Trellix Threat Labs entdeckt neue Angriffstechnik Neue Spionagekampagne nutzt OneDrive als C&C-Server

Das Trellix Threat Labs-Team hat durch seine Untersuchungen eine Spionagekampagne aufgedeckt, die zwischen Oktober und November 2021 in Westasien durchgeführt wurde. Im Fokus der Angreifer standen Regierungsbeamte, die zuständig für die nationale Sicherheit sind sowie Personen aus der Verteidigungsindustrie.

Anbieter zum Thema

TXOne Networks

Specops Software GmbH

Trellix

Die Vermutung liegt nahe, dass es sich bei den Angreifern um die russische Gruppe APT28 handelt. Darauf lassen Code- und Funktionsähnlichkeit, Indikatoren wie die geopolitische Lage sowie der Uhrzeiten der Aktivitäten schließen.

Die Infektionskette beginnt mit der Ausführung eines Excel-Downloads, den die Opfer wahrscheinlich per Spear-Phishing-E-Mail erhielten. Dieser nutzte mit CVE-2021-40444 eine bekannte Schwachstelle in Microsofts proprietärer Browser-Engine für den Internet Explorer, MSHTML, aus, um eine bösartige Datei im Speicher auszuführen. Daraufhin wurde Malware eingesetzt, um OneDrive als Command und Control Server zu nutzen – eine Technik, die das Team bisher noch nicht beobachtet hat.

Die 6 Stufen des Angriffs im Detail

1. Stufe: Die Opfer wurden dazu gebracht, eine Excel-Datei zu öffnen, die wiederum eine weitere Datei beinhaltet. Diese machte sich die Eigenschaft „CustomUI.OnLoad“ des OpenXML-Formats zunutze, um eine externe Datei – eine weitere Excel-Tabelle – von einem Remote-Server zu laden und dabei Antiviren-Scanner und Office-Analyse-Tools zu umgehen. Diese Excel-Datei enthielt einen Link zum Exploit für die MSHTML-Sicherheitslücke, der auf dem Server der Angreifer gehostet wurde. Dadurch konnte das Dokument die HTML-Datei automatisch herunterladen und anschließend die Internet Explorer Engine aufrufen, um sie zu interpretieren, was den Exploit auslöste.

2. Stufe: Aus der beim Exploit verwendeten CAB-Datei wurde eine ausführbare DLL-Datei extrahiert, die eine Funktion exportierte, die Windows als Systemsteuerungsanwendung erkennt. Dadurch wurde die Malware für den nächsten Schritt heruntergeladen.

3. Stufe: Die Malware – Graphite genannt, da sie die Microsoft Graph API ausnutzt – kreierte zunächst ein Mutex, um Doppelausführungen zu vermeiden, Zeichenketten zu entschlüsseln und die später verwendeten APIs dynamisch zu lösen, und generierte zudem eine Bot ID zur Identifikation des infizierten Computers. Anschließend erstellte sie einen Thread, mit dem sie die Ausführung von Tasks überwachte und die Ergebnisse auf den OneDrive der Angreifer hochlud. Danach prüfte die Malware in einer Endlosschleife, ob neue Tasks verfügbar sind. Wenn ja, wurden diese ausgeführt und Informationen von den Systemen der Opfer zu den laufenden Prozessen, die .NET Version aus der PowerShell und die Windows-Betriebssystemversion auf OneDrive hochgeladen. War der Task zudem ein Shellcode, wurde die Malware angewiesen, einen Thread zu erstellen, um diesen auszuführen. Nach ihrer Verarbeitung wurden die Task-Dateien aus dem OneDrive gelöscht.

4. Stufe: In einem Graphite-Shellcode-Task war eine Dynamic-Library-Datei eingebettet, durch die sie reflektiv in den Speicher des Prozesses geladen und ausgeführt wurde. Hierbei handelte es sich um einen generierten Empire DLL Launcher Stager, der die .NET CLR Runtime in einen nicht verwalteten Prozess initialisiert und startet, um einen Download-Cradle auszuführen und einen Empire-Agenten zu starten. Damit wurde es möglich, den Empire-Agenten in einem Prozess auszuführen, der nicht PowerShell.exe ist.

5. Stufe: Eine ausführbare .NET-Datei namens Service.exe, die zuvor eingebettet und verschlüsselt wurde, wird zum Laden und Ausführen von PowerShell-Code verwendet, um Sicherheitsmaßnahmen wie AMSI zu umgehen und die Ausführung von einem Prozess zu ermöglichen, der dies nicht zulassen sollte.

6. Stufe: Das PowerShell-Skript, konkret ein Empire HTTP Stager, wurde stark verschleiert, um die Analyse zu erschweren. Die Hauptfunktion des Skripts bestand darin, die ersten Informationen über das System zu senden sowie den verschlüsselten Empire-Agenten herunterzuladen, ihn mit AES-256 zu entschlüsseln und auszuführen.

(ID:47986453)