellen als auch bei staatlich gestützten Akteuren zunehmend an Beliebtheit gewinnt.
HTML-Schmuggel: Eine Auffrischung
Bevor wir uns mit den beiden in dieser Kampagne beobachteten Angriffsketten befassen, wollen wir uns kurz noch einmal mit dem Thema „HTML-Smuggling“ vertraut machen, das Check Point als „eine gut dokumentierte Technik“ beschreibt... „Schädliche Dateien werden in HTML-Dokumente eingebettet, wodurch sie netzwerkbasierte Erkennungsmaßnahmen umgehen können.“
Im Rahmen der SmugX-Kampagne ermöglicht der HTML-Smuggling-Angriff das Herunterladen entweder einer JavaScript- oder einer ZIP-Datei.
Das Öffnen eines der beiden im Rahmen der Operation verwendeten schädlichen HTML-Dokumente löst die folgende Abfolge von Ereignissen aus:
- Zunächst wird die im Code des Dokuments eingebettete Nutzlast dekodiert und in einem JavaScript-Blob gespeichert, wo ihr ein entsprechender Dateityp (d. h. application/zip) zugewiesen wird.
- Anschließend wird das HTML-Element „
<a>“ nicht verwendet, sondern durch den JavaScript-Code dynamisch erstellt. - Der oben genannte JavaScript-Blob erstellt mithilfe der Funktion „createObjectURL“ ein URL-Objekt.
- Das „download“-Attribut wird mit dem gewünschten Dateinamen festgelegt.
- Abschließend löst der Code die Klick-Aktion aus, wodurch simuliert wird, dass ein Benutzer auf den Link klickt und den Download der Datei auslöst.
Check Point weist darauf hin, dass der Code bei älteren Browserversionen die Funktion „msSaveOrOpenBlob“ verwendet, um den Blob unter dem gewünschten Dateinamen zu speichern.
Zwei verschiedene Angriffsketten
Die SmugX-Kampagne besteht aus zwei Hauptinfektionsketten – die beide mit einer HTML-Datei beginnen.
Dies dient dazu, die zweite Stufe in den Download-Ordnern der Opfer zu speichern. Was die zweite Stufe betrifft, gibt es gewisse Abweichungen. Bei der einen Methode wird eine ZIP-Datei verwendet, die eine schädliche LNK-Datei enthält, während bei der anderen Methode JavaScript eingesetzt wird, um eine MSI-Datei von einem Remote-Server herunterzuladen.
- Die SmugX-Archivkette: Im ersten der beiden oben beschriebenen Szenarien enthält die HTML-Datei ein ZIP-Archiv, in dem sich eine schädliche LNK-Datei befindet, die dazu dient, PowerShell auszuführen. Mithilfe von PowerShell extrahiert der Angreifer ein in der LNK-Datei eingebettetes komprimiertes Archiv und speichert es im Verzeichnis %temp%.
- Die SmugX-JavaScript-Kette: Der zweite der beiden PlugX-Infektionsvektoren nutzt HTML-Smuggling, um eine JavaScript-Datei herunterzuladen.
Bei der Ausführung lädt die Datei eine MSI-Datei herunter, die vom Remote-Server der Angreifer bereitgestellt wird, und führt diese aus. Durch die MSI-Datei wird ein neuer Ordner erstellt und im Verzeichnis %appdata%\Local gespeichert, in dem auch drei aus dem MSI-Paket extrahierte Dateien abgelegt werden. Diese drei abgelegten Dateien bestehen aus einer manipulierten legitimen ausführbaren Datei, der Loader-DLL und der verschlüsselten Nutzlast.
Was die bei dieser Kampagne gewählte Ladetechnik betrifft, so gibt es kaum Unterschiede zu vielen anderen zuvor beobachteten Fällen einer PlugX-Infektion; die Malware nutzt DLL-Sideloading-Techniken.
PlugX, überarbeitet
Die endgültige Nutzlast dieser Kampagne ist PlugX, ein Implantat, das Cyber-Angreifer mit Verbindungen zu China bereits seit 2008 einsetzen. Es handelt sich um eine modulare Malware, die es ermöglicht, als Fernzugriffstool zu fungieren und gleichzeitig eine Vielzahl von Plugins zu integrieren – von denen jedes eine eigene Funktionalität aufweist. Dies ermöglicht es den Angreifern, auf kompromittierten Systemen eine Vielzahl böswilliger Aktivitäten durchzuführen. Beispiele hierfür sind Dateidiebstahl, Bildschirmaufnahmen, Keylogging und die Ausführung von Befehlen.
Was die Persistenz betrifft, kopiert PlugX das legitime Programm und die DLL und speichert sie in einem vom Implantat erstellten versteckten Verzeichnis. Die verschlüsselte Nutzlast wird in einem separaten versteckten Ordner abgelegt, und PlugX sorgt für Persistenz, indem es das legitime Programm zum Registrierungsschlüssel „Run“ hinzufügt.
Sich überschneidende APT-Aktivitäten
Die Einschätzung von Check Point, dass die „SmugX“-Kampagne das Werk eines chinesischen Angreifers ist, stützt sich nicht ausschließlich auf die Verwendung des PlugX-Implants durch die Angreifer. Die Forscher des Unternehmens stützen ihre Theorie zudem auf die Tatsache, dass die Kampagne „erhebliche Ähnlichkeiten mit Aktivitäten aufweist, die von anderen Sicherheitsanbietern entweder RedDelta oder Mustang Panda zugeschrieben werden“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Aufgrund der oben dargelegten Fakten scheint Check Point zu Recht die SmugX-Kampagne mit einem chinesischen Akteur in Verbindung zu bringen.“ Das Ziel der Kampagne besteht eindeutig in der Informationsbeschaffung und Spionage, und die Ziele der Kampagne stehen im Einklang mit den staatlichen Interessen der chinesischen Regierung. „CTI wird diese Kampagne sowie alle damit verbundenen Aktionen weiterhin im Hinblick auf weitere Entwicklungen beobachten.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne teilen möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von .
