Tool umgeht EDR- und AV-Erkennung Wenn Pentest-Tools zur Waffe werden

Anbieter zum Thema

Palo Alto Networks (Germany) GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Unit 42, die Forschungsabteilung von Palo Alto Networks, ist ständig auf der Suche nach neuen und einzigartigen Malware-Samples. Im Frühjahr 2022 erfolgte der Upload eines solchen Samples auf VirusTotal, wo es alle 56 Anbieter, die es bewertet haben, als gutartig einstuften. Das Sample enthielt jedoch schädlichen Code, der mit, dem neuesten Red-Teaming- und Angriffssimulationstool auf dem Markt, verbunden war.

Obwohl die Funktion Brute Ratel C4 (BRc4) nicht im Rampenlicht steht und weniger bekannt ist als ihre Cobalt Strike-Pendants, ist sie nicht weniger raffiniert. Vielmehr ist dieses Tool insofern besonders gefährlich, als es speziell entwickelt wurde, um die Erkennung durch Endpoint Detection and Response (EDR)- und Antivirus (AV)-Funktionen zu umgehen. Wie effektiv es dabei ist, zeigt sich deutlich an der bereits erwähnten fehlenden Erkennung durch verschiedene Anbieter auf VirusTotal.

In Bezug auf C2 stellten die Forscher fest, dass das Sample eine Amazon Web Services (AWS)-IP-Adresse in den USA über Port 443 aufrief. Außerdem war das X.509-Zertifikat auf dem abhörenden Port so konfiguriert, dass es sich als Microsoft mit dem Organisationsnamen „Microsoft“ und der Organisationseinheit „Security“ ausgab. Anhand des Zertifikats und anderer Artefakte konnten die Forscher insgesamt 41 gefährlichen IP-Adressen, neun BRc4-Samples und drei weitere Unternehmen in Nord- und Südamerika identifizieren, die bisher von diesem Tool betroffen waren.

Dieses einzigartige Sample wurde auf eine Art und Weise verpackt, die mit bekannten Techniken der Hackergruppe APT29 und deren jüngsten Kampagnen übereinstimmt, die bekannte Cloud-Storage- und Online-Collaboration-Anwendungen nutzen. Insbesondere war das Sample als eigenständige ISO-Datei verpackt. Die ISO enthielt eine Windows-Verknüpfungsdatei (LNK), eine potentiell gefährliche DLL und eine legitime Kopie von Microsoft OneDrive Updater. Der Versuch, die gutartige Anwendung aus dem in die ISO eingebundenen Ordner auszuführen, führte dazu, dass der schädliche Code geladen wurde, und zwar durch eine Technik, die als DLL Search Order Hijacking bekannt ist. Auch wenn die „Verpackungstechniken“ allein nicht ausreichen, um dieses Sample eindeutig APT29 zuzuordnen, so zeigen diese Techniken doch, dass die Benutzer des Tools nun neue Methoden anwenden, um BRc4 einzusetzen.

Insgesamt halten die Forscher diese Untersuchung für bedeutsam, da sie nicht nur eine neue Red-Team-Fähigkeit identifiziert, die von den meisten Cybersicherheitsanbietern weitgehend unentdeckt bleibt. Was noch wichtiger ist, demonstriert sie, dass eine wachsende Nutzerbasis nun nationalstaatliche Einsatztechniken nutzt. Eine vollständige Visualisierung der beobachteten Techniken, der relevanten Vorgehensweisen und der Kompromittierungsindikatoren (IoCs) in diesem Zusammenhang finden sich im ATOM-Viewer von Unit 42.

Grundlegendes zu Brute Ratel C4

Brute Ratel C4 erschien erstmals im Dezember 2020 als Tool für Penetrationstests. Entwickelt hat es ein in Indien lebender Sicherheitsingenieur namens Chetan Nayak (alias Paranoid Ninja). Laut seiner Website (Dark Vortex) sammelte Nayak mehrere Jahre Erfahrung in leitenden Positionen bei westlichen Cybersicherheitsanbietern. In den letzten 2,5 Jahren hat Nayak das Pentest-Tool schrittweise in Bezug auf Funktionen, Fähigkeiten, Support und Schulungen verbessert.

Die Analyse von Unit 42 unterstreicht die anhaltende und relevante Debatte innerhalb der Cybersicherheitsbranche über die ethischen Aspekte der Entwicklung und Verwendung von Penetrationstest-Tools, die für offensive Zwecke nutzbar sind. So wirbt BRc4 derzeit mit dem Namen „A Customized Command and Control Center for Red Team and Adversary Simulation”. Am 16. Mai gab Nayak bekannt, dass das Tool 480 Benutzer bei 350 Kunden gewonnen hat.

Die neueste Version, Brute Ratel v1.0 (Sicilian Defense), wurde einen Tag später, am 17. Mai, veröffentlicht und ist derzeit zu einem Preis von 2.500 US-Dollar pro Benutzer und 2.250 US-Dollar pro Renewal erhältlich. Mit diesem Preis und Kundenstamm ist BRc4 in der Lage, im nächsten Jahr mehr als eine Million Dollar Umsatz zu machen.

Die Analyse von Unit 42 unterstreicht die anhaltende und relevante Debatte innerhalb der Cybersicherheitsbranche über die ethischen Aspekte der Entwicklung und Verwendung von Penetrationstest-Tools, die für offensive Zwecke nutzbar sind.

Weitere Samples und Infrastruktur

Im Laufe des letzten Jahres wurde das gefälschte Microsoft Security X.509-Zertifikat mit 41 IP-Adressen in Verbindung gebracht. Diese Adressen weisen eine globale geografische Streuung auf und gehören überwiegend großen VPS-Hosting-Anbietern (Virtual Private Server). Die Forscher haben ihre Untersuchungen über die beiden oben genannten Samples hinaus ausgeweitet und weitere sieben Samples von BRc4 identifiziert, die bis Februar 2021 zurückreichen.

Das Aufkommen einer neuen Funktion für Penetrationstests und die Emulation von Angreifern ist von großer Bedeutung. Noch beunruhigender ist jedoch die Effektivität von BRc4 bei der Umgehung moderner defensiver EDR- und AV-Erkennungsfunktionen. In den letzten zweieinhalb Jahren hat sich dieses Tool von einer Teilzeit-Hobbyaktivität zu einem Vollzeit-Entwicklungsprojekt entwickelt. Während der wachsende Kundenstamm bereits in die Hunderte geht, hat das Tool sowohl bei legitimen Penetrationstestern als auch bei böswilligen Cyberakteuren an Aufmerksamkeit gewonnen.

Die Analyse der Samples sowie die fortschrittliche Technik, mit der die Nutzlasten verpackt wurden, machen deutlich, dass immer mehr Angreifer begonnen haben, sich diese Fähigkeit anzueignen. Angesichts der geografischen Streuung der Opfer, der Upstream-Verbindung zu einer ukrainischen IP-Adresse und verschiedener anderer Faktoren halten es die Forscher für höchst unwahrscheinlich, dass BRc4 zur Unterstützung legitimer und sanktionierter Penetrationstests eingesetzt wurde. Sicherheitsexperten empfehlen daher allen Sicherheitsanbietern, Schutzmaßnahmen zur Erkennung von Aktivitäten mit diesem Tool zu entwickeln, und allen Unternehmen, vor entsprechenden Aktivitäten auf der Hut zu sein.

(ID:48503620)