Gezielte Angriffe und funktionaler Malware-Code Ein Blick auf die DownEx-Malware-Kampagne

Anbieter zum Thema

Bitdefender GmbH

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Hacker optimieren ihre Angriffe heute ständig weiter. Ein Blick auf die von ihnen entwickelten Konzepte ist nötig, weil auch Unternehmen und Anbieter kritischer Infrastrukturen potenzielle Opfer von komplexen Attacken sind, wenn diese erst einmal Serienreife erlangen. Die DownEx-Malware-Kampagne ist ein Beispiel, wie anspruchsvoll Hacker ihre Malware-Tools entwickeln und gezielte Angriffe durchführen.

Die Bitdefender Labs entdeckten DownEx Ende 2022. Ziel des Angriffes waren ausländische Regierungseinrichtungen in Kasachstan, von denen die Hacker Informationen erbeuten wollten. Schon die am Anfang stehende Spear-Phishing-Kampagne zeigte, wie zielgruppengerecht die Angreifer vorgingen. Sie gaben sich als real existierende Diplomaten aus. Die Kenntnis der möglichen Empfängeropfer deutet auf eine mit staatlicher Hilfe agierende Gruppe hin. Einem bestimmten Akteur ließen sich die Attacken jedoch nicht zuordnen. Ein Hinweis auf den Ursprung der Täter ist die gerade in russischsprachigen Ländern verbreitete gekrackte zweisprachige Version von Microsoft Office 2016 „SPecialisST RePack" oder „Russian RePack by SPecialiST". Auch die Tatsache, dass die Cyberkriminellen eine Backdoor in zwei Sprachen verfassten, deutet in dieselbe geographische Richtung: Eine solche Praxis ist bekannt von der aus Russland agierenden Gruppe APT28 und ihrer Backdoor Zebrocy. Zuschreibbar bewiesen ist dieser Hinweis allerdings nicht.

Social Engineering für die gezielte Suche nach Adressaten

Die von den Hackern geleisteten Social-Engineering-Vorarbeiten bleiben im Unklaren. Klar ist nur, dass auch 2023 am Anfang der komplexen Attacke häufig immer noch ein Phishing steht. Während die Täter den Adressatenkreis wahrscheinlich dank ihrer Kontakte recherchiert hatten und den für sie relevanten Content lieferten, bildete den Auftakt der komplexen Attacke – wie so häufig – eine ganz einfache E-Mail. Die Verfasser der Spear-Phishing-E-Mail nutzten eine relativ einfache Tarnung einer ausführbaren Datei mit einer Icon- und einer .docx-Dateien. Einzige Tarnung: Die angehängte Datei "! to <redacted> embassy kazakh 2022.exe wies keine doppelte Dateierweiterung auf. Eine solche Endung erkennen Cybersysteme üblicherweise als verdächtige Praxis.

Die ausführbare Datei extrahiert zwei Daten: Ein Word-Dokument ist unauffällig und scheint lediglich dazu zu dienen, dass das Opfer keinen Verdacht schöpft, während das eigentliche Skript im Hintergrund läuft.

Bei der zweiten Datei handelte es sich um eine HTA-Datei (HTML Application). Auch sie präsentierte sich zur Tarnung ohne die herkömmliche Erweiterung. Die in ihr eingebetteten VBscript-, HTML-, CSS- oder JavaScript-Codes lassen sich als eigenständige Anwendung auf einem Windows-Betriebssystem ausführen.

Command-and-Control-(C2)-Aufgabenverteilung

Um eine Kommunikationsschleife mit der C2-Infrastruktur aufzubauen, verwendeten die Bedrohungsakteure die Python-basierte Backdoor help.py. Deren getarntes Skript ließ sich nur schwer analysieren: Das Python-basierte Python-Verschleierungstool PyArmor schützt Skripte vor Reverse Engineering und Manipulationen. Auch das zugehörige kompilierte Modul Pytransform.pyd (im Grunde eine DLL-Datei, die von einem Python-Skript verwendet wird), schützten die Angreifer vor Reverse Engineering durch das Software-Schutzprogramm Themida. Zudem nutzten die Angreifer auch weitere Verschleierungstechniken, einschließlich der Mischung von Operation Code.

In der Folge erzeugte help.py auf dem Opfer-System ein Public/Private RSA-Schlüsselpaar von einer Länge von 2048 Bit. Den öffentliche Schlüssel erhielt der Command-and-Control-Server mittels POST-Methode mit den folgenden Schlüssel-Wert-Paaren mitgeteilt. Der zentrale Command-and-Control-Server antwortete mit einem gültigen Python-Code, um die Client-ID für das Opfersystem als permanente ID einzurichten.

In der Folge übermittelt der C2-Server dann spezifischen Aufgaben, die auf dem kompromittierten Rechner auszuführen waren. Die Aufgaben zur Datenexfiltration erhielten eine einheitliche Identifikationsnummer. Dabei handelt es sich offenbar um einen inkrementellen und globaler Wert für alle Opfer der Kampagne. Die höchste von den Sicherheitsforschern ermittelte Aufgaben-ID lautete 115880. Damit ist davon auszugehen, dass die Cyberkriminellen über 100.000 Aufgaben an Opfer sendeten.

Beim Beobachten der konkreten Attacke konnten die Sicherheitsexperten vier Aufgaben beobachten, die für sich genommen bereits ein grundlegendes Arsenal zur Exfiltration abbilden:

• A3 - DOWNLOAD_LIST: Exfiltrieren von Dateien mit bestimmten Erweiterungen aus einem Verzeichnis. Diese Aufgabe ruft nur Dateien ab, die in den letzten N Tagen geändert wurden. N ist dabei ein fest kodierter Wert. Die Aufgabe sendet die Daten in Zip-Archiven nach Außen, die auf 16 MB begrenzt sind. Falls erforderlich, verwenden die Hacker mehrere Archive. Das Opfer sendet eine Liste der übereinstimmenden Dateien an den C2-Server, einschließlich Informationen über den vollständigen Pfad, die erstellte Größe und das Datum der letzten Änderung der exfiltrierten Datei.

• A4 - DOWNLOAD_AND_DELETE_LIST: Diese Aufgabe löscht zusätzlich die hier exfiltrierten Dateien vor Ort zusätzlich gelöscht. Vermutlich wollten die Angreifer Daten entfernen, die andere Malware und ihre Aufgaben erzeugt haben. Die Hacker beseitigen ihre Spuren.

• A6 - SCAN_LIST: Ähnlich wie Aufgabe A3. Die Aufgabe meldet doppelte Dateien, ohne sie mehrfach nach außen weiterleiten. Die Hacker vermeiden also Duplikate und verringern das Datenaufkommen, wenn er die gesammelten Daten überträgt.

• A7 - SCREENSHOT: Diese Aufgabe lädt einen Screenshot von einem kompromittierten Rechner hoch.

Gezielte Suche nach Daten

Die Hacker verwendeten unterschiedliche aktuelle, in C++ geschriebene Malware. Eine ausführbare Datei diagsvc.exe speicherten die Angreifer im wenig Verdacht erweckenden Ordner C:\\ProgramData\\Programs. Sie war für den unerlaubten Datenabfluss konzipiert.

Alle gesammelten Skripte kontaktierten denselben C2-Server mit der Adresse 84.32.188[.]123.

Nach der Ausführung begann DownEx mit der rekursiven Analyse von lokalen und Netzlaufwerken und sammelt Dateien mit bestimmten Erweiterungen: .doc, .docx, .rtf, .xlsx, .xls, .pdf, .ppt, .pptx, .~tm, .bmp, .rar, .jpg, .odt, .p12, .heic, .enc, .jpeg, .tiff, .tif, .zip, .crf, .enc, .cr, .lhz, .pem, .pgp, .sbx, .tlg.

Die Angreifer waren dabei offensichtlich an vertraulichen Dateien wie . pgp (Pretty Good Privacy) oder .pem (Privacy Enhanced Mail), aber auch an Finanzdaten wie QuickBooks-Protokolldateien (.tlg-Erweiterung) interessiert.

Zum Exfiltrieren verwenden sie ein .zip-Archiv. Die Größe der unkomprimierten Daten war dabei für jedes Archiv auf 30 MB begrenzt. Falls erforderlich, legt die Malare mehrere Archivdateien an. Um das Datenaufkommen zu begrenzen, speicherte DownEx Prüfsummen von bereits exfiltrierten Dateien (CRC), um Duplikate zu vermeiden. Die Archive schickt die Malware mit einer POST-Anfrage an http[:]//84.32.188[.]123/hftqlbgtg.php an den Command-and-Control-Server.

Eine weitere VBScript-basierte Version von DownEx mit identischer Version wie die C++-Version agierte als Fileless-Angriff alleine im Arbeitsspeicher und zu keinem Zeitpunkt auf einem angegriffenen Medium. Solche Angriffe sind nur schwer zu erkennen.

Optimierter Datenversand erfordert eine umfassende Abwehr

DownEx verdeutlicht die Raffinesse und Professionalität moderner Cyberangriffe. Cyberkriminelle betreiben durchaus Aufwand um ihre Angriffe effizienter, unauffälliger und vielseitiger zu machen. Um solche Kampagnen zu erkennen und zu verhindern, benötigen Behörden und Unternehmen eine Kombination von fortschrittlichen Cybersicherheits­technologien. Abwehrmechanismen wie fortschrittliche Malware-Erkennung mit maschinellem Lernen, die bösartige Skripte identifizieren kann, E-Mail-Filterung, eine Sandbox für die Detonation verdächtiger Dateien, Netzwerkschutz, der C2-Verbindungen blockieren kann, sowie eine Erkennung und Abwehr über die eigentlichen Endpunkte hinaus und mit Hilfe von externen Sicherheitsanalysten gehören zum Werkzeugkasten einer zeitgemäßen Abwehr.

Über den Autor: Martin Zugec ist Technical Solutions Director bei Bitdefender.

(ID:49709558)