de.wedoany.com-Bericht: ESTsecurity hat eine neue Art von Spear-Phishing-Angriff entdeckt, bei dem Angreifer E-Mails mit Betreffzeilen wie „Anfrage zur Bestätigung eines mutmaßlichen Datenlecks“ versenden. Zunächst werden getarnte E-Mails an die tatsächlich zuständigen Mitarbeiter von Unternehmen gesendet. Durch mehrfache Kommunikation wird Vertrauen aufgebaut, bevor die Opfer zur Installation schädlicher Dateien verleitet werden. Der Angriff selbst ist ein konventioneller Spear-Phishing-Versuch. Wenn jedoch der bösartige Link in der E-Mail von der Sicherheitslösung blockiert wird, beruhigen die Angreifer die Nutzer mit Aussagen wie „Es scheint ein Fehlalarm zu sein“ und verleiten sie dazu, den Link dennoch zu öffnen.
Laut einem Fall, der vom APT-Bedrohungserkennungssystem des ESTsecurity Security Response Center (ESRC) entdeckt wurde, tauschten die Angreifer zunächst mehrfach normale E-Mails mit den tatsächlich zuständigen Mitarbeitern eines bestimmten Unternehmens aus, um Vertrauen aufzubauen. Anschließend wurden diese zur Ausführung einer schädlichen Datei verleitet. Beim ersten Versuch wurde der bösartige Link in der E-Mail von der unternehmenseigenen Sicherheitslösung blockiert. Daraufhin beruhigten die Angreifer den Mitarbeiter mit der Aussage: „Nach einer internen Prüfung durch das Sicherheitsteam wurde keine Anomalie festgestellt; es handelt sich vermutlich um einen Fehlalarm.“ Um die Überwachung durch Antivirensoftware zu umgehen, sendeten die Angreifer den Schadcode anschließend erneut, diesmal als passwortgeschützte ZIP-Datei. Wenn der Benutzer die Datei entpackt und die als normales Dokument getarnte schädliche Windows-Verknüpfungsdatei (LNK) ausführt, wird im Hintergrund zwangsweise eine 32-Bit-PowerShell-Umgebung aufgerufen, wodurch die Erkennung durch einige Sicherheitslösungen umgangen wird. Der Benutzer sieht ein normales Excel (XLSX)- oder PDF-Dokument zum Kundenstatus, während im Hintergrund bereits Systeminformationen gestohlen und weitere schädliche Aktionen ausgeführt werden.
Die Angreifer verwendeten zwei Frameworks, um der Erkennung zu entgehen. Das erste Framework nutzte die legitime Cloud-Dienst-API von Dropbox als Command-and-Control-Server (C2), stahl Informationen vom PC und enthielt Funktionen zur Erkennung von Analyseumgebungen in virtuellen Maschinen. Das zweite Framework kommunizierte direkt mit einem eigenen HTTPS-Server der Angreifer und registrierte eine Datei, die als automatisches Update einer bekannten südkoreanischen Sicherheitssoftware getarnt war, in den Autostart-Einträgen, um Persistenz zu gewährleisten und die Befehle zu verbergen. Nach einer detaillierten Analyse von drei durch das ESRC gesammelten Schadproben wurde bestätigt, dass sie alle dieselbe interne Struktur und dieselben als Kundenstatus getarnten Köderdokumente aufweisen. Dies deutet darauf hin, dass dieselbe Angriffsgruppe innerhalb derselben Kampagne je nach Situation ihre Werkzeuge austauscht. Gemeinsam bestätigte Merkmale umfassen: eine ausgeklügelte Social-Engineering-Kampagne mit mehrfachem E-Mail-Austausch unter dem Vorwand eines Datenlecks; eine gemeinsame Infiltrationskette durch die gleiche anfängliche Ausführungsmethode über LNK-Dateien und die Verwendung koreanischsprachiger Köderdokumente; die gleichzeitige Nutzung legitimer Cloud-Dienste und eigener Domänen, um bei Blockierung über alternative Kanäle zu verfügen (Multi-C2-Infrastruktur); sowie Anzeichen einer gezielten Ausrichtung auf südkoreanische Organisationen, wie die Verwendung des Kampagnenidentifikators „Pan“ und die Tarnung als südkoreanische Sicherheitssoftware.
Ein Vertreter des ESRC betonte, dass dieser Angriff unter dem Vorwand eines Datenlecks, dem größten Anliegen von Sicherheitsverantwortlichen, durchgeführt wurde, um Misstrauen zu vermeiden. Selbst wenn der Absender eine externe Person ist und die Konversation natürlich verläuft, sei bei der Ausführung von Anhängen oder dem Öffnen von Links besondere Vorsicht geboten. Der Vertreter wies darauf hin, dass es ein klares Angriffssignal sei, wenn eine von der Sicherheitslösung blockierte Datei vom Absender als Fehlalarm bezeichnet und erneut als passwortgeschützte ZIP-Datei gesendet wird. Eine solche Datei dürfe auf keinen Fall ausgeführt werden. Tatsächliche Mitarbeiter von Unternehmen sollten in den Windows-Explorer-Einstellungen die Option „Erweiterungen bei bekannten Dateitypen ausblenden“ deaktivieren und vor der Ausführung unbedingt die tatsächliche Dateierweiterung (LNK, EXE usw.) überprüfen, um sichere Arbeitsgewohnheiten zu entwickeln.
Dieser Artikel wurde von Wedoany übersetzt und bearbeitet. Bei jeglicher Zitierung oder Nutzung durch künstliche Intelligenz (KI) ist die Quellenangabe „Wedoany“ zwingend vorgeschrieben. Sollten Urheberrechtsverletzungen oder andere Probleme vorliegen, bitten wir Sie, uns unverzüglich zu benachrichtigen. Wir werden den entsprechenden Inhalt umgehend anpassen oder löschen.
E-Mail: news@wedoany.com
