Analyse von Knowbe4 Angreifer missbrauchen RMM-Tools als Backdoor

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

FAST LTA GmbH

FTAPI Software GmbH

Knowbe4 hat eine ausgefeilte Angriffskampagne beobachtet, bei der An­greifer mithilfe von Phishing-Nachrichten und gefälschten Webseiten Zu­gangsdaten sammeln und anschließend legitime RMM-Tools miss­brau­chen, um eine dauerhafte Backdoor zu den Systemen der Opfer zu öffnen.

Das Sicherheitsteam von Knowbe4 hat eine ausgeklügelte Angriffskampagne untersucht, bei der Angreifer Sicherheitsperimeter umgehen, indem sie IT-Tools missbrauchen. Die beo­bach­te­te Kampagne verlaufe in zwei Phasen: Zuerst würden die Akteure mithilfe von gefälschten Ein­ladungsbenachrichtigungen Zugangsdaten sammeln. Danach würden diese Daten dazu miss­braucht, legitime Remote Monitoring and Management Software (RMM) auf den Systemen ihrer Opfer zu installieren, die einen dauerhaften Backdoor-Zugang zu ihren eigenen Systemen her­stellen würden.

Täuschungsstrategien für mehr Cybersicherheit

Wie Threat Deception Angriffe mit legitimen Tools aufdeckt

Phase 1: Credential Harvesting

Konkret beginne der Angriff mit einer Phishing-E-Mail, die als Einladung von Greenvelope getarnt sei. Greenvelope ist ein US-amerikanischer Servicedienstleister für Firmen­ver­an­stal­tungen und Hochzeiten. Laut Knowbe4 würden Opfer, die auf die Einladung klicken, zu einer sehr überzeugenden gefälschten Anmeldeseite weitergeleitet, die dazu diene, ihre Anmelde­da­ten zu erfassen. Doch der Diebstahl gültiger Anmeldedaten sei nicht das endgültige Ziel, son­dern der entscheidende Schritt für die zweite Phase dieser Angriffsstrategie.

Identitätschutz bei Cloud-Services

Cyberattacken auf Identitäten nehmen zu

Phase 2: RMM Development

Die gültigen Anmeldedaten seien nur das Mittel zum Zweck. Sobald die Anmeldedaten gesichert seien, würden die Angreifer legitime RMM-Zugriffstoken generieren. Diese Token würden dann in Folgeangriffen über eine Datei namens „GreenVelopeCard.exe“ eingesetzt, um einen dauer­haf­ten Fernzugriff auf die Systeme der Opfer herzustellen. Durch die Verwendung von legitim signierter Software eines vertrauenswürdigen Anbieters könne die Malware viele Sicher­heits­lö­sungen umgehen, die auf signaturbasierter Erkennung beruhen würden.

Ein dauerhafter Zugriff eines böswilligen Akteurs kann verschiedene Folgen haben:

• Kontinuierliche Überwachung: Der Angreifer kann die Aktivitäten auf dem Zielsystem überwachen, Daten sammeln und sensible Informationen abgreifen.

• Einschleusen weiterer Malware: Mit dem Zugang könnte der Angreifer zusätzliche Malware installieren, um die Kontrolle über das System zu erweitern oder weitere Schäden anzu­richten.

• Datendiebstahl: Zugriff auf vertrauliche Daten, wie Unternehmensinformationen, Finanz­daten oder persönliche Daten von Mitarbeitern, die für identitätsbezogene Angriffe ver­wendet werden können.

• Manipulation von Systemen: Der Angreifer kann Systeme modifizieren, über Malware zuschlagen oder Daten manipulieren, was zu Betriebsstörungen führen kann.

• Erweiterte Angriffe: Mit der Backdoor sind auch Angriffe auf andere verbundene Systeme oder Netzwerke des Unternehmens möglich, was die Reichweite des Angriffs erheblich erhöht.

Notepad++ lieferte monatelang Backdoors statt Updates

Notepad++-Super-GAU: Wie das Admin-Tool zur APT-Waffe wurde

Schutz vor Backdoors

Angesichts der schnell wechselnden Bedrohungslage müssen Sicherheitsteams proaktiv handeln, um Angriffe wie diese frühzeitig zu erkennen und einzudämmen. Ein grundlegender Teil der Prävention ist Knowbe4 zufolge die Sensibilisierung der Mitarbeitenden, damit diese Phishing-Mails erkennen und melden. Und um das Risiko von Backdoor-Angriffen zu mini­mieren, sollten Sicherheitsteams relevante Indikatoren (IOCs) überwachen, bekannte Com­mand­-and-Control-Domänen blockieren sowie nicht autorisierte Installationen und Nutz­ungsmuster überwachen.

Gefährliche Malware „Auto-Color“

Linux-Backdoor über SAP-Schwachstelle eingeschleust

(ID:50738999)