Globaler Bedrohungsdatenbericht

Interne Bedrohungen sind die Bedrohungen, die BlackBerry innerhalb seines eigenen Kundenstamms identifiziert und vor denen es sich schützt. Externe Bedrohungen (die im nächsten Abschnitt behandelt werden) sind solche, die von Dritten gemeldet werden, z. B. in Branchenpublikationen, von Sicherheitsanbietern oder von Regierungsbehörden.

Art: Infostealer

Zielgruppen: Telekommunikation, Gesundheitswesen

Regionen: Lateinamerika (LATAM), Nordamerika

Vidar ist ein Infostealer, den es seit 2018 gibt. Vidar ist wahrscheinlich ein Ableger des einst berüchtigten Infostealers Arkei und ist nach wie vor äußerst aktiv und wird häufig über Malware-as-a-Service (MaaS) in Untergrundforen verkauft. Die Malware ist äußerst flexibel und kann auf verschiedene Weise auf das Gerät eines Opfers gelangen, z. B. über Phishing-Dokumente, Malvertising (Werbung, die Malware verbreitet) und durch sekundäre Verbreitung über andere Malware. Anfang 2024 haben wir beobachtet, dass Vidar auch für Angriffe auf kritische Infrastrukturen eingesetzt wurde. In diesem Berichtszeitraum haben wir beobachtet, dass Vidar in erster Linie die Telekommunikations- und Gesundheitsbranche angreift, vor allem in den lateinamerikanischen Ländern, aber auch das Gesundheitswesen in Nordamerika wurde angegriffen.

Typ: Downloader

Zielgruppen: Lebensmittel und Landwirtschaft, Gesundheitswesen

Regionen: LATAM, Nordamerika

SmokeLoader ist seit 2011 in Betrieb und ist ein bekannter Übertragungsmechanismus für bösartige Nutzdaten der zweiten Stufe, darunter eine Vielzahl von Trojanern, Infostealern und sogar Ransomware. SmokeLoader, das als MaaS verkauft wird, kann auch Benutzeranmeldedaten abfangen. SmokeLoader ist aufgrund seiner Fähigkeit, zusätzliche Malware zu verbreiten, bei einer Reihe von hochrangigen Bedrohungsgruppen beliebt. Im Mai 2024 koordinierte Europol die Operation Endgame, um gegen bösartige Downloader vorzugehen. Mehr als 100 Malware-Server wurden abgeschaltet oder gestört und über 2.000 Domänen von den Strafverfolgungsbehörden beschlagnahmt. Obwohl diese Maßnahmen die Operationen der hinter SmokeLoader stehenden Bedrohungsgruppen stark beeinträchtigten, wurden in diesem Quartal immer noch Binärdateien mit dieser Malware im nordamerikanischen Gesundheitssektor und in der Lebensmittel- und Agrarindustrie in Lateinamerika beobachtet.

Art: Infostealer

Ziele: Telekommunikation, Lebensmittel und Landwirtschaft, Gesundheitswesen

Regionen: LATAM, Nordamerika

RisePro ist ein multifunktionaler Infostealer, der in Untergrundforen oft als MaaS verkauft wird. RisePro wurde erstmals Ende 2022 beobachtet. Dann, Ende 2023 und Anfang 2024, bemerkte BlackBerry einen starken Anstieg der RisePro-Aktivität.

Der Infostealer RisePro kann auf verschiedene Weise auf das Gerät eines Opfers gelangen, häufig über bösartige Links oder E-Mail-Anhänge. Er wurde auch über PrivateLoader verbreitet, eine Pay-per-Install (PPI)-Malware, die häufig als Malware-Verteilungsdienst genutzt wird.

Sobald sich RisePro auf dem Gerät eines Opfers befindet, kommuniziert es mit seinem Command-and-Control-Server (C2), wo es Befehle erhält, um Daten zu stehlen, zusätzliche Malware abzulegen und Informationen vom Gerät zu exfiltrieren. In diesem Quartal wurde RisePro bei Lebensmittel-, Landwirtschafts- und Telekommunikationsunternehmen in den lateinamerikanischen Ländern und bei Gesundheitsdiensten in Nordamerika beobachtet.

Typ: Downloader

Ziele: Bildung, Verkehr, Gesundheitswesen, Ernährung und Landwirtschaft

Regionen: APAC, Nordamerika

GuLoader (auch bekannt als CloudEyE) ist ein bekannter Downloader, der andere Malware verteilt. Seit 2020 hat die Bedrohungsgruppe, die hinter GuLoader steht, Anti-Analyse-Techniken hinzugefügt, um es den Sicherheitsdiensten zu erschweren, ihre Angriffe zu identifizieren oder Gegenmaßnahmen zu entwickeln. GuLoader arbeitet häufig im Verbund mit anderer Malware, insbesondere mit Infostealern wie FormBook, Agent Tesla und Remcos.

In diesem Berichtszyklus schien GuLoader hauptsächlich auf nordamerikanische Unternehmen in den Bereichen Transport, Lebensmittel und Landwirtschaft sowie Bildung abzuzielen. Es wurden jedoch auch GuLoader-Binärdateien bei Transportunternehmen in APAC-Ländern gefunden.

Art: Infostealer

Ziele: Ernährung und Landwirtschaft, Energie, Finanzen

Regionen: APAC, LATAM, Nordamerika

Lumma Stealer (auch bekannt als LummaC2) ist ein C-basierter Infostealer, der im zweiten Berichtszeitraum in Folge Lebensmittel- und Landwirtschaftsunternehmen in Lateinamerika und den Energiesektor in der APAC-Region ins Visier genommen hat. Lumma Stealer ist ein MaaS, das sich auf das Exfiltrieren sensibler Daten wie Anmeldedaten und Bankdaten spezialisiert hat, um Bankbetrug zu begehen. Darüber hinaus hatte Lumma Stealer Finanzdienstleistungsunternehmen in Nordamerika und APAC im Visier.

Interne Bedrohungen sind die Bedrohungen, die BlackBerry innerhalb seines eigenen Kundenstamms identifiziert und vor denen es sich schützt. Externe Bedrohungen (die im nächsten Abschnitt behandelt werden) sind solche, die von Dritten gemeldet werden, z. B. in Branchenpublikationen, von Sicherheitsanbietern oder von Regierungsbehörden.

Art: Bot/Stehler

Ziele: Verarbeitendes Gewerbe, kommerzielle Dienstleistungen, Investitionsgüter

Regionen: Europa, der Nahe Osten und Afrika (EMEA), APAC, LATAM

Amadey tauchte erstmals 2018 auf und ist eine modulare Malware, die immer noch in der Bedrohungslandschaft aktiv ist. Durch sich wiederholende Änderungen ist sie mit den jüngsten Fortschritten in ihrer Kommunikation relevant geblieben. Amadey kann Informationen sammeln und die Rechner der Opfer abfragen, bevor es Daten an seinen C2 weiterleitet. Amadey wird häufig als Bot-Netz verwendet, um andere Malware massenhaft zu verbreiten, und erleichtert häufig den Einsatz von Infostealern und bösartigen Kryptominern.

In diesem Berichtszeitraum konzentrierte sich Amadey auf Produktions- und Handelsdienstleistungen in den Regionen EMEA, APAC und LATAM sowie auf Investitionsgüterdienstleistungen speziell in den LATAM-Ländern.

Typ: Downloader

Zielgruppen: Verarbeitendes Gewerbe, kommerzielle Dienstleistungen

Regionen: APAC, LATAM, Nordamerika

PrivateLoader ist ein weit verbreiteter Vermittler von Malware, der als Pay-per-Install-Service für die Verbreitung von Malware arbeitet. PrivateLoader wird häufig über gefälschte Websites verbreitet, auf denen "geknackte" Software gehostet wird, und kann eine Vielzahl bösartiger Nutzdaten herunterladen, darunter eine breite Palette von Infostealern wie RisePro. PrivateLoader nutzt eine Technik, die als SEO-Poisoning bekannt ist, um den Bekanntheitsgrad seiner gefälschten Websites zu erhöhen. Diese Technik täuscht die Benutzer, indem sie ihnen vorgaukelt, dass die obersten Suchergebnisse die glaubwürdigsten sind, und ist sehr effektiv, wenn die Benutzer nicht genau auf ihre Suchergebnisse achten. In diesem Berichtszeitraum hatte es PrivateLoader auf das verarbeitende Gewerbe in Nordamerika und auf kommerzielle Dienstleistungen in Lateinamerika und der APAC abgesehen.

Typ: Fernzugriffs-Trojaner

Zielgruppen: Verarbeitendes Gewerbe, Lebensmitteleinzelhandel, kommerzielle Dienstleistungen

Regionen: APAC, LATAM, Nordamerika

Agent Tesla ist ein bekannter Remote-Access-Trojaner (RAT), der sich auf den Diebstahl von Informationen spezialisiert hat und seit 2014 aktiv auf Benutzer mit Microsoft Windows-basierten Systemen abzielt. Diese kommerzielle Malware, die über Untergrundforen verkauft und als MaaS-Angebot beworben wird, ist dafür bekannt, sensible Daten und Anmeldeinformationen zu stehlen, Tastatureingaben aufzuzeichnen und Screenshots von den Bildschirmen der Opfer zu erstellen. Sie wird häufig in Phishing-Kampagnen eingesetzt und als trojanisierte, gecrackte Software gehostet/verbreitet.

Agent Tesla hat in diesem Zyklus eine Reihe von Sektoren ins Visier genommen, darunter die verarbeitende Industrie, den Lebensmitteleinzelhandel und kommerzielle Dienstleistungen in Ländern der APAC, LATAM und Nordamerika.

Art: Infostealer

Ziele: Lebensmitteleinzelhandel

Regionen: APAC

FormBook und seine Weiterentwicklung XLoader sind hochentwickelte Malware-Familien, die sowohl als komplexe Infodiebe als auch als vielseitige Downloader für zusätzliche Malware fungieren. Seit ihrer Entstehung sind diese Malware-Familien widerstandsfähig und entwickeln sich ständig weiter, um Cyber-Abwehrmaßnahmen durch Anti-VM-Techniken, Prozessinjektion und benutzerdefinierte Verschlüsselungsroutinen zu umgehen und zu umgehen.

XLoader wird oft als MaaS verkauft und kann Daten aus Browsern, E-Mail-Clients und einer Reihe anderer Anwendungen stehlen. Eine Reihe von Cybervorfällen im Zusammenhang mit XLoader betraf in diesem Quartal Lebensmittelhändler in den APAC-Ländern.

Typ: Downloader

Zielgruppen: Gewerbliche Dienstleistungen, Lebensmitteleinzelhandel, verarbeitendes Gewerbe

Regionen: APAC, EMEA, Nordamerika

GuLoader, auch bekannt als CloudEyE, ist ein bekannter Downloader, der in zahlreichen Angriffen als Übertragungsmechanismus für andere Malware verwendet wird. Er ist seit 2020 aktiv ( ) und wurde in der Zwischenzeit immer wieder verändert, ausgefeilter gemacht und mit zusätzlichen Anti-Analyse-Techniken ausgestattet. GuLoader arbeitet in der Regel mit anderer Malware zusammen, insbesondere mit Infostealern wie FormBook, Agent Tesla und Remcos.

In diesem Quartal richtete sich GuLoader an das verarbeitende Gewerbe in Nordamerika, an den Lebensmitteleinzelhandel in APAC und an kommerzielle Dienstleistungen sowohl in EMEA als auch in APAC.

Art: Infostealer

Ziele: Gewerbliche Dienstleistungen, Investitionsgüter

Regionen: APAC

RisePro ist ein multifunktionaler Infostealer, der in Untergrundforen oft als MaaS verkauft wird. RisePro wurde erstmals Ende 2022 beobachtet. Dann, Ende 2023 und Anfang 2024,bemerkte BlackBerry einen starken Anstieg der RisePro-Aktivitäten. RisePro kann auf verschiedene Weise auf das Gerät eines Opfers gelangen, häufig über bösartige Links oder E-Mail-Anhänge. RisePro wurde auch über PrivateLoader verbreitet, eine PPI-Malware, die häufig als Malware-Verteilungsdienst genutzt wird. Sobald sich RisePro auf einem Gerät befindet, kommuniziert es mit seinem C2-Server, wo es Befehle erhält, um Daten zu stehlen, zusätzliche Malware abzulegen oder Informationen vom Gerät des Opfers zu exfiltrieren.

Art: Infostealer

Zielgruppen: Verarbeitendes Gewerbe, Lebensmitteleinzelhandel, gewerbliche Dienstleistungen, Investitionsgüter

Regionen: APAC, EMEA, LATAM

Vidar ist ein Infostealer, den es seit 2018 gibt und der möglicherweise ein Ableger des als Arkei bekannten Infostealers ist. Vidar ist äußerst aktiv und wird oft als MaaS über Untergrundforen verkauft. Die Malware ist äußerst flexibel und kann auf verschiedene Weise auf das Gerät eines Opfers gelangen, beispielsweise über Phishing-Dokumente, Malvertising (Werbung, die Malware verbreitet) und durch sekundäre Verbreitung über andere Malware. Im Berichtszeitraum hatte Vidar eine Reihe von Wirtschaftsunternehmen im Visier, darunter die Fertigungsindustrie in EMEA, den Lebensmitteleinzelhandel in APAC, Investitionsgüter in LATAM und kommerzielle Dienstleistungen sowohl in LATAM als auch in APAC.

Neben den Bedrohungsakteuren, die in unseren internen Untersuchungen und Erkenntnissen genannt wurden, haben in diesem Quartal mehrere andere Gruppen verschiedene Cyberangriffe gestartet. Diese Gruppen setzen oft eine Reihe von Tools und Malware ein, um ihre illegalen Aktivitäten durchzuführen. Im Folgenden stellen wir einige der einflussreichsten Angreifer und bemerkenswerten Tools vor, die von unserem Threat Research and Intelligence Team in diesem Quartal identifiziert wurden.

BlackSuit ist eine private Ransomware-Operation, die im April 2023 aufgetaucht ist. Diese Gruppe wendet eine vielseitige Erpressungsstrategie an, die sowohl die Exfiltration als auch die Verschlüsselung von Opferdaten umfasst. Darüber hinaus unterhält sie Dark-Web-Data-Leak-Sites, auf denen gestohlene vertrauliche Daten von Opfern, die sich nicht an die Vorschriften halten, öffentlich zugänglich gemacht werden. BlackSuit hat es auf Unternehmen aller Größenordnungen in verschiedenen Branchen abgesehen, darunter Gesundheitswesen, Bildungswesen, Informationstechnologie (IT), Behörden, Einzelhandel und Fertigung.

Zu den Angriffsmethoden von BlackSuit gehören Phishing-E-Mails, bösartige Torrent-Dateien und die Ausnutzung von Schwachstellen in VPNs und Firewalls. Die Gruppe nutzt eine Mischung aus legitimen und bösartigen Tools wie Cobalt Strike, WinRAR, PuTTY, Rclone, Advanced IP Scanner, Mimikatz, PsExec, Rubeus und GMER für Lateral Movement und Credential Dumping. Ihre Ransomware-Nutzdaten sind für Windows®- und Linux®-Betriebssysteme und in einigen Fällen für VMware ESXi-Server bestimmt.

Das US-Gesundheitsministerium hat auf Ähnlichkeiten zwischen BlackSuit und der Ransomware Royal hingewiesen, was darauf hindeutet, dass BlackSuit möglicherweise von den Erfindern von Royal, der berüchtigten Conti-Gruppe, stammt. Die von BlackSuit verwendeten Verschlüsselungsmechanismen und Befehlszeilenparameter weisen eine auffällige Ähnlichkeit mit denen von Royal auf, was auf eine gemeinsame Codebasis hindeutet.

Zu den Zielen in diesem Zeitraum gehören:

• Kadokawa Corporation, ein japanisches Medienkonglomerat, wo sich die Gruppe als legitime Komponente der Qihoo 360 Antivirus-Software ausgab.
• Weitere bemerkenswerte Ziele sind die Stadt Cedar Falls in Iowa, ein amerikanisches multinationales Softwareunternehmen, das Kansas City Kansas Police Department und das globale Pharmaunternehmen Octapharma Plasma, Inc.

BlackBasta (auch bekannt als Black Basta) ist ein Ransomware-Betreiber und ein kriminelles Ransomware-as-a-Service (RaaS)-Unternehmen, das Anfang 2022 auftauchte. Einem gemeinsamen Bericht der CISA und des FBI zufolge haben BlackBasta-Mitglieder mehr als 500 Unternehmen der Privatwirtschaft und kritische Infrastrukturen, darunter Organisationen des Gesundheitswesens, in Nordamerika, Europa und Australien angegriffen.

BlackBasta verwendet typische Methoden für den Erstzugang, einschließlich Phishing und Ausnutzung bekannter Schwachstellen. Nachdem sie sich Zugang verschafft haben, führen die Angreifer eine Erkundung durch, um das Zielnetzwerk abzubilden und mithilfe von Mimikatz Anmeldedaten zu erbeuten. Mithilfe der erbeuteten Anmeldeinformationen erweitern die Ransomware-Betreiber ihre Berechtigungen und gehen seitlich vor, um das Netzwerk zu kompromittieren. Vor der Verschlüsselung deaktivieren die BlackBasta-Bedrohungsakteure Abwehrmechanismen, exfiltrieren sensible Daten und löschen Schattenkopien, um bis zum endgültigen Angriff verborgen zu bleiben. Die Gruppe ist dafür bekannt, dass sie eine doppelte Erpressungstaktik anwendet, indem sie kritische Daten und wichtige Server verschlüsselt und damit droht, sensible Informationen auf ihrer öffentlichen Leak-Site zu veröffentlichen.

Zu den Zielen in diesem Berichtszeitraum gehören:

• Ein bekannter US-amerikanischer Gesundheitsdienstleister. BlackBasta verschlüsselte die Patientendaten und die operativen Systeme des Anbieters und gefährdete so die Patientenversorgung und den Datenschutz.
• Keytronic, ein US-amerikanischer Hersteller. Ein von BlackBasta verübter Cyberangriff störte den Betrieb und schränkte den Zugang zu wichtigen Geschäftsanwendungen ein. Außerdem erlitt das Unternehmen eine Datenpanne, als die Ransomware-Bande die gestohlenen Daten ausspähte.

Diese Angriffe zeigen, dass BlackBasta sich weiterhin auf hochwertige Ziele in verschiedenen Sektoren konzentriert und ausgeklügelte Ransomware-Taktiken einsetzt, um ihr Störungs- und Erpressungspotenzial zu maximieren.

LockBit, eine cyberkriminelle Gruppe mit angeblichen Verbindungen nach Russland, hat sich mit ihrer gleichnamigen Malware als RaaS-Anbieter spezialisiert. Die Betreiber der Gruppe pflegen und verbessern die Ransomware fleißig, beaufsichtigen die Verhandlungen und orchestrieren ihren Einsatz, sobald ein erfolgreicher Einbruch stattgefunden hat. LockBit wendet eine doppelte Erpressungsstrategie an, bei der nicht nur die lokalen Daten verschlüsselt werden, um den Zugriff des Opfers einzuschränken, sondern auch sensible Informationen exfiltriert werden, so dass die Öffentlichkeit mit der Preisgabe der Daten droht, wenn kein Lösegeld gezahlt wird.

Operation Cronos, eine internationale Taskforce für Cyberkriminalität, hat LockBit im Februar empfindlich gestört. Die Gruppe war jedoch weiterhin sehr aktiv und hat in diesem Quartal am aggressivsten auf EMEA-Unternehmen abgezielt. Zu den Zielen gehören:

• Lokalisierte kritische Infrastrukturen. In der EMEA-Region hat LockBit vor allem kleine und mittlere Unternehmen ins Visier genommen, hauptsächlich im Vereinigten Königreich, in Deutschland und Frankreich. Die Gruppe konzentriert sich in erster Linie auf kleine kritische Infrastrukturen in den Bereichen Bildung, Gesundheitswesen und öffentlicher Sektor.
• Hôpital de Cannes - Simone Veil, in Frankreich. Ein LockBit-Angriff führte zu schwerwiegenden Betriebsstörungen, die das Krankenhaus zwangen, alle Computer vom Netz zu nehmen und nicht dringende Eingriffe und Termine zu verschieben.
• Wichita, die größte Stadt in Kansas mit 400.000 Einwohnern. Dieser bedeutende Ransomware-Angriff zwang die Stadt, ihre Computersysteme offline zu nehmen, was zu weitreichenden Störungen führte. LockBit veröffentlichte auf seiner Website eine Frist für die Zahlung des Lösegelds und erhöhte damit den Druck auf die Stadtverwaltung, ihren Forderungen nachzukommen.

ShinyHunters ist eine Bedrohungsgruppe, die erstmals im Jahr 2020 auftauchte und für mehrere Datenschutzverletzungen in verschiedenen Branchen bekannt ist. Zu ihren Angriffen gehören Berichten zufolge die Angriffe auf das indonesische E-Commerce-Unternehmen Tokopedia sowie auf GitHub und Pizza Hut Australia. ShinyHunters hat gestohlene Daten in Foren zum Verkauf angeboten und gelegentlich Daten aus einigen Einbrüchen kostenlos weitergegeben. Ironischerweise findet die Gruppe Schwachstellen oft durch Code, der in GitHub-Repositories verfügbar ist. Sie durchforstet ungesicherte Cloud-Buckets, missbraucht gestohlene Anmeldedaten und nutzt Phishing-Angriffe, um ihre Einbrüche zu erleichtern.

Weitere angebliche Ziele für diesen Berichtszeitraum sind:

• Banco Santander S.A., eine spanische Bank, die Kunden in ganz Lateinamerika, den USA, Großbritannien und Spanien betreut. ShinyHunters bot die Daten aus dieser Sicherheitsverletzung, von der 30 Millionen Kunden und Mitarbeiter betroffen waren, für etwa 2 Millionen US-Dollar zum Verkauf an.
• Ein multinationales Unternehmen, das Eintrittskarten für die Unterhaltungsbranche verkauft und vertreibt. Die Daten der Kunden wurden über ein Konto bei Snowflake, einer von dem Unternehmen genutzten Datenwolke KI , gestohlen. Das Konto verfügte über keine Multi-Faktor-Authentifizierung, was den Zugriff der Bedrohungsgruppe ermöglichte. ShinyHunters bot an, diese Daten für 500.000 US-Dollar zu verkaufen.

Die Ransomware Akira wurde erstmals im März 2023 beobachtet und erlangte aufgrund ihrer weitreichenden Angriffe in verschiedenen Sektoren schnell Berühmtheit. Die Operationen der Gruppe zeichnen sich durch eine Reihe von öffentlichkeitswirksamen Angriffen und eine anhaltende Präsenz in der Ransomware-Landschaft aus. Akira ist insbesondere für seine doppelte Erpressungstaktik bekannt, bei der nicht nur Daten verschlüsselt werden, sondern auch damit gedroht wird, die gestohlenen Daten weiterzugeben, wenn das Lösegeld nicht gezahlt wird. Dieser Ansatz hat sich als effektiv erwiesen, um die Opfer zu zwingen, ihre Forderungen zu erfüllen.

Anfänglich konzentrierte sich Akira auf Windows-Systeme, hat aber inzwischen seine Aktivitäten auf eine Linux-Variante ausgeweitet. Die Gruppe nutzt gängige Methoden für den Erstzugang, darunter Phishing-Kampagnen und die Ausnutzung bekannter Schwachstellen. Akira nutzt auch öffentlich verfügbare Tools wie Mimikatz und LaZagne für den Zugriff auf Anmeldeinformationen, PsExec für die Remote-Ausführung und AnyDesk oder Radmin für den Remote-Zugriff.

Akira arbeitet als RaaS, wurde ursprünglich in C++ entwickelt und verwendet die Erweiterung .akira für verschlüsselte Dateien. Es wurde auch eine Rust-basierte Variante beobachtet, die die Erweiterung .powerranges verwendet. Die jüngsten Aktivitäten von Akira zielten auf die Bereiche Gesundheitswesen, Finanzdienstleistungen, Fertigung und Technologie ab. Diese Angriffe verdeutlichen die Anpassungsfähigkeit der Gruppe und die anhaltende Bedrohung eines breiten Spektrums von Branchen.

Tools wie Rclone, Rubeus, GMER, WinSCP und Cobalt Strike sind für die Datenverwaltung, Penetrationstests und Systemwartung unerlässlich. Ihre Flexibilität und Zugänglichkeit machen sie auch zu nützlichen Werkzeugen, die von Bedrohungsakteuren missbraucht werden können.

Cobalt Strike ist ein ausgeklügeltes System zur Simulation von Angreifern, das sorgfältig entwickelt wurde, um die ständige Präsenz von Bedrohungsakteuren in Netzwerkumgebungen zu replizieren. Cobalt Strike ist um zwei zentrale Komponenten herum aufgebaut - einen Agenten (Beacon) und einen Server (Team Server) - und sorgt für eine nahtlose Interaktion. Der Cobalt Strike Team Server fungiert als Langzeit-C2-Server, der im Internet gehostet wird, und steht in ständiger Kommunikation mit Beacon-Nutzlasten, die auf den Rechnern der Opfer installiert sind.

Cobalt Strike wird zwar in erster Linie als Tool für Penetrationstester und Red-Teamer eingesetzt, um die Sicherheitslage von Netzwerken zu bewerten, wurde aber leider auch von böswilligen Bedrohungsakteuren ausgenutzt. Trotz des beabsichtigten Zwecks ist es bereits zu Fällen gekommen, in denen der Code online geleakt wurde, was zu einer schnellen Bewaffnung durch eine Vielzahl von Angreifern führte. Diese doppelte Natur macht deutlich, wie wichtig Wachsamkeit und robuste Cybersicherheitsmaßnahmen sind, um die mit dem Missbrauch verbundenen Risiken zu mindern und die Netzwerke vor potenziellem Missbrauch zu schützen.

Das BlackBerry Research and Intelligence Team analysierte fünf der am häufigsten beobachteten MITRE-Techniken:

Hijack Execution Flow (T1574) ist eine ausgeklügelte Technik, die von Angreifern eingesetzt wird, um den normalen Ausführungsfluss eines Systems abzufangen und zu manipulieren, damit sie stattdessen bösartigen Code ausführen können. Diese Methode hat sich im letzten Quartal als sehr verbreitet erwiesen, was ihre Beliebtheit aufgrund ihrer Effektivität beim Erreichen von Persistenz und der Ausführung nicht autorisierter Aktionen verdeutlicht.

Es gibt mehrere Möglichkeiten, die Methoden dieser Technik auszunutzen, darunter das Hijacking der DLL-Suchreihenfolge, das DLL-Side-Loading und das Einschleusen von bösartigem Code in legitime Prozesse. Durch die Umgehung des Ausführungsflusses können Angreifer die Kontrolle über das System erlangen, ohne dass Standard-Sicherheitswarnungen ausgelöst werden. Dadurch wird es für Sicherheitstools schwierig, zukünftige Aktivitäten des Angreifers zu erkennen und zu verhindern. Indem der Angreifer beispielsweise eine bösartige DLL an einem Ort platziert, der vor der legitimen DLL durchsucht wird, kann er sicherstellen, dass sein Code ausgeführt wird, wenn eine legitime Anwendung die DLL lädt.

Ein wesentlicher Vorteil dieser Technik für Angreifer ist ihre Fähigkeit, Sicherheitsmaßnahmen zu umgehen. Da der bösartige Code im Kontext eines vertrauenswürdigen Prozesses ausgeführt wird, kann er herkömmliche Sicherheitsmechanismen umgehen, die auf der Analyse des Prozessverhaltens beruhen. Diese Fähigkeit macht den Hijack Execution Flow besonders gefährlich, da er für eine Vielzahl bösartiger Aktivitäten genutzt werden kann, von der Ausweitung von Privilegien bis zur Datenexfiltration.

Um sich gegen T1574 zu schützen, sollten Unternehmen umfassende Sicherheitsmaßnahmen ergreifen, darunter die Aufnahme von Anwendungen in die Whitelist, eine strenge Patch-Verwaltung und die kontinuierliche Überwachung von System- und Netzwerkaktivitäten. Regelmäßige Software-Updates und die Sicherstellung, dass nur autorisierte Anwendungen ausgeführt werden können, verringern das Risiko eines "Execution Flow Hijacking" erheblich.

Schulungen zur Sensibilisierung der Benutzer spielen ebenfalls eine wichtige Rolle, da sie den Mitarbeitern helfen, Anzeichen für potenzielle Hijacking-Versuche von Ausführungsströmen zu erkennen, was zu einer robusten Sicherheitslage beiträgt. Schließlich ist der Einsatz fortschrittlicher Lösungen zur Erkennung von Bedrohungen, die abnormale Verhaltensmuster im Zusammenhang mit dieser Technik identifizieren können, für eine rechtzeitige Erkennung und Reaktion von entscheidender Bedeutung. Einige Beispiele für die Verwendung von T1574 sind:

• Hijacking der DLL-Suchreihenfolge: Ein häufiges Beispiel ist die Ausnutzung der DLL-Suchreihenfolge in Windows. Wenn ein Angreifer eine bösartige msvcrt.dll im Arbeitsverzeichnis der Anwendung platziert, kann diese von der Anwendung anstelle der legitimen Version aus dem Systemverzeichnis geladen werden.
• DLL-Side-Loading: Im Jahr 2018 nutzte die APT-Gruppe OceanLotus DLL-Side-Loading mit der legitimen ausführbaren Datei von Microsoft Word, um eine bösartige DLL zu laden, die Persistenz herstellte und weitere Nutzlasten ausführte.
• COM-Hijacking: Ein Angreifer registriert ein bösartiges COM-Objekt unter einem bestimmten Registrierungsschlüssel, den eine legitime Anwendung häufig abfragt. Wenn die Anwendung das COM-Objekt aufruft, wird der bösartige Code anstelle des vorgesehenen COM-Objekts ausgeführt.
• Windows AppInit_DLLs: Durch die Änderung von Registrierungsschlüsseln wie AppInit_DLLs stellt ein Angreifer sicher, dass seine bösartige DLL in alle entsprechenden Prozesse geladen wird, wodurch er die Kontrolle über diese Prozesse erlangt.
• Injektion in legitime Prozesse: Ein bekannter Fall dieser Technik ist die Verwendung der reflektierenden DLL-Injektion durch das Cobalt Strike-Tool, bei der die Nutzlast in einen legitimen Prozess injiziert wird, um die Erkennung durch Sicherheitssoftware zu umgehen.

Bei der Boot- oder Logon-Autostart-Ausführung (T1547) sorgt ein Angreifer zunächst dafür, dass die Malware beim Systemstart oder bei der Benutzeranmeldung automatisch ausgeführt wird. Dann nutzt der Angreifer Mechanismen wie Registrierungsschlüssel, Startordner, geplante Aufgaben oder Dienstregistrierungen, um die Persistenz zu gewährleisten oder erhöhte Rechte auf dem kompromittierten System zu erlangen. Diese Mechanismen wurden entwickelt, um legitime Softwarefunktionen und Systemverwaltungsaufgaben auf dem Betriebssystem zu erleichtern. Angreifer können diese Funktionen jedoch missbrauchen, um ihren bösartigen Code einzubetten und so dazu beizutragen, dass er sich in den normalen Systembetrieb einfügt. Das Verständnis und die Absicherung dieser kritischen Betriebssystemmechanismen ist für den Schutz vor unbefugter Persistenz und Privilegienerweiterung unerlässlich.

Nachfolgend ein Beispiel für einen Registrierungsschlüssel, der häufig zur Herstellung der Persistenz verwendet wird:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run ' - Dies ist die Windows-Registrierung, die dazu dient, Programme so zu konfigurieren, dass sie beim Start des Betriebssystems automatisch ausgeführt werden.

Ein Beispiel für einen Startordner, der zur Herstellung der Persistenz verwendet wird, ist

'%APPDATA%\Microsoft\Windows\Startmenü\Programme\Startup ' - Dieser Pfad führt zum Autostart-Ordner, in dem Verknüpfungen zu Programmen abgelegt werden, die automatisch gestartet werden sollen, wenn sich der Benutzer anmeldet.

Nachfolgend ein Beispiel dafür, wie die Erstellung von Diensten für die Persistenz genutzt werden kann:

'sc create Updater binPath= "C:\Windows\malicious[.]exe" start= auto ' - Der Befehl verwendet das Dienstprogramm, um einen Dienst namens "Updater" zu erstellen, der so konfiguriert ist, dass er beim Systemstart automatisch gestartet wird.

Ein weiteres Beispiel für den Aufbau von Persistenz und die Erlangung erweiterter Rechte ist der Windows-Taskplaner:

'schtasks /create /tn "Updater" /tr "C:\Windows\malicious[.]exe" /sc onlogon /ru SYSTEM ' - Der Befehl erstellt eine geplante Aufgabe mit dem Namen "Updater", die die ausführbare Datei malicious.exe jedes Mal, wenn sich ein Benutzer anmeldet, am angegebenen Speicherort ausführt, wobei die spezielle Aufgabe unter dem SYSTEM-Konto mit erhöhten Rechten ausgeführt wird.

Die MITRE-Technik Impair Defenses (T1562), die zur Taktik Defense Evasion (TA0005) gehört, wurde im Berichtszeitraum als eine der fünf am häufigsten von Angreifern eingesetzten Techniken erkannt. Diese Technik verändert Elemente der Umgebung eines Opfers, um Verteidigungsmechanismen zu behindern oder zu deaktivieren. Die Angreifer beeinträchtigen nicht nur präventive Schutzmechanismen wie Firewalls und Antivirensoftware, sondern stören auch die Erkennungsfunktionen, mit denen die Verteidiger Aktivitäten überprüfen und böswillige Verhaltensweisen identifizieren.

Wenn Bedrohungsakteure die Verteidigungsmaßnahmen eines Opfers erfolgreich beeinträchtigen, können sie unbemerkt angreifen. So können sie bösartige Binärdateien einschleusen, die für andere MITRE-Techniken wie Keylogger, Würmer, Trojaner und bösartige Web-Shells genutzt werden können. All dies kann dazu führen, dass Ransomware auf einem Computer ausgeführt wird.

Um Ihr System vor solchen Angriffen zu schützen, ist es wichtig, Schutzmaßnahmen gegen die MITRE-Technik T1562 zu ergreifen. Diese Technik wird oft zu Beginn eines Angriffs eingesetzt, weshalb es wichtig ist, sie so früh wie möglich zu erkennen und zu bekämpfen.

Nachfolgend finden Sie eine Liste von Befehlszeilen, die für die Überwachung nützlich sind:

• sc stop <ServiceName>
• sc config <ServiceName> start=disabled
• net stop <ServiceName>
• taskkill /IM <ToolName> /F
• netsh advfirewall set allprofiles state off
• bcdedit.exe /Löschwert {Standard} safeboot
• bcdedit /set {Standard} recoveryenabled no

Die Technik "Application Window Discovery" (T1010), die zur Taktik "Discovery" (TA0007) gehört, wurde von den Spezialisten von BlackBerry als eine der von Cyberbedrohungsakteuren in diesem Berichtszeitraum am häufigsten eingesetzten Techniken identifiziert. Bei dieser Technik werden geöffnete Windows-Anwendungen aufgelistet, wodurch die Bedrohungsakteure nützliche Einblicke in die Nutzungsmuster des Zielsystems erhalten. Diese Informationen können von unschätzbarem Wert sein, wenn es darum geht, bestimmte Daten zu identifizieren, die es wert sind, gesammelt zu werden, sowie die Sicherheitssoftware, die Angreifer umgehen müssen, um nicht entdeckt zu werden. Bedrohungsakteure nutzen diese Technik, um die Umgebung besser zu verstehen und ihren Angriff so aggressiv wie möglich zu planen, ohne entdeckt zu werden.

Um zunächst die Liste der offenen Windows-Anwendungen zu erhalten, nutzen Angreifer in der Regel integrierte Systemfunktionen aus. So können sie beispielsweise Befehle des Befehls- und Skriptinterpreters oder Funktionen der systemeigenen API verwenden, um die erforderlichen Informationen zu sammeln. Diese nativen Tools und Funktionen werden häufig verwendet, da sie weniger Verdacht erregen und umfassende Informationen über das System liefern können.

Da diese Verhaltensweisen verdächtig sind und einem Angreifer wichtige Informationen über das System des Opfers liefern können, ist es wichtig, eine Sicherheitssoftwarekonfiguration zu haben, die in der Lage ist, diese von Angreifern ausgeführten Befehle oder Aktionen zu erkennen.

Im Folgenden finden Sie eine Liste von Befehlszeilen, die für die Überwachung nützlich sein können:

• gps | where {$_.mainwindowtitle}
• Get-Process | Where-Object MainWindowTitle
• "cscript.exe", "rundll32.exe", "explorer.exe", "wscript.exe", "PowerShell.exe", "pwsh.dll", "winlogon.exe", "cmd.exe" sind die übergeordneten Prozesse, die diese APIs verwenden: "user32.dll!GetWindowTextA", "user32.dll!GetForegroundWindow", "user32.dll!GetActiveWindow", "user32.dll!GetWindowTextW"
• tasklist & tasklist /v

Im MITRE ATT&CK-Rahmenwerk wird Software Discovery (T1518) als eine Schlüsseltechnik unter der Discovery-Taktik (TA0007) aufgeführt. Diese Methode wird häufig von Angreifern verwendet, um Einblicke in die Softwareumgebung von Zielsystemen zu erhalten, was sie zu einem kritischen Schritt bei vielen Cyberangriffen macht. Software Discovery ermöglicht es Angreifern, Schwachstellen zu identifizieren, indem sie feststellen, welche Anwendungen und Versionen auf einem System installiert sind. Diese Informationen helfen den Angreifern, veraltete oder ungepatchte Software auszunutzen, Wege zur Deaktivierung oder Umgehung von Sicherheitsmaßnahmen zu planen und ihre Angriffe auf maximale Wirksamkeit zuzuschneiden.

Zu den gängigen Methoden zur Softwareerkennung gehören die Verwendung von Windows Management Instrumentation (WMI) mit Befehlen wie wmic "product" get name, version, vendor und PowerShell-Skripten wie Get-ItemProperty oder Get-WmiObject. Mit diesen Methoden können Angreifer detaillierte Softwareinformationen abrufen, die Windows-Registrierung abfragen und laufende Prozesse und zugehörige Anwendungen identifizieren. Die Auswirkungen einer erfolgreichen Software-Erkennung sind erheblich. Angreifer können erkannte Softwareschwachstellen ausnutzen, um ihre Rechte zu erweitern oder beliebigen Code auszuführen. Außerdem können sie Sicherheitsvorkehrungen deaktivieren oder umgehen und so die Wahrscheinlichkeit erhöhen, dass sie unentdeckt bleiben. Da sie die Softwareumgebung kennen, können Angreifer außerdem Malware einsetzen, die speziell auf entdeckte Anwendungen abzielt, und so die Wirksamkeit und Heimlichkeit ihrer Angriffe erhöhen.

Um sich gegen diese Technik zu schützen, sollten Unternehmen robuste Überwachungs- und Warnmechanismen implementieren. Die Überwachung der Verwendung von Befehlen und Skripten, die üblicherweise mit der Softwareerkennung verbunden sind, ist von entscheidender Bedeutung. Der Einsatz fortschrittlicher Systeme zur Erkennung von Bedrohungen, die Verhaltensanalysen verwenden, kann helfen, ungewöhnliche Aktivitäten zu erkennen. Weitere wichtige Schritte sind die Sicherstellung, dass die gesamte Software auf dem neuesten Stand und gepatcht ist, die Beschränkung der Verwendung von Verwaltungstools auf autorisiertes Personal und die Führung umfassender Protokolle der Befehlsausführung.