
Bedrohungsakteure missbrauchen öffentliche Cloud-Infrastruktur für gezielte Angriffe auf Telekommunikationsnetzwerke
In Zusammenarbeit mit der QGroup GmbH beobachtete und analysierte SentinelLabs eine Bedrohungsaktivität, die als WIP26 bezeichnet wird. Der Bedrohungsakteur, der hinter WIP26 steht, hat es auf Telekommunikationsanbieter im Nahen Osten abgesehen. WIP26 zeichnet sich durch den Missbrauch öffentlicher Cloud-Infrastruktur aus – Microsoft 365 Mail, Microsoft Azure, Google Firebase und Dropbox – für die Verbreitung von Malware, die Datenexfiltration und C2-Zwecke.
Die WIP26-Aktivitäten werden durch die gezielte Ansprache von Mitarbeitern über WhatsApp-Nachrichten eingeleitet, die Dropbox-Links zu einem Malware-Loader enthalten. Wenn Mitarbeiter dazu verleitet werden, den Loader herunterzuladen und auszuführen, führt dies letztendlich zur Bereitstellung von Hintertüren, die Microsoft 365 Mail und Google Firebase-Instanzen als C2-Server nutzen. Die Hintertüren werden als CMD365 bzw. CMDEmber bezeichnet. Die Hauptfunktion von CMD365 und CMDEmber besteht darin, vom Angreifer bereitgestellte Systembefehle über den Windows-Befehlsinterpreter auszuführen.
Die Nutzung der öffentlichen Cloud-Infrastruktur für C2-Zwecke ist ein Versuch, bedrohlichen C2-Netzwerkverkehr als legitim erscheinen zu lassen und damit die Entdeckung durch Verteidiger zu erschweren. Die beobachteten CMD365- und CMDEmber-Samples geben sich als Dienstprogramme aus, z. B. als PDF-Editor oder Browser, und als Software, die Aktualisierungsvorgänge durchführt. Der Versuch, sich als solche auszugeben, beinhaltet die Verwendung von Dateinamen, Anwendungssymbolen und digitalen Signaturen, die auf bestehende Softwareanbieter hinweisen.
Technischer Hintergrund
Der initiale Angriffsvektor wurde durch das Versenden gezielter WhatsApp-Nachrichten an Mitarbeiter erreicht. Die Nachrichten enthielten Dropbox-Links zu Archivdateien, die angeblich nur Dokumente zu Armutsproblemen in Afghanistan enthielten. Die Archive enthielten solche Dokumente, aber auch einen Malware-Loader (PDFelement.exe), der sich als PDFelement-Anwendung tarnte. Der Loader installiert die CMD365-Hintertür, eine ausführbare .NET-Datei namens Update.exe, und erstellt eine geplante Aufgabe namens MicrosoftUpdatesA, die CMD365 beim Systemstart ausführt, damit es bestehen bleibt.
Die Hauptfunktion von CMD365 besteht darin, Befehle von einem C2 auszuführen, der auf einer Microsoft 365 Mail-Instanz gehostet wird. Diese Fähigkeit wurde für eine Reihe von Aktivitäten genutzt, z. B. für die Aufklärung, die Ausweitung von Rechten, das Bereitstellen zusätzlicher Malware und die Datenexfiltration. Unter der Malware, die auf kompromittierten Computern eingesetzt wurde, beobachteten wir neben der Update.exe – EdgeUpdater.exe ein weiteres CMD365-Sample. Darüber hinaus beobachteten wir CMDEmber-Samples, die Google Firebase Realtime Database-Instanzen als C2-Server verwenden – .NET-Executables namens Update.exe und Launcher.exe.
Zu den exfiltrierten Daten gehörten die privaten Browserdaten der Benutzer und Aufklärungsinformationen über bestimmte hochwertige Hosts im Netzwerk des Opfers. Dies ist ein typischer Vorläufer für den späteren Angriff auf diese Hosts. Die Datenexfiltration wurde durch die Ausführung von PowerShell-Befehlen zur Übertragung von Schlüsseldaten an Microsoft Azure-Instanzen orchestriert. Der Bedrohungsakteur hinter WIP26 nutzte die Windows Azure-Website socialmsdnmicrosoft.azurewebsites[.]net als Malware-Hosting-Site und akam.azurewebsites[.]net als Datenexfiltrations-Site.
Welche Absichten steckt hinter WIP26?
Die Sicherheitsforscher von SentinelLabs halten es für wahrscheinlich, dass diese Aktivität mit Spionage zusammenhängt. Der erste beobachtete Angriffsvektor umfasste ein präzises Targeting: Der Bedrohungsakteur schickte WhatsApp-Nachrichten mit Download-Links zu Backdoor-Malware an Ziele. Die Tatsache, dass Telekommunikationsanbieter im Nahen Osten ins Visier genommen wurden, deutet darauf hin, dass das Motiv hinter dieser Aktivität spionagebezogen ist. Kommunikationsanbieter sind aufgrund der sensiblen Daten, über die sie verfügen, häufig Ziel von Spionageaktivitäten. Schließlich deuten die Beweise darauf hin, dass der Bedrohungsakteur, sobald er Fuß gefasst hatte, auf die privaten Informationen der Benutzer und bestimmte vernetzte Hosts von hohem Wert abzielte.
Fazit
Die WIP26-Aktivitäten sind ein interessantes Beispiel dafür, dass Bedrohungsakteure ihre TTPs ständig erneuern, um der Aufdeckung zu entgehen und Abwehrmaßnahmen zu umgehen. Die Nutzung öffentlicher Cloud-Infrastrukturen für Malware-Hosting, Datenexfiltration und C2-Zwecke zielt darauf ab, bösartigen Datenverkehr legitim erscheinen zu lassen. Dies gibt Angreifern die Möglichkeit, ihre Aktivitäten unbemerkt durchzuführen. Wir hoffen, dass dieser Bericht dazu beiträgt, diese Taktik im Rahmen der kontinuierlichen Bemühungen zur Identifizierung von Bedrohungsgruppen, die es auf kritische Branchen abgesehen haben, hervorzuheben.
Die ausführliche Untersuchung der Forscher von SentinelLabs finden Sie hier:
Fachartikel

ChatGPT bei der Arbeit nutzen? Nicht immer eine gute Idee

Das Aktualisieren von Software-Agenten als wichtige Praktik der Cyberhygiene auf MSP-Seite

Kosteneinsparungen und Optimierung der Cloud-Ressourcen in AWS

CVE-2023-23397: Der Benachrichtigungston, den Sie nicht hören wollen

Wie sich kleine und mittlere Unternehmen proaktiv gegen Ransomware-Angriffe wappnen
Studien

Studie zeigt 193 Millionen Malware-Angriffe auf Mobilgeräte von Verbrauchern im EMEA-Raum

2023 State of the Cloud Report

Trotz angespannter Wirtschaftslage: die Security-Budgets steigen, doch der IT-Fachkräftemangel bleibt größte Hürde bei Erreichung von Security-Zielen

BSI-Studie: Viele Software-Produkte für Onlineshops sind unsicher

Wie Cloud-Technologie die Versicherungsbranche revolutioniert
Whitepaper

Arctic Wolf Labs Threat Report: Deutlicher Anstieg der erfolgreichen Fälle von Business-E-Mail-Compromise

Aufkommende Trends in der externen Cyberabwehr

Cyber-Sicherheit für das Management – Handbuch erhöht Sicherheitsniveau von Unternehmen

Aktueller Datenschutzbericht: Risiko XXL am Horizont

Vertrauen in die Lieferkette durch Cyber-Resilienz aufbauen
Unter4Ohren

Optimierung der Cloud-Ressourcen und Kosteneinsparungen in AWS

DDoS – der stille Killer

Continuous Adaptive Trust – mehr Sicherheit und gleichzeitig weniger mühsame Interaktionen

Datenschutz und -kontrolle in jeder beliebigen Cloud bei gleichzeitiger Kostensenkung, Reduzierung der Komplexität, Verbesserung der Datenverfügbarkeit und Ausfallsicherheit
