WIP26-Spionage-Malware im Nahen Osten

In Zusammenarbeit mit der QGroup GmbH beobachtete und analysierte SentinelLabs eine Bedrohungsaktivität, die als WIP26 bezeichnet wird. Der Bedrohungsakteur, der hinter WIP26 steht, hat es auf Telekommunikationsanbieter im Nahen Osten abgesehen.

WIP26 zeichnet sich durch den Missbrauch öffentlicher Cloud-Infrastruktur aus – Microsoft 365 Mail, Microsoft Azure, Google Firebase und Dropbox – für die Verbreitung von Malware, die Datenexfiltration und C2-Zwecke.

Die WIP26-Aktivitäten werden durch die gezielte Ansprache von Mitarbeitern über WhatsApp-Nachrichten eingeleitet, die Dropbox-Links zu einem Malware-Loader enthalten. Wenn Mitarbeiter dazu verleitet werden, den Loader herunterzuladen und auszuführen, führt dies letztendlich zur Bereitstellung von Hintertüren, die Microsoft 365 Mail und Google Firebase-Instanzen als C2-Server nutzen. Die Hintertüren werden als CMD365 bzw. CMDEmber bezeichnet. Die Hauptfunktion von CMD365 und CMDEmber besteht darin, vom Angreifer bereitgestellte Systembefehle über den Windows-Befehlsinterpreter auszuführen.

Die Nutzung der öffentlichen Cloud-Infrastruktur für C2-Zwecke ist ein Versuch, bedrohlichen C2-Netzwerkverkehr als legitim erscheinen zu lassen und damit die Entdeckung durch Verteidiger zu erschweren. Die beobachteten CMD365- und CMDEmber-Samples geben sich als Dienstprogramme aus, z. B. als PDF-Editor oder Browser, und als Software, die Aktualisierungsvorgänge durchführt. Der Versuch, sich als solche auszugeben, beinhaltet die Verwendung von Dateinamen, Anwendungssymbolen und digitalen Signaturen, die auf bestehende Softwareanbieter hinweisen.

Technischer Hintergrund

Der initiale Angriffsvektor wurde durch das Versenden gezielter WhatsApp-Nachrichten an Mitarbeiter erreicht. Die Nachrichten enthielten Dropbox-Links zu Archivdateien, die angeblich nur Dokumente zu Armutsproblemen in Afghanistan enthielten. Die Archive enthielten solche Dokumente, aber auch einen Malware-Loader (PDFelement.exe), der sich als PDFelement-Anwendung tarnte. Der Loader installiert die CMD365-Hintertür, eine ausführbare .NET-Datei namens Update.exe, und erstellt eine geplante Aufgabe namens MicrosoftUpdatesA, die CMD365 beim Systemstart ausführt, damit es bestehen bleibt.

Die Hauptfunktion von CMD365 besteht darin, Befehle von einem C2 auszuführen, der auf einer Microsoft 365 Mail-Instanz gehostet wird. Diese Fähigkeit wurde für eine Reihe von Aktivitäten genutzt, z. B. für die Aufklärung, die Ausweitung von Rechten, das Bereitstellen zusätzlicher Malware und die Datenexfiltration. Unter der Malware, die auf kompromittierten Computern eingesetzt wurde, beobachteten wir neben der Update.exe – EdgeUpdater.exe ein weiteres CMD365-Sample. Darüber hinaus beobachteten wir CMDEmber-Samples, die Google Firebase Realtime Database-Instanzen als C2-Server verwenden – .NET-Executables namens Update.exe und Launcher.exe.

Zu den exfiltrierten Daten gehörten die privaten Browserdaten der Benutzer und Aufklärungsinformationen über bestimmte hochwertige Hosts im Netzwerk des Opfers. Dies ist ein typischer Vorläufer für den späteren Angriff auf diese Hosts. Die Datenexfiltration wurde durch die Ausführung von PowerShell-Befehlen zur Übertragung von Schlüsseldaten an Microsoft Azure-Instanzen orchestriert. Der Bedrohungsakteur hinter WIP26 nutzte die Windows Azure-Website socialmsdnmicrosoft.azurewebsites[.]net als Malware-Hosting-Site und akam.azurewebsites[.]net als Datenexfiltrations-Site.

Welche Absichten steckt hinter WIP26?

Die Sicherheitsforscher von SentinelLabs halten es für wahrscheinlich, dass diese Aktivität mit Spionage zusammenhängt. Der erste beobachtete Angriffsvektor umfasste ein präzises Targeting: Der Bedrohungsakteur schickte WhatsApp-Nachrichten mit Download-Links zu Backdoor-Malware an Ziele. Die Tatsache, dass Telekommunikationsanbieter im Nahen Osten ins Visier genommen wurden, deutet darauf hin, dass das Motiv hinter dieser Aktivität spionagebezogen ist. Kommunikationsanbieter sind aufgrund der sensiblen Daten, über die sie verfügen, häufig Ziel von Spionageaktivitäten. Schließlich deuten die Beweise darauf hin, dass der Bedrohungsakteur, sobald er Fuß gefasst hatte, auf die privaten Informationen der Benutzer und bestimmte vernetzte Hosts von hohem Wert abzielte.

Fazit

Die WIP26-Aktivitäten sind ein interessantes Beispiel dafür, dass Bedrohungsakteure ihre TTPs ständig erneuern, um der Aufdeckung zu entgehen und Abwehrmaßnahmen zu umgehen. Die Nutzung öffentlicher Cloud-Infrastrukturen für Malware-Hosting, Datenexfiltration und C2-Zwecke zielt darauf ab, bösartigen Datenverkehr legitim erscheinen zu lassen. Dies gibt Angreifern die Möglichkeit, ihre Aktivitäten unbemerkt durchzuführen. Wir hoffen, dass dieser Bericht dazu beiträgt, diese Taktik im Rahmen der kontinuierlichen Bemühungen zur Identifizierung von Bedrohungsgruppen, die es auf kritische Branchen abgesehen haben, hervorzuheben.

Die ausführliche Untersuchung der Forscher von SentinelLabs finden Sie hier.

www.sentinelone.com