Umgehen von Sicherheitslösungen möglich, die sich auf klassische Indicators of Compromise stützen
Kaspersky-Analyse: Cloud Atlas nutzt jetzt polymorphe Malware
Der APT-Akteur (Advanced Persistent Threat) Cloud Atlas, auch bekannt als Inception, hat nach Angaben der Sicherheitsfachleute von Kaspersky sein Angriffsarsenal um neue Tools erweitert: mit einer HTML-Anwendung und dem VBShower-Modul, die beide polymorph agieren. Dies kann eine Erkennung durch klassische Kompromittierungsindikatoren (Indicators of Compromise, IoC) verhindern. Die aktualisierte Infektionskette wurde bisher in verschiedenen Organisationen in Osteuropa, Zentralasien und Russland entdeckt, so die Fachleute weiter.
Der Cyberspionageakteur Cloud Atlas wurde erstmals im Jahr 2014 identifiziert und hatte unter anderem Unternehmen aus der Industrie sowie Regierungsbehörden im Visier. Nach einer aktuellen Kaspersky-Analyse gehören zu den neuesten Zielen unter anderem die internationale Wirtschafts- und Luftfahrtindustrie sowie Regierungs- und religiöse Organisationen in Portugal, Rumänien, der Türkei, der Ukraine, Russland, Turkmenistan, Afghanistan und Kirgisistan. Bei erfolgreicher Infiltration kann Cloud Atlas Informationen über das infiltrierte System sammeln, Kennwörter protokollieren und aktuelle .txt-, .pdf- und Office-Dateien an einen C&C-Server senden.
Während Cloud Atlas seine Taktik seit dem Jahr 2018 nicht allzu sehr verändert hat, zeigen aktuelle Untersuchungen, dass es eine neuartige Methode zur Infektion der Opfer gibt und sich die Cyberkriminellen mittels Lateral Movement durch die Netzwerke bewegen. Dies bedeutet auch, dass die Angreifer versuchen, mittels nicht sensibler Konten Zugriff auf sensible Konten zu bekommen.
Bisher hatte Cloud Atlas zunächst eine Spear-Phishing-E-Mail mit einem schädlichen Anhang an ein Ziel gesendet. Öffnete das Opfer den Anhang, wurde die Malware PowerShower gestartet, die zunächst zum Ausspähen und zum Nachladen weiterer schädlicher Module ausgeführt wurde, um weitere Aktionen der Cyberkriminellen zu ermöglichen.
Die neue Infektionskette verschiebt die Ausführung von PowerShower auf einen späteren Zeitpunkt. Stattdessen wird nach der Erstinfektion eine schädliche HTML-Anwendung heruntergeladen und auf dem Zielcomputer ausgeführt. Diese sammelt erste Informationen über den angegriffenen Computer und lädt VBShower, ein weiteres schädliches Modul, herunter und führt es aus. VBShower löscht dann Hinweise auf das Vorhandensein von Malware im System und konsultiert die Angreifer über Command-and-Control-Server, um über weitere Aktionen zu entscheiden. Je nach Befehl lädt diese Malware entweder PowerShower oder die Backdoor einer anderen bekannten zweiten Stufe von Cloud Atlas herunter und führt sie aus.
Diese neue Infektionskette ist viel komplizierter als das Vorgängermodell. Das Hauptunterscheidungsmerkmal ist zudem, dass die schädliche HTML-Anwendung und das VBShower-Modul polymorph sind: Der Code ist in beiden Modulen in jedem Infektionsfall neu und individuell. Laut Kaspersky soll die Malware so für Sicherheitslösungen unsichtbar gemacht werden, die sich auf bekannte Kompromittieriungsindikatoren (IoC) stützen.
"In der Sicherheitsbranche hat es sich bewährt, die Indicators of Compromise von schädlichen Aktionen, die wir in Forschungen ermitteln, mit anderen zu teilen", sagt Felix Aime, Sicherheitsforscher im Kaspersky Global Research and Analysis Team (GReAT). "Dies ermöglicht es uns, schnell auf laufende internationale Cyberspionageoperationen zu reagieren und weiteren Schaden zu vermeiden. Wie wir jedoch bereits im Jahr 2016 prognostiziert haben, sind IoC als zuverlässiges Tool zur Erkennung zielgerichteter Angriffe im Netzwerk überholt. ProjectSauron war die erste Operation, bei der für jedes Opfer eine eigene IoC-Gruppe erstellt wurde." Zudem hielt laut Aime der Trend an, Open-Source-Tools für Spionageoperationen anstelle einzigartiger Tools zu verwenden. Dies setze sich nun mit diesem jüngsten Beispiel für polymorphe Malware fort. "Das bedeutet nicht, dass es schwieriger wird, Akteure zu fassen zu kriegen, aber dass sich die Sicherheitskompetenzen und das Toolkit zur Verteidigung weiterentwickeln müssen - so wie es die Angreifer eben auch tun", so Aime weiter.
Kaspersky empfiehlt unter anderem, eine Anti-Targeted-Attack-Lösung zu verwenden, die mit Indicators of Attack (IoA) ausgestattet ist und sich auf die Taktiken, Techniken oder Aktionen konzentriert, die Cyberkriminelle bei der Vorbereitung eines Angriffs möglicherweise ausführen. IoAs verfolgen die eingesetzten Techniken, unabhängig davon, welche spezifischen Tools zum Einsatz kommen.
Die vollständige Kaspersky-Analyse zu Cloud Atlas ist verfügbar unter securelist.com/recent-cloud-atlas-activity/92016/.
Lesen Sie mehr zum Thema
