Zum Hauptinhalt springen
CTI Roundup: US-Bundesbehörde mithilfe von Telerik gehackt
Ein aufkommendes Thema

CTI Roundup: US-Bundesbehörde mithilfe von Telerik gehackt

Hacker nutzten die Telerik-Sicherheitslücke, um in eine US-Bundesbehörde einzudringen; ein mutmaßlicher chinesischer Akteur setzte den Fortinet-Zero-Day-Exploit in Verbindung mit maßgeschneiderter Malware ein, um Cyberspionage zu betreiben; und die APT-Gruppe „Tick“ nahm die Kunden eines ostasiatischen Anbieters von Lösungen zur Verhinderung von Datenverlusten (DLP) ins Visier.

Zunächst berichtet CTI über eine gemeinsame Mitteilung der CISA, des FBI und des MS-ISAC bezüglich des Hackerangriffs auf das Netzwerk einer nicht namentlich genannten Behörde der zivilen Exekutive auf Bundesebene (FCEB) im vergangenen Jahr. Anschließend befasst sich CTI eingehend mit einem aktuellen gemeinsamen Bericht von Mandiant und Fortinet über eine Reihe von Angriffen auf Regierungsorganisationen, bei denen die Angreifer eine Zero-Day-Sicherheitslücke von Fortinet (CVE-2022-41328) ausnutzten, um zwei neue Malware-Varianten zu verbreiten. Abschließend gibt CTI einen Überblick über eine neue Kampagne, die der APT-Gruppe „Tick“ zugeschrieben wird und die Berichten zufolge auf ein ostasiatisches Unternehmen abzielt, das sich auf die Entwicklung von Software zur Verhinderung von Datenverlusten (DLP) spezialisiert hat.

1. US-Bundesbehörde wurde mithilfe einer alten Telerik-Sicherheitslücke gehackt, um Daten zu stehlen

Laut einer gemeinsamen Warnmeldung „“, die von der CISA, dem FBI und dem MS-ISAC (öffnet in einem neuen Tab) herausgegeben wurde, wurde im Jahr 2022 der Microsoft Internet Information Services (IIS)-Webserver einer US-Bundesbehörde gehackt, als der Angreifer eine kritische .NET-Deserialisierungsschwachstelle (CVE-2019-18935 (öffnet in einem neuen Tab)) ausnutzte, von der die Progress Telerik UI für ASP.NET betroffen war (wird in einem neuen Tab geöffnet) AJAX-Komponente.

Wie in der gemeinsamen Mitteilung erläutert wird, hatten die Angreifer zwischen dem November 2022 und Anfang Januar 2023 Zugriff auf den Server, wie aus den Indikatoren für eine Kompromittierung (IOCs) hervorgeht, die im Netzwerk der nicht namentlich genannten Behörde der zivilen Exekutive auf Bundesebene (FCEB) gefunden wurden.

Aus BleepingComputer:

Nachdem sie sich Zugang zum Server der namentlich nicht genannten Behörde der zivilen Exekutive des Bundes (FCEB) verschafft hatten, platzierten sie schädliche Payloads im Ordner „C:\Windows\Temp\“, um Informationen zu sammeln und an von den Angreifern kontrollierte Command-and-Control-Server weiterzuleiten.

Die auf dem kompromittierten IIS-Server installierte Malware könnte zusätzliche Payloads ausführen, sich der Erkennung entziehen, indem sie ihre Spuren auf dem System löscht, und Reverse-Shells öffnen, um ihre Persistenz aufrechtzuerhalten.

Die betreffende Malware könnte zudem dazu genutzt werden, eine ASPX-Webshell zu platzieren, die den Angreifern eine Schnittstelle zur Verfügung stellt, über die sie das lokale System durchsuchen, Dateien herunterladen bzw. hochladen sowie Befehle aus der Ferne ausführen können. Wie in der Sicherheitsempfehlung jedoch ausführlich dargelegt, „wurden keine Webshells auf dem Zielsystem abgelegt; dies ist wahrscheinlich darauf zurückzuführen, dass das missbrauchte Dienstkonto nur eingeschränkte Schreibrechte besaß.“

Die auf den kompromittierten IIS-Servern installierte Malware wird in einem Malware-Analysebericht von unter dem Titel „ “ () (öffnet sich in einem neuen Tab), der gleichzeitig von der CISA veröffentlicht wurde, näher beleuchtet.

Betroffene Sicherheitslücken

Wie die CISA berichtete, wurde bei dem Angriff eine .NET-Deserialisierungsschwachstelle ( CVE-2019-18935), die in einer Instanz von Telerik UI for AJAX Q2 2013 SP1 (Version 2013,2,717) enthalten war, die auf dem Microsoft IIS-Server einer FCEB-Behörde lief, erfolgreich ausgenutzt.

Der betreffende Exploit verschaffte den Angreifern interaktiven Zugriff auf den Webserver und ermöglichte es ihnen, erfolgreich Remote-Code auf dem anfälligen Webserver auszuführen.

Von der CISA:

Obwohl der Schwachstellenscanner der Behörde über das entsprechende Plugin für CVE-2019-18935 verfügte, konnte er die Schwachstelle nicht erkennen, da die Telerik-UI-Software in einem Dateipfad installiert war, der normalerweise nicht gescannt wird.

Die CISA hat die Sicherheitslücke „ CVE-2019-18935 Progress Telerik UI“ in ihren Katalog „Known Exploited Vulnerabilities“ (KEV) unter November 2021 aufgenommen. In der Mitteilung heißt es weiter, dass möglicherweise auch andere Sicherheitslücken bei dem Vorfall eine Rolle gespielt haben könnten.

Angreifer und deren Vorgehensweisen

Laut BleepingComputer gelang es mindestens zwei Angreifern – darunter die vietnamesische XE-Gruppe (öffnet in einem neuen Tab) – durch Ausnutzung der Sicherheitslücke „ CVE-2019-18935 “ auf den nicht gepatchten Server zuzugreifen und eine Remote-Code-Ausführung zu erlangen. (öffnet in einem neuen Tab) Die wichtigsten Erkenntnisse aus dieser Operation lauten wie folgt:

  • Es wurde beobachtet, dass die XE-Gruppe eine Art von Erkundungs- und Abtastaktivitäten durchführte, die mit der erfolgreichen Ausnutzung der Schwachstelle „ CVE-2019-18935 “ auf dem IIS-Server der Behörde übereinstimmen.
  • Bei der Ausnutzung der Sicherheitslücke wurde beobachtet, dass die Angreifer bösartige DLL-Dateien, die als PNG-Dateien getarnt waren, in das Verzeichnis „C:\Windows\Temp\“ hochluden.
  • Die schädlichen Dateien wurden anschließend aus dem Verzeichnis „C:\Windows\Temp\“ über den Prozess „ the w3wp.exe“ ausgeführt – einen legitimen Prozess, der auf IIS-Servern läuft. Dieser Vorgang ist ein Routinevorgang zur Bearbeitung von Anfragen, die an Webserver gesendet werden, und zur Bereitstellung von Inhalten. Die Auswertung der Antivirenprotokolle ergab, dass einige DLL-Dateien bereits im August 2021 erstellt und erkannt wurden, wie die CISA mitteilte.

Darüber hinaus wiesen die auf dem kompromittierten IIS-Server abgelegtem schädlichen Dateien eine Dateinamenskonvention auf, die mit früheren Berichten übereinstimmt, wonach Angreifer bei der Ausnutzung der Schwachstelle CVE-2019-18935 häufig ein solches Schema verwenden.

Von der CISA:

Die Angreifer benennen die Dateien im Unix-Epoch-Zeitformat und verwenden dabei das auf dem Zielsystem gespeicherte Datum und die Uhrzeit. Die Konvention zur Dateibenennung folgt dem Muster [10 Ziffern].[7 Ziffern].dll (z. B. könnte eine am 31. Oktober 2022 erstellte Datei den Namen be 1667203023,5321205.dll tragen).

In mehreren Fällen standen Artefakte, die man bei der Untersuchung solcher Aktivitäten erwarten würde, für eine Analyse nicht zur Verfügung, da sie von der Malware der Angreifer gelöscht worden waren. Die betreffende Malware sucht Berichten zufolge nach Dateien mit der Dateiendung .dll im Verzeichnis „C:\Windows\Temp\“ und löscht diese.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Neben der regelmäßigen Installation von Software-Patches ist es ebenso wichtig, sicherzustellen, dass DLLs mit Dateipfaden verknüpft sind, die von Sicherheitsmaßnahmen, Antivirenprogrammen und Endpunktlösungen regelmäßig auf anomale Dateien und sonstige Unregelmäßigkeiten überprüft werden.“ Ebenso wichtig ist es, sicherzustellen, dass die Abwehrmechanismen so konfiguriert sind, dass sie Dateipfade überprüfen, die von Angreifern häufig genutzt werden.

Aus BleepingComputer:

Die CISA, das FBI und das MS-ISAC empfehlen die Anwendung mehrerer Schutzmaßnahmen zum Schutz vor weiteren Angriffen, die auf diese Sicherheitslücke abzielen. Zu den wichtigsten Maßnahmen zählen unter anderem:

  • Aktualisieren Sie alle Instanzen von Telerik UI ASP.NET (wird in einem neuen Tab geöffnet) AJAX auf die neueste Version, nachdem Sie entsprechende Tests durchgeführt haben.
  • Überwachen und analysieren Sie die von Microsoft IIS und Remote-PowerShell erstellten Aktivitätsprotokolle.
  • Beschränken Sie die Berechtigungen von Dienstkonten auf das für den Betrieb der Dienste erforderliche Minimum.
  • Räumen Sie der Behebung von Sicherheitslücken in Systemen mit Internetanbindung Priorität ein.
  • Führen Sie eine Patch-Management-Lösung ein, um die Einhaltung der neuesten Sicherheitspatches sicherzustellen.
  • Stellen Sie sicher, dass Schwachstellenscanner so konfiguriert sind, dass sie einen umfassenden Bereich von Geräten und Standorten überprüfen.
  • „Führen Sie eine Netzwerksegmentierung durch, um Netzwerksegmente je nach Rolle und Funktion voneinander zu trennen.“

„Die CISA, das FBI und das MS-ISAC empfehlen zudem, Sicherheitsprogramme anhand der Bedrohungsverhalten zu testen, zu üben und zu validieren, die dem im Hinweis erwähnten MITRE ATT&CK-Framework „ “ ( for Enterprise) zugeordnet sind.“

2. Mutmaßlicher chinesischer Akteur nutzt Fortinet-Zero-Day-Exploit und maßgeschneiderte Malware bei Spionageaktion

Laut Mandiant wurde ein mutmaßlich staatlich geförderter chinesischer Akteur mit einer Reihe von Angriffen auf Regierungsorganisationen in Verbindung gebracht, bei denen die Angreifer eine Zero-Day-Sicherheitslücke in „ “ von Fortinet ausnutzten (öffnet in einem neuen Tab) (CVE-2022-41328), um Malware zu verbreiten.

Die betreffende Zero-Day-Sicherheitslücke Nr. CVE-2022-41328 wurde von Fortinet (wird in einem neuen Tab geöffnet) in einer aktuellen Sicherheitsmitteilung unter (wird in einem neuen Tab geöffnet) offengelegt , in der es heißt:

„Eine [sic] unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis („Path Traversal“) [CWE-22] in FortiOS könnte es einem Angreifer mit Berechtigungen ermöglichen, über speziell gestaltete CLI-Befehle beliebige Dateien zu lesen und zu schreiben ...“

Fortinet hat Sicherheitsupdates veröffentlicht, um die Schwachstelle mit hohem Schweregrad zu beheben, die es Angreifern potenziell ermöglichen könnte, unbefugten Code oder Befehle auszuführen. In der Sicherheitsmitteilung wurde die Ausnutzung der Sicherheitslücke in der Praxis nicht erwähnt, doch ein vor etwa zwei Wochen veröffentlichter Bericht von Fortinet enthüllte, dass CVE-2022-41328 Exploits eingesetzt worden waren, um mehrere FortiGate-Firewall-Geräte zu hacken und außer Betrieb zu setzen (öffnet in einem neuen Tab), die einem seiner Kunden gehörten – derselbe Vorfall, der im Mittelpunkt des jüngsten Berichts von Mandiant steht, in dem das Unternehmen bestätigt, gemeinsam mit Fortinet die Ausnutzung der Sicherheitslücke und den Einsatz von Malware in verschiedenen Fortinet-Lösungen zu untersuchen.

Was ist davon betroffen?

Laut Fortinet sind die folgenden FortiOS-Versionen betroffen:

  • Version 6,4,0 bis 6,4,11
  • Version 7,0,0 bis 7,0,9
  • Version 7,2,0 bis 7,2,3
  • Alle Versionen von FortiOS 6,0 und 6,2

Details zum Angriff

Dem Bericht von Mandiant zufolge fanden die Angriffe Mitte des Jahres 2022 statt. Die Analyse der nach dem Exploit erfolgten Aktivitäten im Zusammenhang mit einem Vorfall ergab, dass die von dem mutmaßlichen chinesischen Akteur eingesetzte Malware – die zum großen Teil durch die Ausnutzung der Schwachstelle „ CVE-2022-41328 “ unterstützt wurde – für Zwecke der Cyberspionage, der Datenexfiltration, der Eröffnung von Remote-Shells sowie des Herunterladens und Schreibens von Dateien auf kompromittierte Geräte genutzt werden konnte.

Die Angriffe waren äußerst gezielt, wobei die Opfer vor allem aus Regierungsnetzwerken und großen Organisationen stammten.

Wer ist UNC3886?

UNC3886 ist eine Gruppe, die von Mandiant im Verdacht steht, Verbindungen zu China zu haben, und die mit dem neuartigen -Malware-Framework für den VMware ESXi-Hypervisor in Verbindung gebracht wird: (öffnet in einem neuen Tab), das unter September 2022 veröffentlicht wurde.

At the time of the ESXi hypervisor compromises, Mandiant observed UNC3886 directly connect from FortiGate and FortiManager devices to VIRTUALPITA (opens in a new tab) backdoors on multiple occasions.

Die Angreifer zeigten ein hohes Maß an Raffinesse und „fortgeschrittene Fähigkeiten“.

„Der Angriff ist äußerst gezielt und lässt darauf schließen, dass vor allem staatliche oder regierungsnahe Ziele im Visier stehen“, erklärte Fortinet. „Die Ausnutzung dieser Sicherheitslücke erfordert fundierte Kenntnisse über FortiOS und die zugrunde liegende Hardware.“ Maßgeschneiderte Implantate zeigen, dass der Angreifer über fortgeschrittene Fähigkeiten verfügt, darunter das Reverse Engineering verschiedener Komponenten von FortiOS.

Die Zielauswahl im Zusammenhang mit den Angriffen deckt sich mit den jüngsten Zielmustern, die von den staatlich unterstützten Cyberspionageakteuren Chinas zu beobachten sind.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Die böswilligen Aktivitäten weisen zweifellos alle Merkmale einer staatlich geförderten Operation auf, und wie bereits erwähnt, könnten die beobachteten Angriffsmuster, die hochentwickelten Fähigkeiten sowie der Einsatz eines Zero-Day-Exploits durchaus auf die Beteiligung einer chinesischen APT hindeuten.“ Es klingt so, als sei es ein Glücksfall gewesen, der die Ermittler überhaupt erst auf die Anwesenheit dieses Akteurs aufmerksam gemacht hat. Sollte es sich hierbei um das Werk eines Angreifers mit Verbindungen zu „ “ und China handeln, wäre dies nicht überraschend, da viele der staatlich unterstützten Hackergruppen des Landes für ihre Tarnung bekannt sind und sich als fähig erwiesen haben, über mehrere Jahre hinweg Eindringversuche durchzuführen. „CTI wird diese Angelegenheit aufmerksam verfolgen.“

3. Tick APT zielt auf die hochwertigen Kunden eines ostasiatischen Anbieters von Lösungen zur Verhinderung von Datenverlusten ab

ESET gibt an, dass eine neue Kampagne, die der APT-Gruppe „ “ zugeschrieben wird – (öffnet in einem neuen Tab) –, auf ein ostasiatisches Unternehmen abzielte, das Software zur Verhinderung von Datenverlusten (DLP) entwickelt.

Laut ESET hat die Gruppe die internen Update-Server des Unternehmens kompromittiert, um Malware sowie mit Trojanern infizierte Installationsprogramme legitimer, vom Unternehmen genutzter Tools zu verbreiten. Die mit einem Trojaner infizierten Installationsprogramme wurden über eine Fernwartungssoftware an zwei Kunden des Unternehmens weitergegeben.

Über Tick

Übersicht über den Angriff

Etwa zur gleichen Zeit, als Tick die „ProxyLogon“-Sicherheitslücke ausnutzte, wurde beobachtet, wie die Gruppe sich Zugang zu einem ostasiatischen Softwareentwicklungsunternehmen verschaffte. Im Rahmen der Kampagne wurde Malware eingesetzt, wobei die Installationsprogramme einer legitimen Anwendung namens „Q-dir“ durch mit einem Trojaner infizierte Versionen ersetzt wurden, um eine Backdoor namens „ReVBShell“ zu installieren.

Diese Vorgehensweise führte dazu, dass zwei Kunden des Unternehmens kompromittiert wurden, als die Malware über eine Fernwartungssoftware übertragen wurde. Forscher gehen davon aus, dass dies geschah, als das Unternehmen DLP diesen Kunden technischen Support leistete.

Chronologie des Angriffs

Im Fall „ März 2021“ installierte der Angreifer Malware auf mehreren Rechnern des DLP-Unternehmens. Zu der Malware gehörten Varianten der Familien „Netboy“ und „Ghostdown“ sowie ein bislang nicht dokumentierter Downloader namens „ShadowPy“.

Anschließend wurden mit Schadcode versehene Kopien der Q-dir-Installationsprogramme in das Netzwerk eingeschleust. Monate später wurden diese mit Trojanern infizierten Installationsprogramme an Kunden des DLP-Unternehmens weitergegeben.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Unabhängig davon, ob dies die Absicht der Angreifer war oder nicht, führte diese Kampagne dazu, dass mit Trojanern infizierte Installationsprogramme an zwei Kunden des Unternehmens weitergegeben wurden.“ Es ist unklar, wie es genau dazu gekommen ist, doch es wird angenommen, dass sich der Vorfall während einer technischen Support-Sitzung ereignete, die zwischen dem Unternehmen und seinen Kunden stattfand und bei der Fernwartungstools wie ANYSUPPORT und helpU zum Einsatz kamen.

„Die Forscher gehen nicht davon aus, dass ein Angriff im Stil einer Lieferkettenattacke das Hauptziel der Kampagne war, sondern vielmehr eine indirekte Folge ihrer Aktivitäten.“ „Letztendlich zählen die Ergebnisse, und die Tatsache, dass ein Angriff auf die Lieferkette (möglicherweise versehentlich) stattfinden konnte, macht deutlich, dass solche Vorfälle nach wie vor eine echte Bedrohung für Unternehmen darstellen.“

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .