SAMS 2018
26.02.18 - 27.02.18
In Berlin, Maritim proArte

EuroCIS 2018
27.02.18 - 01.03.18
In Düsseldorf, Messe Halle 9 und 10

BIG DATA Marketing Day
27.02.18 - 27.02.18
In Wien

AUTOMATE IT 2018
01.03.18 - 01.03.18
In Hamburg, Schwanenwik 38

DIGITAL FUTUREcongress
01.03.18 - 01.03.18
In Frankfurt, Messe

MalwarePalo Alto Networks beobachtet seit einiger Zeit eine Cyberangriffskampagne mit einem gewaltigen Zerstörungspotenzial: „Shamoon 2“ wurde in bisher drei Wellen zerstörerischer Angriffe auf Organisationen ausgeführt.

Palo Alto Networks stuft das Bedrohungspotenzial weltweit als sehr hoch ein, da die Akteure offensichtlich über fortgeschrittene Fähigkeiten und eine leistungsfähige Infrastruktur verfügen.

Die jüngste Untersuchung durch Palo Alto Networks bringen mehr Details zur Methode ans Licht, mit der die Akteure die Disttrack-Nutzlast auslieferten. So haben die Malware-Exprten festgestellt, dass eine Kombination aus legitimen Tools und Batch-Skripten zum Einsatz kommt, um die Disttrack-Nutzlast auf Host-Namen zu implementieren, von denen die Angreifer wissen, dass sie im Zielnetzwerk existieren.

Die Analyse zeigt, dass die Angreifer wahrscheinlich die Liste bekannter Host-Namen direkt aus dem Active Directory gezogen oder während ihrer Aufklärungsaktivitäten im Netzwerk aus einem kompromittierten Host zusammengestellt haben. Die Aufklärung erfolgte zusammen mit dem Diebstahl von Zugangsdaten, die benötigt werden, um die Disttrack-Nutzlast mit legitimen Benutzernamen und Passwort-Anmeldeinformationen zu kodieren. Dies führte die Forscher zu der Annahme, dass es sehr wahrscheinlich ist, dass die Angreifer vor den eigentlichen „Shamoon 2“-Angriffen bereits Zugang zu den ins Visier genommenen Netzwerken hatten. Die Forschungserkenntnisse bestätigen zudem, dass ein erfolgreicher Diebstahl von Zugangsdaten ein integraler Bestandteil der Angriffe war, um Fernzugriff und eine seitliche Bewegung im fremden Netzwerk zu ermöglichen.

Die Analyse zeigt auch, dass ein Akteur Disttrack innerhalb des Zielnetzes verteilt, indem er zunächst ein System kompromittiert, das dann als Disttrack-Verteilungsserver in diesem Netzwerk verwendet wird. Der Akteur verwendet dann diesen Server, um andere Systeme im Netzwerk zu kompromittieren, indem er den Host-Namen verwendet, um die Disttrack-Malware zu kopieren und auszuführen. Auf jedem dieser Systeme, die erfolgreich kompromittiert werden, wird die Disttrack-Malware versuchen, sich auf 256 zusätzliche IP-Adressen im lokalen Netzwerk weiterzuverbreiten. Dieses effektive Verteilungssystem ermöglicht es Disttrack, sich in einer halbautomatischen Weise auf viele Systeme weiterzuverbreiten.

Im Rahmen der Analyse hat Palo Alto Networks auch eine mögliche Verbindung zwischen der „Shamoon 2“- und der „Magic Hound“-Kampagne untersucht und Hinweise dafür gefunden. Auch wenn die Hintergründe einer bestimmten Beziehung zwischen den Angreifern noch nicht schlüssig erklärt werden können, gibt es mehrere Faktoren, die auf eine Form der Assoziation hindeuten, darunter:

  1. Die aktuelle Ausrichtung auf Unternehmen im arabischen Raum.
  2. Die Verwendung des gleichen Cloud-Computing-Dienstes im gleichen Klasse-C-IP-Bereich.
  3. Die Verwendung von PowerShell und Meterpreter.

Wenn die „Magic Hound“-Angriffe mit dem „Shamoon“-Angriffszyklus zusammenhängen sollten, dienten sie möglicherweise als Brückenkopf, um Aufklärungen für die Gegner durchzuführen sowie Netzwerk- und Zugangsinformationen zu sammeln. Diese These wird gestützt durch die anfänglichen „Magic Hound“-Nutzlasten Pupy RAT und Meterpreter, die beide diese Art von Fähigkeiten aufweisen.

Die Akteure hinter den „Shamoon 2“-Attacken verwenden ein kompromittiertes System als Verteilungspunkt, um den Disttrack-Trojaner auf andere Systeme im Zielnetzwerk zu verbreiten. So kann sich die Disttrack-Malware noch weiter im Netzwerk vorarbeiten. Kopiert wird die Nutzlast mit einem Open-Source-Dienstprogramm namens PAExec und mehreren Batch-Skripten. Während die Akteure direkt mit dem Verteilungssystem interagieren, ermöglicht die Verwendung eines einzigen kompromittierten Systems, den Einsatz der Nutzlast zu automatisieren, um Systeme auf dem Zielnetzwerk sehr schnell zu infizieren. Auch diese Erkenntnisse deuten auf eine Beziehung zwischen den „Shamoon“- und „Magic Hound“-Angriffskampagnen.

Palo Alto Networks wird die Kampagne weiter analysieren, um weitere Aktivitäten zu ermitteln, die auf das Konto dieser Akteure gehen. So sollen Verbindungen zu bekannten Gruppen aufgespürt werden.

www.paloaltonetworks.com
 

GRID LIST
Tb W190 H80 Crop Int 06f6eb4c29171a4441de1ba66103d83b

Cryptomining-Kampagne mit Jenkins Server entdeckt

Check Point Software Technologies Ltd. (NASDAQ: CHKP), entdeckt riesige…
Cyber Attack

Wenn Angreifer Admin-Tools für Cyberattacken missbrauchen

Eine der schwierigsten Aufgaben bei der Suche nach versteckten Angreifern im Netzwerk…
Tb W190 H80 Crop Int 7c77460484978a4728239d15bea143e1

Malware über Zero-Day-Schwachstelle in Telegram

Die Sicherheitsexperten von Kaspersky Lab haben Angriffe aufgedeckt, die mittels einer…
Tb W190 H80 Crop Int 18b7ca49e8f858989fae8325fe356d18

PZChao: Spionage-Infrastruktur mit Cryptominer

Der Malware-Werkzeugkasten „PZChao“, verfügt über eine umfassende Infrastruktur zur…
Tb W190 H80 Crop Int 33e73b25261b4f94d72c7793df32609a

Mining-Trojaner auf Windows zum Schürfen von Kryptowährungen entdeckt

Die Schadcode-Analysten von Doctor Web entdeckten im Januar mehrere Mining-Trojaner, die…
Dr. Christoph Brennan

Hacker nutzen CISCO ASA Schwachstelle für Angriffe

Wo eine Schwachstelle ist, ist auch ein Angriff. Ein Kommentar von Dr. Christoph Brennan,…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security