Thought Leadership
Palo Alto Networks beobachtet seit einiger Zeit eine Cyberangriffskampagne mit einem gewaltigen Zerstörungspotenzial: „Shamoon 2“ wurde in bisher drei Wellen zerstörerischer Angriffe auf Organisationen ausgeführt.
Palo Alto Networks stuft das Bedrohungspotenzial weltweit als sehr hoch ein, da die Akteure offensichtlich über fortgeschrittene Fähigkeiten und eine leistungsfähige Infrastruktur verfügen.
Die jüngste Untersuchung durch Palo Alto Networks bringen mehr Details zur Methode ans Licht, mit der die Akteure die Disttrack-Nutzlast auslieferten. So haben die Malware-Exprten festgestellt, dass eine Kombination aus legitimen Tools und Batch-Skripten zum Einsatz kommt, um die Disttrack-Nutzlast auf Host-Namen zu implementieren, von denen die Angreifer wissen, dass sie im Zielnetzwerk existieren.
Die Analyse zeigt, dass die Angreifer wahrscheinlich die Liste bekannter Host-Namen direkt aus dem Active Directory gezogen oder während ihrer Aufklärungsaktivitäten im Netzwerk aus einem kompromittierten Host zusammengestellt haben. Die Aufklärung erfolgte zusammen mit dem Diebstahl von Zugangsdaten, die benötigt werden, um die Disttrack-Nutzlast mit legitimen Benutzernamen und Passwort-Anmeldeinformationen zu kodieren. Dies führte die Forscher zu der Annahme, dass es sehr wahrscheinlich ist, dass die Angreifer vor den eigentlichen „Shamoon 2“-Angriffen bereits Zugang zu den ins Visier genommenen Netzwerken hatten. Die Forschungserkenntnisse bestätigen zudem, dass ein erfolgreicher Diebstahl von Zugangsdaten ein integraler Bestandteil der Angriffe war, um Fernzugriff und eine seitliche Bewegung im fremden Netzwerk zu ermöglichen.
Die Analyse zeigt auch, dass ein Akteur Disttrack innerhalb des Zielnetzes verteilt, indem er zunächst ein System kompromittiert, das dann als Disttrack-Verteilungsserver in diesem Netzwerk verwendet wird. Der Akteur verwendet dann diesen Server, um andere Systeme im Netzwerk zu kompromittieren, indem er den Host-Namen verwendet, um die Disttrack-Malware zu kopieren und auszuführen. Auf jedem dieser Systeme, die erfolgreich kompromittiert werden, wird die Disttrack-Malware versuchen, sich auf 256 zusätzliche IP-Adressen im lokalen Netzwerk weiterzuverbreiten. Dieses effektive Verteilungssystem ermöglicht es Disttrack, sich in einer halbautomatischen Weise auf viele Systeme weiterzuverbreiten.
Im Rahmen der Analyse hat Palo Alto Networks auch eine mögliche Verbindung zwischen der „Shamoon 2“- und der „Magic Hound“-Kampagne untersucht und Hinweise dafür gefunden. Auch wenn die Hintergründe einer bestimmten Beziehung zwischen den Angreifern noch nicht schlüssig erklärt werden können, gibt es mehrere Faktoren, die auf eine Form der Assoziation hindeuten, darunter:
- Die aktuelle Ausrichtung auf Unternehmen im arabischen Raum.
- Die Verwendung des gleichen Cloud-Computing-Dienstes im gleichen Klasse-C-IP-Bereich.
- Die Verwendung von PowerShell und Meterpreter.
Wenn die „Magic Hound“-Angriffe mit dem „Shamoon“-Angriffszyklus zusammenhängen sollten, dienten sie möglicherweise als Brückenkopf, um Aufklärungen für die Gegner durchzuführen sowie Netzwerk- und Zugangsinformationen zu sammeln. Diese These wird gestützt durch die anfänglichen „Magic Hound“-Nutzlasten Pupy RAT und Meterpreter, die beide diese Art von Fähigkeiten aufweisen.
Die Akteure hinter den „Shamoon 2“-Attacken verwenden ein kompromittiertes System als Verteilungspunkt, um den Disttrack-Trojaner auf andere Systeme im Zielnetzwerk zu verbreiten. So kann sich die Disttrack-Malware noch weiter im Netzwerk vorarbeiten. Kopiert wird die Nutzlast mit einem Open-Source-Dienstprogramm namens PAExec und mehreren Batch-Skripten. Während die Akteure direkt mit dem Verteilungssystem interagieren, ermöglicht die Verwendung eines einzigen kompromittierten Systems, den Einsatz der Nutzlast zu automatisieren, um Systeme auf dem Zielnetzwerk sehr schnell zu infizieren. Auch diese Erkenntnisse deuten auf eine Beziehung zwischen den „Shamoon“- und „Magic Hound“-Angriffskampagnen.
Palo Alto Networks wird die Kampagne weiter analysieren, um weitere Aktivitäten zu ermitteln, die auf das Konto dieser Akteure gehen. So sollen Verbindungen zu bekannten Gruppen aufgespürt werden.
