Thought Leadership
Ein von Huntress untersuchter Vorfall zeigt, wie gründlich sich ein Angreifer nach dem ersten Zugriff in einem fremden System einnisten kann.
Statt sofort Daten zu stehlen oder Ransomware auszurollen, richtete sich der Angreifer über Stunden hinweg systematisch in der Umgebung ein. Ausgangspunkt des am 26. Juni entdeckten Vorfalls bei einem Unternehmen aus der Technologiebranche war eine Warnmeldung rund um einen Microsoft-SQL-Server-Prozess. Bei der Untersuchung stellte sich heraus, dass der Angreifer die Datenbank gar nicht direkt angegriffen hatte. Stattdessen fand er auf demselben Server eine Webseite, die Nutzereingaben nicht ausreichend prüfte, eine klassische SQL-Injection-Schwachstelle. Über diese Lücke verschaffte sich der Angreifer Zugriff auf den zugrunde liegenden Windows-Rechner, auf dem auch der IIS-Webserver lief.
Über diesen Zugang lud der Angreifer zunächst Base64-kodierte PowerShell-Befehle nach, um weitere Skripte von einem extern gehosteten Cloudflare-R2-Speicher herunterzuladen, darunter eine Datei mit dem auffälligen Namen qdcjoke1.2.ps1. Anschließend führte er mit dem Befehl tasklist /svc eine klassische Aufklärung der auf dem System laufenden Dienste durch und schickte das Ergebnis per PowerShell an eine von ihm kontrollierte Adresse, vermutlich zur späteren Auswertung oder zur Weiterverarbeitung durch automatisierte Werkzeuge.
Ein neues Administratorkonto und deaktivierter Virenschutz
Anschließend baute sich der Angreifer gezielt dauerhaften Zugriff auf. Er aktivierte den bis dahin nicht eingeschalteten Remotedesktopdienst, legte ein neues Benutzerkonto mit dem Namen adminweb2$ an und fügte es der lokalen Administratorengruppe hinzu. Über dieses Konto meldete er sich anschließend per Remotedesktop am System an, ein Zugang, der auch einen Neustart oder eine oberflächliche Bereinigung überstehen würde. Zusätzlich deaktivierte der Angreifer den in Windows integrierten Virenschutz Defender. Bemerkenswert dabei: Andere auf dem System vorhandene Sicherheitswerkzeuge wie eine EDR-Lösung ließ er unangetastet, ein Hinweis darauf, dass er entweder von deren Vorhandensein nichts wusste oder keine Möglichkeit fand, sie zu deaktivieren.
Der Webserver wird zur Waffe gegen fremde Websites
Über das Kommandozeilenwerkzeug appcmd.exe installierte der Angreifer anschließend zwei bekannte Erweiterungen für den IIS-Webserver, HttpFastCgiModule.dll und HttpCgiModule.dll. Diese gehören zur Schadsoftware-Familie BadIIS, die nach Recherchen der Sicherheitsforscher von Cisco Talos bereits seit anderthalb Jahren in verschiedenen Kampagnen zur groß angelegten Suchmaschinen-Manipulation eingesetzt wird. Über Funktionen wie Traffic-Umleitung, versteckte Linkinjektion oder einen Reverse-Proxy-Mechanismus verwandelt BadIIS einen kompromittierten Webserver in ein Werkzeug, mit dem Suchergebnisse und Werbe-Traffic fremder Websites manipuliert werden können, ohne dass der eigentliche Betreiber der Seite davon erfährt.
Kryptowährungs-Miner mit mehrfacher Tarnung
Als Nächstes lud der Angreifer den bekannten Kryptowährungs-Miner XMRig in Form der Datei xmr-1.zip auf das System. Um die zugehörigen Dateien zu verbergen, setzte er mit dem Windows-Befehl attrib.exe die Attribute System, Versteckt und Schreibgeschützt für zwei Dateien namens edge.exe und Taskgmr.ps1, die er im Verzeichnis des Microsoft-Edge-Updaters ablegte, einem Ort, an dem sie bei einer oberflächlichen Prüfung kaum auffallen würden. Für die dauerhafte Ausführung richtete der Angreifer mit dem frei verfügbaren Werkzeug nssm.exe einen eigenen Windows-Dienst für den Miner ein, der auch einen Neustart übersteht. Zusätzlich installierte er das Werkzeug CnCrypt Protect, das der weiteren Tarnung vor Sicherheitssoftware dienen sollte.
Auffällig viele Veränderungen an einem einzigen System
Durchgehend nutzte der Angreifer zudem PowerShell-Befehle, die bewusst ohne sichtbares Fenster, ohne Sicherheitsabfragen und unter Umgehung der Ausführungsrichtlinien für Skripte liefen, etwa um Batch-Dateien wie qd_tjoke.bat unbemerkt zu starten. Einzelne dieser Techniken sind für sich genommen nichts Ungewöhnliches, betont Huntress. Auffällig war in diesem Fall jedoch die schiere Zahl unterschiedlicher Veränderungen, die der Angreifer an einem einzigen System vornahm, von der Kontoerstellung über die Deaktivierung des Virenschutzes bis zur Installation dreier verschiedener Schadprogramme.
Warum das Schließen der Einstiegslücke entscheidend bleibt
Nach Einschätzung von Huntress zeigt der Fall vor allem eines: Das Entfernen der offensichtlichen Schadsoftware allein reicht nicht aus, wenn die eigentliche Ursache des Einbruchs unentdeckt bleibt. Hätte ein Sicherheitsteam in diesem Fall lediglich das neue Konto und die installierten Programme entfernt, ohne die zugrunde liegende SQL-Injection-Schwachstelle in der Webanwendung zu schließen, hätte sich der Angreifer jederzeit erneut über denselben offenen Weg Zugang verschaffen können, möglicherweise mit veränderten und schwerer zu erkennenden Methoden.
Huntress empfiehlt Unternehmen deshalb, zunächst ein vollständiges und aktuelles Inventar aller physischen und virtuellen Systeme sowie eingesetzter Anwendungen samt Versionsständen zu führen. Darauf aufbauend rät das Unternehmen dazu, die Angriffsfläche gezielt zu verkleinern, nicht benötigte oder nicht autorisierte Anwendungen zu entfernen, Zugriffe konsequent auf autorisierte Nutzer zu beschränken und dabei durchgängig auf Multi-Faktor-Authentifizierung zu setzen, alle aktiven Anwendungen regelmäßig zu patchen und in ein durchgängiges Monitoring einzubeziehen sowie bei jedem entdeckten Vorfall konsequent die eigentliche Ursache zu ermitteln, statt sich auf die Beseitigung der sichtbaren Schadsoftware zu beschränken.
(Huntress/red)
