Net.Law.S 2018
20.02.18 - 21.02.18
In Nürnberg, Messezentrum

CESIS 2018
20.02.18 - 21.02.18
In München

SAMS 2018
26.02.18 - 27.02.18
In Berlin, Maritim proArte

Plentymarkets Online-Händler-Kongress
03.03.18 - 03.03.18
In Kassel

Search Marketing Expo 2018
20.03.18 - 21.03.18
In München, ICM – Internationales Congress Center

MalwarePalo Alto Networks beobachtet seit einiger Zeit eine Cyberangriffskampagne mit einem gewaltigen Zerstörungspotenzial: „Shamoon 2“ wurde in bisher drei Wellen zerstörerischer Angriffe auf Organisationen ausgeführt.

Palo Alto Networks stuft das Bedrohungspotenzial weltweit als sehr hoch ein, da die Akteure offensichtlich über fortgeschrittene Fähigkeiten und eine leistungsfähige Infrastruktur verfügen.

Die jüngste Untersuchung durch Palo Alto Networks bringen mehr Details zur Methode ans Licht, mit der die Akteure die Disttrack-Nutzlast auslieferten. So haben die Malware-Exprten festgestellt, dass eine Kombination aus legitimen Tools und Batch-Skripten zum Einsatz kommt, um die Disttrack-Nutzlast auf Host-Namen zu implementieren, von denen die Angreifer wissen, dass sie im Zielnetzwerk existieren.

Die Analyse zeigt, dass die Angreifer wahrscheinlich die Liste bekannter Host-Namen direkt aus dem Active Directory gezogen oder während ihrer Aufklärungsaktivitäten im Netzwerk aus einem kompromittierten Host zusammengestellt haben. Die Aufklärung erfolgte zusammen mit dem Diebstahl von Zugangsdaten, die benötigt werden, um die Disttrack-Nutzlast mit legitimen Benutzernamen und Passwort-Anmeldeinformationen zu kodieren. Dies führte die Forscher zu der Annahme, dass es sehr wahrscheinlich ist, dass die Angreifer vor den eigentlichen „Shamoon 2“-Angriffen bereits Zugang zu den ins Visier genommenen Netzwerken hatten. Die Forschungserkenntnisse bestätigen zudem, dass ein erfolgreicher Diebstahl von Zugangsdaten ein integraler Bestandteil der Angriffe war, um Fernzugriff und eine seitliche Bewegung im fremden Netzwerk zu ermöglichen.

Die Analyse zeigt auch, dass ein Akteur Disttrack innerhalb des Zielnetzes verteilt, indem er zunächst ein System kompromittiert, das dann als Disttrack-Verteilungsserver in diesem Netzwerk verwendet wird. Der Akteur verwendet dann diesen Server, um andere Systeme im Netzwerk zu kompromittieren, indem er den Host-Namen verwendet, um die Disttrack-Malware zu kopieren und auszuführen. Auf jedem dieser Systeme, die erfolgreich kompromittiert werden, wird die Disttrack-Malware versuchen, sich auf 256 zusätzliche IP-Adressen im lokalen Netzwerk weiterzuverbreiten. Dieses effektive Verteilungssystem ermöglicht es Disttrack, sich in einer halbautomatischen Weise auf viele Systeme weiterzuverbreiten.

Im Rahmen der Analyse hat Palo Alto Networks auch eine mögliche Verbindung zwischen der „Shamoon 2“- und der „Magic Hound“-Kampagne untersucht und Hinweise dafür gefunden. Auch wenn die Hintergründe einer bestimmten Beziehung zwischen den Angreifern noch nicht schlüssig erklärt werden können, gibt es mehrere Faktoren, die auf eine Form der Assoziation hindeuten, darunter:

  1. Die aktuelle Ausrichtung auf Unternehmen im arabischen Raum.
  2. Die Verwendung des gleichen Cloud-Computing-Dienstes im gleichen Klasse-C-IP-Bereich.
  3. Die Verwendung von PowerShell und Meterpreter.

Wenn die „Magic Hound“-Angriffe mit dem „Shamoon“-Angriffszyklus zusammenhängen sollten, dienten sie möglicherweise als Brückenkopf, um Aufklärungen für die Gegner durchzuführen sowie Netzwerk- und Zugangsinformationen zu sammeln. Diese These wird gestützt durch die anfänglichen „Magic Hound“-Nutzlasten Pupy RAT und Meterpreter, die beide diese Art von Fähigkeiten aufweisen.

Die Akteure hinter den „Shamoon 2“-Attacken verwenden ein kompromittiertes System als Verteilungspunkt, um den Disttrack-Trojaner auf andere Systeme im Zielnetzwerk zu verbreiten. So kann sich die Disttrack-Malware noch weiter im Netzwerk vorarbeiten. Kopiert wird die Nutzlast mit einem Open-Source-Dienstprogramm namens PAExec und mehreren Batch-Skripten. Während die Akteure direkt mit dem Verteilungssystem interagieren, ermöglicht die Verwendung eines einzigen kompromittierten Systems, den Einsatz der Nutzlast zu automatisieren, um Systeme auf dem Zielnetzwerk sehr schnell zu infizieren. Auch diese Erkenntnisse deuten auf eine Beziehung zwischen den „Shamoon“- und „Magic Hound“-Angriffskampagnen.

Palo Alto Networks wird die Kampagne weiter analysieren, um weitere Aktivitäten zu ermitteln, die auf das Konto dieser Akteure gehen. So sollen Verbindungen zu bekannten Gruppen aufgespürt werden.

www.paloaltonetworks.com
 

GRID LIST
Bill Evans

NATO-Vorstoß in Sachen offensiver Cyber-Kriegsführung

Die NATO soll gerade dabei sein, Leitlinien zur Cyber-Kriegsführung für die Militärs zu…
Tb W190 H80 Crop Int B5b0ff15e508b5ed0e077aec201a86db

Wie eine IT-Security-Architektur die Digitalisierung vereinfacht

Die aktuelle OWASP Top 10 Liste, die vor kurzem veröffentlicht wurde, klärt über…
WLAN Cyber Crime

Vorsichtsmaßnahmen nach WPA2-Sicherheitslücke

Avast warnt vor den Konsequenzen der WPA2-Sicherheitslücke KRACK. Unternehmen und…
Tb W190 H80 Crop Int Fdef4a5c2ffd2a8f9afde14b4aefbad1

Wer soll sich so viele Passwörter merken?

Kein Mbit fließt, ohne dass erneut eine Sicherheitslücke in den Schlagzeilen ist. Von…
Cloud Security

Learnings aus dem Cyberangriff bei Uber

Beim Fahrdienst-Vermittler Uber erlangten Cyberangreifer im Oktober 2016 Zugriff auf eine…
Tb W190 H80 Crop Int C2ba5ef936b84b748ce5064d774e909c

Die zentrale Rolle von Login-Daten im Uber-Hack

Der Vermittlungsdienst zur Personenbeförderung Uber erlitt 2016 einen Hack, in dem bis zu…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security