Zimbra Zero-Day-Schwachstelle: Cyber Threat Intelligence Roundup

In dieser Woche informieren wir Sie über die neuesten Erkenntnisse zu „ CVE-2022-41352“, einer Sicherheitslücke, die die Ausführung von Remote-Code (RCE) ermöglicht und es Angreifern erlaubt, Web-Shells und andere beliebige Inhalte auf den Servern der Zimbra Collaboration Suite (ZCS) zu platzieren.

Darüber hinaus weisen wir auf eine neue Ursnif-Variante hin, die den jüngsten Höhepunkt in der Entwicklung dieser Malware-Familie darstellt – von einem einfachen Banking-Trojaner hin zu einer Bedrohung, die Angriffe mit Ransomware und Datendiebstahl ermöglichen kann.

Abschließend möchten wir Ihnen eine Zusammenfassung zu einer PowerShell-Hintertür präsentieren, die sich als Teil eines legitimen Windows-Update-Prozesses tarnt.

1. 900 Server (und es werden immer mehr) wurden über eine Sicherheitslücke in Zimbra gehackt

Laut Kaspersky hat ein Zimbra-Exploit zur Kompromittierung von rund 900 Servern geführt, nachdem verschiedene Cyber-Angreifer (darunter auch sogenannte „fortgeschrittene APTs“, wie sie von Branchenexperten bezeichnet werden) nach einer kritischen Sicherheitslücke in der Zimbra Collaboration Suite von gesucht und diese ausgenutzt hatten (ZCS) (öffnet in einem neuen Tab) – eine Schwachstelle, die fast 1,5 Monate lang als Zero-Day-Exploit ohne Patch bestand.

Die als „ CVE-2022-41352“ erfasste Sicherheitslücke ist eine RCE-Schwachstelle, die es Angreifern ermöglicht, Web-Shells auf ZCS-Servern zu platzieren und Antiviren-Prüfungen zu umgehen – und zwar mithilfe eines bösartigen Archiv-Anhangs, der einer vom Angreifer versendeten E-Mail beigefügt ist.

Die Sicherheitslücke wurde erstmals auf 10. September 2022 von einem Nutzer auf , den offiziellen Zimbra-Foren (wird in einem neuen Tab geöffnet) gemeldet, der berichtete, dass sein Team einen Sicherheitsvorfall festgestellt habe, der von einer vollständig gepatchten Zimbra-Instanz ausging. Nach Prüfung der vom Nutzer bereitgestellten Angaben konnte Zimbra bestätigen, dass eine bisher unbekannte Sicherheitslücke es Angreifern tatsächlich ermöglichte, beliebige Dateien auf aktuelle ZCS-Server hochzuladen. Das Problem hängt mit der Vorgehensweise zusammen, mit der die Antiviren-Engine von Zimbra – bekannt als Amavis – eingehende E-Mails überprüft (wobei Amavis eine Funktion innerhalb von Zimbra nutzt, die als „cpio“ bezeichnet wird).

Zimbras Problemumgehung für CVE-2022-41352

Zimbras vorübergehende Abhilfe unter für den Fehler CVE-2022-41352 (wird in einem neuen Tab geöffnet) bestand darin, das Dienstprogramm „pax“ zu installieren und die Zimbra-Dienste neu zu starten. Pax ist unter Ubuntu standardmäßig installiert, weshalb Ubuntu-basierte Zimbra-Installationen Berichten zufolge nicht anfällig sind.
Zimbra seinerseits hat in einem Blogbeitrag (wird in einem neuen Tab geöffnet) das Risiko anerkannt, das mit der Verwendung von cpio verbunden ist, und darin empfohlene Abhilfemaßnahmen vorgestellt.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Zwar steht die Zuordnung der unbekannten APT, die für einen Großteil dieser Angriffe verantwortlich ist, noch nicht fest, doch hat CTI bereits zuvor ähnliche, scheinbar zufällige Angriffe beobachtet, bei denen Web-Shells auf so vielen anfälligen Servern wie möglich eingesetzt wurden.“ In diesen Fällen (wird in einem neuen Tab geöffnet) lagen die Sicherheitslücken in Microsoft Exchange-Servern vor, bei der betroffenen Web-Shell handelte es sich um „China Chopper“, und der verantwortliche Akteur war die mit China in Verbindung stehende Gruppe „HAFNIUM“.

„Es bleibt abzuwarten, welche Hackergruppe – falls überhaupt eine – mit dieser aktuellen Angriffswelle auf Zimbra-Server, insbesondere auf solche in Zentralasien, in Verbindung steht und ob diese feindlichen Aktivitäten Teil einer koordinierten Kampagne sind.“ Bekannt ist, dass diese Aktivitäten sowohl hinsichtlich ihres Ausmaßes als auch ihrer Intensität zweifellos Ähnlichkeiten mit historischen APT-Aktivitäten aufweisen. Wie aus mehreren CISA-Warnmeldungen hervorgeht ( ), ist dies nicht der erste Fall ( (öffnet in einem neuen Tab) ), in dem Schwachstellen in der ZCS-Lösung von Zimbra Gegenstand intensiven Interesses seitens verschiedener APTs waren.“

2. Neue Variante der Ursnif-Malware konzentriert sich nun auf Ransomware und Datendiebstahl

Ein kürzlich von Mandiant veröffentlichter Bericht analysiert eine offensichtliche Abkehr vom ursprünglichen Zweck und der ursprünglichen Funktionalität der Malware „ “ Ursnif. (wird in einem neuen Tab geöffnet)

Forscher haben beobachtet, wie sich Ursnif von einem Trojaner, der ursprünglich zur Erleichterung von Bankbetrug entwickelt wurde, zu einer vielseitigeren Malware weiterentwickelt hat, die in der Lage ist, die Voraussetzungen für Ransomware- und Datendiebstahlangriffe zu schaffen. Ursnif hat sich in den letzten Jahren gewandelt.

Was ist Ursnif und was ist diese neue Malware-Variante?

Ursnif (wird in einem neuen Tab geöffnet) (auch bekannt als ISFB – mehr dazu weiter unten) ist eine der ältesten und erfolgreichsten Familien von Banking-Malware, die auch heute noch, mehr als ein Jahrzehnt nach ihrem ersten Auftreten in der Cyber-Bedrohungslandschaft, aktiv ist. Die Autoren und Mitwirkenden dieser Malware haben im Laufe der Jahre zahlreiche Varianten entwickelt, und Ursnif ist häufig mit anderen Malware-Familien und -Varianten verflochten. Sein Quellcode ist seit seinem ersten größeren Auftritt mindestens zweimal durchgesickert, was zur Entstehung weiterer Versionen geführt hat, die bis heute im Umlauf sind.

Derzeit wird Ursnif nicht mehr nur als einzelne Malware betrachtet, sondern als eine Familie von Varianten. Viele Forscher bezeichnen diese Malware-Familie heute als „ “, „Gozi“, „ “ (öffnet in einem neuen Tab), „“, „“, „/“, „ISFB“, „ “ (öffnet in einem neuen Tab), „“ und „“. Zu diesen Varianten gehören:

• ISFB-: Aus dem durchgesickerten Quellcode von Gozi, auf dem viele Ursnif-Varianten basieren. War vor 2014 im Einsatz.
• Dreambot: Mandiant stuft diese Variante als eine der erfolgreichsten ein. Aktiv 2014-2020.
• IAP-: Der am intensivsten weiterentwickelte und am weitesten verbreitete ISFB-Zweig, der häufig Ziel von Malware-Kampagnen gegen Italien ist. Aktiv seit 2014 bis heute.
• RM2: Also, widely known as GoziAT, RM2 started its activity years ago with the Chanitor malware (aka Hancitor). Aktiv 2016-2021.
• RM3 „“: Aufgrund seines speziell entwickelten Formats für ausführbare Dateien handelt es sich um die bislang ausgefeilteste Version, von der seit 2017 vor allem Ozeanien und Großbritannien betroffen sind. Aktiv 2017-2021.
• LDR4 „“: Die neueste Variante, die den Übergang vom Bankbetrug zur Ransomware markiert. Derzeit aktiv.

LDR4 wurde erstmals von Mandiant auf 23. Juni beobachtet, 2022being wurde mithilfe eines Phishing-Angriffs im Zusammenhang mit der Personalbeschaffung unter mit dem Köder verbreitet. Die E-Mail enthält in der Regel einen Link zu einer manipulierten Website, die den Nutzer auf eine Domain weiterleitet, die sich als seriöses Unternehmen ausgibt. Bei einer CAPTCHA-Aufgabe wird ein Excel-Dokument heruntergeladen, das den Opfern als Datei im Zusammenhang mit dem Anwerbeköder präsentiert wird. Anschließend lädt das Dokument die LDR4 -Payload herunter und führt sie aus.

Im Gegensatz zur vorherigen Ursnif-Variante verwendet die Variante LDR4 nicht mehr das benutzerdefinierte PX-Ausführungsformat. Forscher gehen davon aus, dass diese Entscheidung getroffen wurde, um die Fehlerbehebungsphase nicht unnötig zu verkomplizieren, da Malware-Entwickler ihre Bemühungen wahrscheinlich auf die Feinabstimmung der wichtigeren Funktionen der Variante konzentrieren möchten. Auch diese neue Variante ist ganz offensichtlich eine Backdoor, wodurch Ursnif die jüngste in einer langen Reihe von Malware-Familien ist, die in Bezug auf strategische Kurswechsel in die Fußstapfen von Emotet und TrickBot treten.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Die Tatsache, dass Ursnif oder eine Variante davon auch mehr als ein Jahrzehnt nach seinem ersten Auftreten in der Bedrohungslandschaft nach wie vor relevant ist, beweist eindeutig, dass seine Entwickler mit den sich ständig wandelnden Trends in der Malware-Branche Schritt halten können.“ „Die Entwicklung der Malware vom Banking-Trojaner zur Backdoor ist ein deutliches Anzeichen dafür, dass sie versucht, mit der Zeit zu gehen.“

„Es scheint jedoch, als hätten die Entwickler zwei hervorragende Gelegenheiten nicht genutzt: die Zerschlagung von Trickbot und Emotet durch engagierte Sonderkommandos der Strafverfolgungsbehörden. Hätte Ursnif zu einer Zeit, in der in der Bedrohungslandschaft ein gewisses Machtvakuum herrschte, einen Kurswechsel vollzogen, hätte es einen enormen Erfolg verzeichnen können, ähnlich wie Malware wie IcedID. „Angesichts der ausgeklügelten Funktionsweise und des beachtlichen Erfolgs, den Ursnif in der Vergangenheit verzeichnen konnte, gehen Forscher jedoch davon aus, dass diese neue Variante nach wie vor ebenso gefährlich sein könnte.“

3. Experten warnen vor einer heimlichen PowerShell-Hintertür, die sich als Windows-Update tarnt

Jüngste Berichte von SafeBreach Labs decken auf, was viele Medien als neue, „völlig unauffindbare“ PowerShell-Backdoor namens „ “ anpreisen:. Dies ist mehr als nur ein wenig eigenwillig, da die Hintertür tatsächlich entdeckt wurde, wie die Berichte verschiedener Forscher über ihre Existenz belegen. Die bislang nicht dokumentierte Hintertür erreicht ihren hohen Grad an Unauffälligkeit dadurch, dass sie sich als Teil eines legitimen Windows-Update-Prozesses tarnt.

Über die PowerShell-Hintertür

Die Malware selbst führt auf kompromittierten Hosts in erster Linie Aktivitäten zur Datenexfiltration durch. Der von SafeBreach Labs beobachtete Angriff begann mit einem schädlichen Word-Dokument, das Makrocode enthielt, um das PowerShell-Skript auszuführen. Das Word-Dokument trug den Titel „Apply Form.docm“ und wurde von einer IP-Adresse in Jordanien auf 25. August 2022 hochgeladen. Es wird vermutet, dass diese Datei mit einer auf LinkedIn basierenden Spear-Phishing-Falle im Zusammenhang mit einer Stellenbewerbung steht, von der wir in letzter Zeit häufig berichtet haben. Es ist zu beachten, dass Makros innerhalb des Dokuments aktiviert sein müssen, damit dieser erste Einstiegspunkt erfolgreich ist.

Das Makro-Dropper-Programm – „updater.vbs“ – erstellt eine geplante Aufgabe, die vorgibt, Teil eines regulären Windows-Updates zu sein. Das Skript wird aus einem gefälschten Update-Ordner unter %appdata%\local\Microsoft\Windows ausgeführt und führt ein PowerShell-Skript aus.

Ein Fehler des Angreifers führt zur Aufdeckung

SafeBreach Labs stellte fest, dass der oder die Angreifer hinter der Hintertür einen entscheidenden Fehler begangen haben, indem sie vorhersehbare, fortlaufende Opfer-IDs verwendeten. Den Forschern gelang es, ein Skript zu entwickeln, das sich als verschiedene betroffene Opfer ausgab und die C2 Antworten in einer Paketaufzeichnungsdatei (pcap) speicherte. Anschließend führten sie ein zweites Tool aus, um die verschlüsselten Befehle aus dieser PCAP-Datei zu extrahieren. Diese Ausgabe wurde an CyberChef weitergeleitet, um den Befehl für jede Opfer-ID bzw. -Nummer zu entschlüsseln.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

„Dies ist nur das jüngste Beispiel für den missbräuchlichen Einsatz eines PowerShell-Skripts. Anfang dieses Monats berichteten wir über eine seltene „Mouseover“-Technik zur Verbreitung von Malware, die von der „ “ entwickelt wurde:. Diese gesamte Angelegenheit sollte sowohl Cyberkriminellen als auch seriösen Entwicklern als Mahnung dienen, dass ein scheinbar geringfügiger Fehler – oder, wie es in diesem Fall den Anschein hat, eine Funktion – katastrophale Folgen haben kann. „Ungeachtet dessen ist die PowerShell-Backdoor ein ausgeklügeltes Werk, auch wenn der oder die Angreifer, die dahinter stehen, bei ihrer Entwicklung einen einfachen Fehler begangen haben, der zu ihrer Entdeckung führte.“

„Die Fähigkeit der Malware, sich als Teil des Windows-Update-Prozesses zu tarnen, sowie der Einsatz von Social Engineering über LinkedIn deuten auf ein gewisses Maß an Kompetenz hin.“ „Diese Aktion macht zudem deutlich, dass eine Bedrohung nicht unbedingt in allen Nachrichten präsent sein und einen ausgefallenen Namen tragen muss, um erfolgreich zu sein – denn diese namenlose Hintertür hat bereits mehr als 60 Opfer gefordert.“

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyberbedrohungen im Rahmen der „ “.