Thought Leadership
Sicherheitsforscher von BlueVoyant haben eine neue Verbreitungsmethode der FireClient-Backdoor entdeckt.
Die Schadsoftware wird inzwischen über MSI-Pakete und manipulierte DLLs ausgeliefert und nutzt dabei bekannte Anwendungen wie Kodi, VMware Tools und den Nagios Cross-Platform Agent zur Tarnung.
Angriff beginnt über Microsoft Teams
Ausgangspunkt der untersuchten Kampagnen sind Social-Engineering-Angriffe über Microsoft Teams. Die Angreifer geben sich dabei offenbar als IT-Support aus und versuchen, Nutzer zur Freigabe eines Fernzugriffs zu bewegen. Zum Einsatz kommen unter anderem legitime Werkzeuge wie Microsoft Quick Assist.
Nach erfolgreichem Zugriff geht der Angriff über die ursprüngliche Fernwartung hinaus. Die Täter versuchen, sich dauerhaft im System festzusetzen, Zugangsdaten zu erlangen und Informationen über die Netzwerkumgebung zu sammeln. Anschließend können weitere Systeme ins Visier genommen und Berechtigungen ausgeweitet werden.
MSI-Paket ersetzt frühere Installationsmethode
BlueVoyant zufolge hat sich vor allem die Auslieferung von FireClient verändert. Während eine zuvor beobachtete Variante Firefox-Profile für die Installation missbrauchte, basiert die aktuelle Methode auf einem Windows-Installer-Paket.
Das MSI-Paket enthält eine portable Version von Kodi. Wird die darin enthaltene kodi.exe gestartet, lädt sie über DLL-Sideloading eine manipulierte zlib.dll. Die Bibliothek behält die erwarteten Exporte der legitimen DLL bei, leitet die Ausführung aber gleichzeitig an den in ihr enthaltenen FireClient-Loader weiter.
Damit nutzt die Malware eine legitime Anwendung als Bestandteil der Infektionskette. Für Sicherheitslösungen kann dies schwieriger zu unterscheiden sein als die Ausführung einer eindeutig als Schadsoftware erkennbaren Datei.
AWS-Infrastruktur erschwert Erkennung
Nach dem Start sammelt der Loader Informationen über das betroffene System. Dazu gehören unter anderem Gerätename, laufende Prozesse, Netzwerkkonfiguration und Angaben zum Benutzer. Anschließend nimmt er Verbindung zu einem fest hinterlegten Command-and-Control-Server auf.
In den von BlueVoyant untersuchten Fällen wurde die C2-Infrastruktur über AWS API Gateway betrieben. Die Kommunikation erfolgt damit über eine Infrastruktur, die auch für legitime Anwendungen verwendet wird. Da ausgehende HTTPS-Verbindungen zu AWS-Diensten in vielen Unternehmen grundsätzlich erlaubt sind, lässt sich der Datenverkehr nicht ohne Weiteres anhand der Zielinfrastruktur blockieren.
Erhält der Loader einen entsprechenden Befehl, öffnet er auf dem lokalen System einen Listener über einen zufällig gewählten Port und lädt die zweite Stufe der Backdoor. Diese wurde in den untersuchten Fällen unter dem Namen „Module Agent.exe“ in einem für Kodi typischen Verzeichnis abgelegt.
Malware passt sich an die Umgebung an
Die Anpassung der Angreifer beschränkt sich nicht auf das ursprünglich kompromittierte System. In einem von BlueVoyant beobachteten Fall untersuchten sie das Netzwerk mithilfe von LDAP-Abfragen, um weitere Systeme und potenzielle Ziele zu identifizieren.
Nachdem gültige Zugangsdaten erlangt worden waren, nutzten die Täter RDP, um von ihrem Ausgangssystem aus auf wichtige Server zuzugreifen. Auffällig war dabei, dass sie nicht auf allen Systemen identisch vorgingen.
Auf einem Server wurde FireClient über eine manipulierte hgfs.dll im Verzeichnis von VMware Tools ausgeführt. Beim Start von vmtoolsd.exe wurde die gefälschte Bibliothek geladen und damit der Schadcode aktiviert.
Ein weiteres System nutzte den Nagios Cross-Platform Agent. Dort platzierten die Angreifer eine manipulierte vcruntime140_1.dll im entsprechenden Programmverzeichnis. Auch hier sorgte das Starten einer legitimen Anwendung dafür, dass die schädliche Bibliothek per DLL-Sideloading geladen wurde.
Exfiltration über AWS
Für die spätere Datenausleitung kam ein weiteres Werkzeug mit dem Namen „multiplefolders.exe“ zum Einsatz. Die als PyInstaller-Datei vorliegende Anwendung durchsucht die Festplatte rekursiv nach Dateien und überträgt die gefundenen Daten an eine in der Anwendung hinterlegte AWS-Adresse.
Die Vorgehensweise zeigt, dass die Angreifer verschiedene Bestandteile der Unternehmensumgebung für ihre Zwecke kombinieren. Statt eine auffällige Schadsoftware direkt auszuführen, wird die eigentliche Funktionalität über bekannte Anwendungen und deren Ladeprozesse aktiviert.
Verhalten wichtiger als einzelne Malware-Datei
Nach Einschätzung von BlueVoyant liegt die wesentliche Veränderung bei FireClient derzeit weniger in den Funktionen der Backdoor als in deren Verbreitung und Ausführung. Die Kombination aus Social Engineering, legitimen Anwendungen, DLL-Sideloading und cloudbasierter C2-Infrastruktur kann klassische, auf einzelne Dateien oder statische Indikatoren ausgerichtete Erkennung erschweren.
Für die Abwehr spricht dies für einen stärker verhaltensorientierten Ansatz. Verdächtige Prozessketten, ungewöhnliche DLL-Ladevorgänge, unerwartete Aktivitäten legitimer Anwendungen und auffällige Bewegungen innerhalb des Netzwerks können wichtige Hinweise auf eine Kompromittierung liefern.
BlueVoyant verweist in diesem Zusammenhang unter anderem auf Erkennungsregeln für verdächtige Kodi-Aktivitäten außerhalb üblicher Programmverzeichnisse. Auch Microsoft-Teams-Kommunikation mit externen Nutzern kann auf verdächtige Aktivitäten untersucht werden, insbesondere wenn sich Angreifer als interner IT-Support ausgeben.
(red/BlueVoyant)
