Verseuchte Version von 3CXDesktopApp liefert Backdoor

Kaspersky-Experten haben den Lieferkettenangriff analysiert, der über das beliebte VoIP-Programm 3CXDesktopApp durchgeführt wurde und einen Infostealer installiert. Im Zuge der Analyse fanden sie auf einem Computer eine verdächtige Dynamic Link Library (DLL), die in den infizierten 3CXDesktopApp.exe-Prozess geladen wurde.

Die Kaspersky-Experten leiteten am 21. März, etwa eine Woche vor der Entdeckung des Angriffs auf die Lieferkette, eine Untersuchung zu einem Fall ein, der mit dieser DLL in Verbindung steht. Diese DLL wurde bei Bereitstellungen der Backdoor „Gopuram“ verwendet und wird bereits seit dem Jahr 2020 von Kaspersky beobachtet. Weiterhin zeigt die Analyse, dass Gopuram auf Computern, die mit AppleJeus angegriffen wurden, koexistiert. Bei AppleJeus handelt es sich um eine Backdoor, die dem koreanischsprachigen Bedrohungsakteur Lazarus zugeschrieben wird.

Installationen der infizierten 3CX-Software finden sich weltweit, allerdings weisen Brasilien, Deutschland, Italien und Frankreich die meisten Fälle auf. Gopuram wurde dagegen auf weniger als zehn Computern beobachtet, was darauf hindeutet, dass Angreifer die Backdoor extrem gezielt einsetzen. Die Angreifer scheinen dabei ein besonderes Interesse an Kryptowährungsunternehmen zu haben.

„Der Infostealer ist nicht der einzige schädliche Payload, der während des Angriffs eingesetzt wird“, erklärt Georgy Kucherin, Sicherheitsexperte im Global Research and Analysis Team (GReAT) bei Kaspersky. „Der Bedrohungsakteur hinter Gopuram infiziert Zielcomputer zusätzlich mit der vollwertigen, modularen Gopuram-Backdoor. Wir glauben, dass Gopuram das Hauptimplantat und die letzte Payload in der Angriffskette ist. Unsere Untersuchungen dauern noch an und wir werden die eingesetzten Implantate genauer analysieren, um weitere Details über das bei dem Angriff auf die Lieferkette verwendete Toolset herauszufinden.“

Empfehlungen zum Schutz

• Cybersicherheits-Trainings für Mitarbeiter anbieten, da viele zielgerichtete Angriffe mit Phishing oder anderen Social-Engineering-Techniken beginnen.
• Ein Cybersecurity-Audit aller Netzwerke durchführen und alle Schwachstellen beheben, die am Perimeter oder innerhalb des Netzwerks entdeckt wurden.
• Anti-APT- und EDR-Lösungen wie Kaspersky Anti Targeted Attack Plattform und Kaspersky Endpoint Detection and Response implementieren, die eine frühzeitige Erkennung sowie Untersuchung und Behebung von Vorfällen ermöglicht; im Rahmen von Managed Services, darunter Kaspersky Managed Detection and Response, bieten diese Lösungen auch mit fehlenden internen Ressourcen Schutz.
• Das SOC-Team sollte stets Zugriff auf die neuesten Bedrohungsinformationen haben und in dedizierten Trainings weitergebildet werden.

www.kaspersky.de