Chinesische Cyberkriminelle So arbeitet die Ransomware-Gruppe Ghost

Aktuell treibt die chinesische Ransomware-Bande Ghost ihr Unwesen. Sie ist bereits in mehr als 70 Ländern aktiv und nutzt bekannte Sicherheits­lücken aus, Wie genau Ghost arbeitet zeigt dieser detaillierten Bericht über die Taktiken, Techniken und Prozeduren (TTP) der Cyberkriminellen.

Zu den Opfern von Ghost gehören viele staatliche Einrichtungen und Organisationen, die kritische nationale Infrastrukturen bereitstellen. Weitere Ziele sind Unternehmen im Bildungs-, Gesundheits-, Technologie- und Fertigungssektor. Vor kurzem haben die US-Agentur für Cyber- und Infrastruktursicherheit (CISA), das FBI und das Multi-State Information Sharing and Analysis Center (MS-ISAC) ein gemeinsames Cybersecurity Advisory veröffentlicht. Es beschreibt die Techniken der Ransomware-Bande sowie geeignete Schutzmaßahmen für Unternehmen.

Beim Erstzugriff konzentriert sich die Ghost-Bande auf Schwachstellen (Technik T1190) in internetfähigen Geräten und verwendet öffentlich verfügbare Exploits. Für einige dieser Schwachstellen gibt es bereits seit weit über zehn Jahren Patches. Dies unterstreicht die Bedeutung des Patch-Managements, um die Angriffsfläche eines Unternehmens zu reduzieren.

Tatsächlich nutzen aktuell 34 Prozent der Ransomware-Angriffe Schwachstellen als ersten Zugangsvektor. Die Entdeckung und Ausnutzung dieser Schwachstellen lässt sich in hohem Maße automatisieren, so dass Ghost seit seinem Auftauchen im Jahr 2021 viele Unternehmen unterschiedlicher Branchen erfolgreich angreifen konnte.

Von Ghost verwendete Taktiken

Die Ransomware-Bande setzt folgende 11 Taktiken ein, die bislang entdeckt wurden.

1. Erster Zugriff (Taktik TA0001): Die von Ghost genutzten Schwachstellen ermöglichen den Zugriff auf viele verschiedene Arten von Systemen, darunter:

• Fortinet-Geräte mit FortiOS-Appliances: CVE-2018-13379

• Server, die das serverseitige Skripting von Adobe ColdFusion verwenden: CVE-2010-2861 und CVE-2009-3960

• Microsoft SharePoint-Server: CVE-2019-0604

• Microsoft Exchange-Server: CVE-2021-34473, CVE-2021-34523 und CVE-2021-31207

So gefährden LaZagne, BloodHound und Mimikatz das Active Directory

Diese Tools nutzen Hacker für AD-Angriffe

2. Ausführung (Taktik TA0002): Sobald Ghost in ein Opfernetzwerk eingedrungen ist, installiert es eine Web-Shell (Technik T1505.003). Anschließend werden Befehle ausgegeben (ATT&CK-Techniken T1059.003 und T1059.001), um einen Cobalt Strike Beacon herunterzuladen (Technik T1105).

3. Persistenz (Taktik TA0003): Bei einigen Angriffen erstellt Ghost neue lokale oder Domänenkonten (Techniken T1136.001 bzw. T1136.002) und ändert die Kennwörter für bereits bestehende Konten (Technik 1098). Es wurde auch beobachtet, dass sich die Angriffe seitlich (Taktik TA0008) zu Webservern in den Netzwerken der Opfer bewegen und Web-Shells einrichten (Technik T1505.003).

4. Erweiterung der Zugriffsrechte (Taktik TA0004): Ghost nutzt Open-Source-Tools für Penetrationstests, darunter BadPotato, GodPotato und SharpZeroLogon, um durch Eskalation erweiterte Rechte zu erlangen (Technik T1068). Andere Techniken setzen den Cobalt Strike Beacon ein, der beim ersten Zugriff installiert wird, um Prozess-Token zu erfassen, die unter dem SYSTEM Benutzerkontext laufen. Anschließend führen sie Beacon ein zweites Mal mit erhöhten SYSTEM-Rechten aus (Technik 1134.001).

5. Umgehung von Abwehrmaßnahmen (Taktik TA0005): Ghost verwendet den von ihm installierten Cobalt Strike Beacon, um Prozesse aufzulisten (Technik T1057) und alle auf dem Host laufenden Endpunkt-Sicherheitslösungen zu identifizieren (Technik T1518.01). Diese deaktiviert er dann mit Hilfe der erweiterten Rechte (Technik T1562.001).

6. Zugriff auf Anmeldeinformationen (Taktik TA0006): Entweder setzt Ghost die Hashdump-Funktion von Cobalt Strike Beacon ein oder installiert Mimikatz, um Passwörter und Passwort-Hashes zu erfassen. Diese werden anschließend verwendet, um sich Zugang zu weiteren Konten zu verschaffen, sich bei Systemen anzumelden, Privilegien zu erweitern oder weitere Geräte der Opfer anzugreifen (Technik T1003).

7. Erkundung (Taktik TA0007): Die angegriffenen Systeme durchsucht Ghost mit Cobalt Strike Beacon zum Aufdecken von Domänenkonten (Technik T1562.001), mit Open-Source-Tools für Penetrationstests wie SharpShares zur Entdeckung von Netzwerkfreigaben (Technik T1135) oder mit Ladon 911 und SharpNBTScan zur Erkennung anderer Systeme im Netzwerk (Technik T1018).

Tool umgeht EDR- und AV-Erkennung

Wenn Pentest-Tools zur Waffe werden

8. Seitliche Bewegung (Taktik TA0008): Die zuvor erweiterten Rechte und die Windows Management Instrumentation Command-Line (WMIC) (Technik 1047) dienen zur Ausführung von base64-kodierten PowerShell-Befehlen auf weiteren Systemen im Opfernetzwerk. Damit sollen in der Regel weitere Instanzen von Cobalt Strike Beacon installiert werden.

9. Exfiltration (Taktik TA0010): Im Gegensatz zu anderen Ransomware-Gangs stiehlt Ghost keine größeren Datenmengen, sondern meist weniger als Hunderte Gigabyte. Dennoch droht die Bande mit der Veröffentlichung von Daten zu Erpressungszwecken. Zu den Exfiltrationsmethoden gehören das Herunterladen auf Cobalt Strike Team Server (Technik T1041) oder den Filesharing-Dienst Mega.nz (Technik 1567.002).

10. Command and Control (Taktik TA0011): Die Ghost-Bande setzt in hohem Maße auf die integrierten Kommunikationsmöglichkeiten zwischen Cobalt Strike Beacons, die im Netzwerk des Opfers installiert sind, und den eigenen Cobalt Strike Team Servern. Dabei kommuniziert Ghost über HTTP und HTTPS (Technik T1071.001) mit einer von der Bande kontrollierten IP-Adresse, anstatt registrierte Domänen zu verwenden. Für die E-Mail-Kommunikation mit Erpressungsopfern (Technik 1573) nutzt Ghost Anbieter, die Verschlüsselung unterstützen, darunter Mailfence, Onionmail, ProtonMail, Skiff und Tutanota.

11. Auswirkungen (Taktik TA0040): Ghost installiert eine von vier Ransomware-Nutzlasten (CRING.EXE, GHOST.EXE, ELYSIUM.EXE und LOCKER.EXE) und führt sie aus, um bestimmte Verzeichnisse oder ganze Datenträger zu verschlüsseln (Technik 1486). Sie löschen die Windows-Ereignisprotokolle (Technik 1070.001), deaktivieren den Volume Shadow Copy Service und entfernen dann alle Schattenkopien, damit die Wiederherstellung der Systeme verhindert wird (Technik 1490). Ghost erpresst seine Opfer mit der Drohung, die Entschlüsselungsschlüssel zu löschen und die exfiltrierten Daten zu veröffentlichen (Technik 1486).

Wichtige Schutzmaßnahmen

Zum Schutz vor diesen Angriffen sollten Unternehmen vor allem die folgenden Maßnahmen ergreifen:

• 1. Regelmäßig System-Backups durchführen: Hierfür stehen Software- und Service-Lösungen bereit, welche die Sicherung weitgehend automatisch ausführen und die Kopien auf sichere Weise speichern, etwa durch unveränderliche Backups.

• 2. Ungewöhnliche Aktivitäten aufdecken: Unternehmen, die Verhaltensanomalien erkennen und darauf reagieren, haben bereits erfolgreich Ghost-Angriffe verhindert. Denn diese hinterlassen auf den Rechnern der Opfer meist Indicators of Compromise (IOCs), die geeignete Lösungen entdecken, ohne sich von Ghost umgehen zu lassen.

• 3. Bekannte Schwachstellen schnell patchen: Bestehende Patches sollten zügig auf Betriebssysteme, Software und Firmware aufgespielt werden. Vulnerability Scanner können im ersten Schritt Sicherheitslücken aufdecken, um deren Management zu beschleunigen.

• 4. Zugriffsrechte begrenzen und MFA nutzen: Ghost-Akteure nutzen viele Befehle, Skripte und Programme, für deren Ausführung IT-Administratoren keinen legitimen Grund haben. So sind Zugriffsrechte auf das Mindestmaß zu reduzieren und Phishing-resistente Multifaktor-Authentifizierung (MFA) für alle Konten durchzusetzen.

• 5. Netzwerke segmentieren: Erfolgreiche Angriffe lassen nicht vollständig verhindern. Daher sollte Netzwerksegmentierung deren seitliche Bewegung einschränken.

Mit Hilfe dieser fünf grundlegenden Maßnahmen können sich Unternehmen gut vor Ransomware wie Ghost schützen.

Über den Autor: James Blake ist Global Head of Cyber Resiliency Strategy bei Cohesity.

(ID:50369724)