Anzeige

Anzeige

VERANSTALTUNGEN

DWX-Developer Week
24.06.19 - 27.06.19
In Nürnberg

4. Cyber Conference Week
01.07.19 - 05.07.19
In Online

IT kessel.19 – Der IT Fachkongress
04.07.19 - 04.07.19
In Messe Sindelfingen

ACMP Competence Days Berlin
11.09.19 - 11.09.19
In Stiftung Deutsches Technikmuseum Berlin, Berlin

MCC CyberRisks - for Critical Infrastructures
12.09.19 - 13.09.19
In Hotel Maritim, Bonn

Anzeige

Anzeige

MalwarePalo Alto Networks beobachtet seit einiger Zeit eine Cyberangriffskampagne mit einem gewaltigen Zerstörungspotenzial: „Shamoon 2“ wurde in bisher drei Wellen zerstörerischer Angriffe auf Organisationen ausgeführt.

Palo Alto Networks stuft das Bedrohungspotenzial weltweit als sehr hoch ein, da die Akteure offensichtlich über fortgeschrittene Fähigkeiten und eine leistungsfähige Infrastruktur verfügen.

Die jüngste Untersuchung durch Palo Alto Networks bringen mehr Details zur Methode ans Licht, mit der die Akteure die Disttrack-Nutzlast auslieferten. So haben die Malware-Exprten festgestellt, dass eine Kombination aus legitimen Tools und Batch-Skripten zum Einsatz kommt, um die Disttrack-Nutzlast auf Host-Namen zu implementieren, von denen die Angreifer wissen, dass sie im Zielnetzwerk existieren.

Die Analyse zeigt, dass die Angreifer wahrscheinlich die Liste bekannter Host-Namen direkt aus dem Active Directory gezogen oder während ihrer Aufklärungsaktivitäten im Netzwerk aus einem kompromittierten Host zusammengestellt haben. Die Aufklärung erfolgte zusammen mit dem Diebstahl von Zugangsdaten, die benötigt werden, um die Disttrack-Nutzlast mit legitimen Benutzernamen und Passwort-Anmeldeinformationen zu kodieren. Dies führte die Forscher zu der Annahme, dass es sehr wahrscheinlich ist, dass die Angreifer vor den eigentlichen „Shamoon 2“-Angriffen bereits Zugang zu den ins Visier genommenen Netzwerken hatten. Die Forschungserkenntnisse bestätigen zudem, dass ein erfolgreicher Diebstahl von Zugangsdaten ein integraler Bestandteil der Angriffe war, um Fernzugriff und eine seitliche Bewegung im fremden Netzwerk zu ermöglichen.

Die Analyse zeigt auch, dass ein Akteur Disttrack innerhalb des Zielnetzes verteilt, indem er zunächst ein System kompromittiert, das dann als Disttrack-Verteilungsserver in diesem Netzwerk verwendet wird. Der Akteur verwendet dann diesen Server, um andere Systeme im Netzwerk zu kompromittieren, indem er den Host-Namen verwendet, um die Disttrack-Malware zu kopieren und auszuführen. Auf jedem dieser Systeme, die erfolgreich kompromittiert werden, wird die Disttrack-Malware versuchen, sich auf 256 zusätzliche IP-Adressen im lokalen Netzwerk weiterzuverbreiten. Dieses effektive Verteilungssystem ermöglicht es Disttrack, sich in einer halbautomatischen Weise auf viele Systeme weiterzuverbreiten.

Im Rahmen der Analyse hat Palo Alto Networks auch eine mögliche Verbindung zwischen der „Shamoon 2“- und der „Magic Hound“-Kampagne untersucht und Hinweise dafür gefunden. Auch wenn die Hintergründe einer bestimmten Beziehung zwischen den Angreifern noch nicht schlüssig erklärt werden können, gibt es mehrere Faktoren, die auf eine Form der Assoziation hindeuten, darunter:

  1. Die aktuelle Ausrichtung auf Unternehmen im arabischen Raum.
  2. Die Verwendung des gleichen Cloud-Computing-Dienstes im gleichen Klasse-C-IP-Bereich.
  3. Die Verwendung von PowerShell und Meterpreter.

Wenn die „Magic Hound“-Angriffe mit dem „Shamoon“-Angriffszyklus zusammenhängen sollten, dienten sie möglicherweise als Brückenkopf, um Aufklärungen für die Gegner durchzuführen sowie Netzwerk- und Zugangsinformationen zu sammeln. Diese These wird gestützt durch die anfänglichen „Magic Hound“-Nutzlasten Pupy RAT und Meterpreter, die beide diese Art von Fähigkeiten aufweisen.

Die Akteure hinter den „Shamoon 2“-Attacken verwenden ein kompromittiertes System als Verteilungspunkt, um den Disttrack-Trojaner auf andere Systeme im Zielnetzwerk zu verbreiten. So kann sich die Disttrack-Malware noch weiter im Netzwerk vorarbeiten. Kopiert wird die Nutzlast mit einem Open-Source-Dienstprogramm namens PAExec und mehreren Batch-Skripten. Während die Akteure direkt mit dem Verteilungssystem interagieren, ermöglicht die Verwendung eines einzigen kompromittierten Systems, den Einsatz der Nutzlast zu automatisieren, um Systeme auf dem Zielnetzwerk sehr schnell zu infizieren. Auch diese Erkenntnisse deuten auf eine Beziehung zwischen den „Shamoon“- und „Magic Hound“-Angriffskampagnen.

Palo Alto Networks wird die Kampagne weiter analysieren, um weitere Aktivitäten zu ermitteln, die auf das Konto dieser Akteure gehen. So sollen Verbindungen zu bekannten Gruppen aufgespürt werden.

www.paloaltonetworks.com
 

GRID LIST
Bäume auf Münzstapeln

Nachhaltige Cyber Resilience für IKT-Anbieter

Unternehmen aus dem IT- und Telekommunikationssektor sind die Top-Angriffsziele für…
Adware

Social-Media-Suchmaschine spioniert Internetnutzer aus

Wajam wurde 2008 ursprünglich als Suchmaschine für soziale Netzwerke wie Facebook oder…
Baltimore road sign

Baltimore ist „Smart City ready“ – wirklich?

Der aktuelle Hackerangriff auf die Stadtverwaltung Baltimore schlägt hohe Wellen. Wieder…
Backdoor

Lautlos durch die Hintertür

Computer gehören zum Unternehmensalltag dazu. Das gilt für alle Branchen. Doch in dieser…
Tb W190 H80 Crop Int 90e25f6371557cf2c6640a3a91f3d38a

Spam-Trend: Jobsuchende im Visier von Cyberkriminellen

Im ersten Quartal 2019 griffen Cyberkriminelle Jobsuchende mittels ausgefeilter…
Hacker Bitcoin

Gefälschte Apps für Kryptowährungen in Google Play

Die Kryptowährung Bitcoin hat derzeit ihren höchsten Stand seit September 2018 erreicht.…