Globaler Bedrohungsdatenbericht

Bedrohungsaufklärung kann als "die Kunst, den Gegner zu überrumpeln" bezeichnet werden. Die Vorwegnahme, Abschwächung und Verhinderung von Überraschungen in Form von Cyberangriffen ist die Hauptaufgabe eines praktischen Bedrohungsanalyseprogramms.

Um dieses Ziel zu erreichen, ist ein proaktiver Ansatz erforderlich, der Antworten auf wichtige Fragen wie die folgenden gibt: Welche Bedrohungsakteure sind am ehesten in der Lage, meiner Organisation Schaden zuzufügen? Was sind ihre Beweggründe, Ziele und Fähigkeiten? Wie verhalten sie sich, und welche Cyberwaffen setzen sie ein, um ihre Ziele zu erreichen? Und, was am wichtigsten ist, welche Gegenmaßnahmen kann ich ergreifen, um die Cyberverteidigungsfähigkeiten meines Unternehmens zu verbessern?

Unser Team ist stolz darauf, unseren ersten BlackBerry Cybersecurity Global Threat Intelligence Report zu veröffentlichen. Ziel dieses Berichts ist es, verwertbare Informationen über gezielte Angriffe, durch Cyberkriminalität motivierte Bedrohungsakteure und Kampagnen, die auf Organisationen wie die Ihre abzielen, bereitzustellen, damit Sie gut informierte Entscheidungen treffen und umgehend wirksame Maßnahmen ergreifen können.

In dieser ersten Ausgabe finden Sie Berichte von einigen der besten Bedrohungsforscher und -analysten des BlackBerry Threat Research and Intelligence-Teams, Experten von Weltrang, die sich nicht nur mit technischen Bedrohungen auskennen, sondern auch mit lokalen und globalen geopolitischen Entwicklungen und deren Auswirkungen auf die Bedrohungsmodelle von Unternehmen in jeder Region. Zur Erstellung dieses Berichts (der die 90 Tage zwischen dem 1. September und dem 30. November 2022 abdeckt) nutzte das Team Daten und Telemetriedaten, die von unseren eigenen, auf künstlicher Intelligenz (AI) basierenden Produkten und Analysefunktionen stammen und durch andere öffentliche und private Informationsquellen ergänzt werden.

Einige der Forschungsschwerpunkte in diesem Bericht sind:

• 90 Tage in Zahlen. Ein statistischer Überblick über den 90-tägigen Berichtszeitraum, einschließlich der Anzahl der einzelnen Malware-Samples, die BlackBerry daran gehindert hat, unsere Kunden zu schädigen, sowie die geografische Verteilung dieser Angriffe. Hier eine Vorschau: Unsere Technologie stoppte im Durchschnitt 62 neue bösartige Muster pro Stunde, also etwa ein neues Muster pro Minute.

• Häufigste Waffen. Informationen über die gängigsten Waffen, die bei Cyberangriffen eingesetzt werden, einschließlich des Wiederauftretens bösartiger Loader wie Emotet, der umfangreichen Präsenz von Qakbot in der Cyberbedrohungslandschaft und der Zunahme von Downloadern wie GuLoader.

• Fernzugriff erhöht die Zahl der Infodiebe. Mit der postpandemischen Zunahme von Remote- und Hybridarbeit ist die Notwendigkeit, von außen auf interne Netzwerke zuzugreifen, weit verbreitet. Angreifer nutzen die neuen Möglichkeiten des Remote-Zugriffs, indem sie Informationsdiebe (Infostealer) einsetzen, um Anmeldeinformationen von Unternehmen zu stehlen und sie auf dem Schwarzmarkt zu verkaufen. In unserem Bericht werden einige der gängigsten und am weitesten verbreiteten Infostealer beschrieben, die wir in diesem Zeitraum eingesetzt haben.

• Keine Plattform ist "sicher". Bedrohungsakteure haben mehrere Strategien, um verschiedene Server-, Desktop- und Mobilplattformen ins Visier zu nehmen. Entgegen der vorherrschenden Meinung ist zum Beispiel macOS keine "sichere" Plattform: macOS-Malware und -Schwachstellen gibt es zuhauf. Weitere Themen sind Trends wie die zunehmende Zahl von Angriffen auf Linux-Plattformen, die Verwendung von weniger verbreiteten Programmiersprachen wie GoLang zur Entwicklung plattformübergreifender Malware sowie eine eingehende Analyse von Bedrohungen für mobile Geräte mit Android und iOS.

• Einzigartige Branchenperspektive. Aufgrund unserer starken Präsenz sowohl in der Cybersicherheits- als auch in der Internet-of-Things (IoT)-Branche ist BlackBerry in einer einzigartigen Position, um Bedrohungen für Branchen wie die Automobilindustrie aufzudecken, die in anderen Bedrohungsberichten nicht oft behandelt werden. Diese Ausgabe enthält Informationen über von uns beobachtete Cybersicherheitstrends, die sich auf die Automobilindustrie sowie das Gesundheitswesen und die Finanzbranche auswirken werden.

• Die wichtigsten Bedrohungsakteure und Gegenmaßnahmen. Unsere Telemetrie ergab auch die Aktivitäten vieler verschiedener Bedrohungsakteure. Der Bericht enthält Informationen über einige ihrer häufigsten Taktiken, Techniken und Verfahren (TTPs) sowie Links zu öffentlichen Listen angewandter Gegenmaßnahmen, die MITRE ATT&CK und MITRE D3FEND zugeordnet sind. Unser Ziel ist es, die Aktualisierung Ihrer organisatorischen Verteidigungsmaßnahmen und Bedrohungsmodelle auf der Grundlage dieser umsetzbaren Informationen zu erleichtern.

• Schlusswort und Ausblick. Abschließend präsentieren wir unsere Schlussfolgerungen und unsere Prognose für Cyberbedrohungen im Jahr 2023.

Ich möchte unseren globalen Spitzenforschern des BlackBerry Threat Research and Intelligence-Teams danken, die diesen Bericht möglich gemacht haben und weiterhin zahlreiche Forschungsberichte als erste auf den Markt bringen und gleichzeitig die daten- und Cylance AI -gesteuerten Produkte und Dienstleistungen von BlackBerrykontinuierlich verbessern.

Ismael Valenzuela
Vizepräsident, Bedrohungsforschung & Aufklärung bei BlackBerry

Twitter: @aboutsecurity

BlackBerry Autoren von Cybersecurity Threat Intelligence

• Dmitry Bestuzhev
• Pedro Drimel
• Jacob Faires
• Dekan gegeben
• Eoin Healy
• Geoff O'Rourke
• José Luis Sanchez

Die jahrhundertealte Automobilindustrie befindet sich mitten in einer großen technologischen Revolution. Bahnbrechende technologische Fortschritte ermöglichen die Entwicklung neuer Arten von Fahrzeugen, Systemen und Dienstleistungen. Diese digitale Transformation bietet viele Vorteile, hat aber auch neue Herausforderungen für die Cybersicherheit mit sich gebracht.

Mit der zunehmenden Vernetzung und Autonomie von Fahrzeugen werden diese potenziell anfälliger für Cyberbedrohungen und Bedrohungsakteure. Darüber hinaus sind auch die immer komplexer werdenden Fertigungssysteme, die Fahrzeuge produzieren, dem Risiko von Cyberangriffen ausgesetzt.

In den vergangenen Jahren war die Automobilbranche von groß angelegten und öffentlichkeitswirksamen Bedrohungen relativ unberührt. Böswillige Unternehmen haben jedoch begonnen, nicht nur die Automobilhersteller, sondern die gesamte Branche ins Visier zu nehmen, indem sie versuchen, den Betrieb zu stören, sensible Daten zu stehlen und die Lieferketten zu unterbrechen. Im Jahr 2022 beobachteten wir einen Anstieg sowohl der Zahl der bösartigen Organisationen, die es auf die Automobilindustrie abgesehen haben, als auch des Ausmaßes der von ihnen verursachten Störungen.

Um sich vor diesen Bedrohungen zu schützen, müssen die Unternehmen der Automobilindustrie die potenziellen Risiken erkennen, die mit einer stärker vernetzten Zukunft des Automobils einhergehen, und strenge Cybersicherheitsmaßnahmen zum Schutz von Fahrzeugen und Fahrern einführen.

Aufgrund ihrer globalen Ausdehnung gibt es in der Automobilindustrie eine immense Anzahl von Endpunkten, die überwacht und geschützt werden müssen. Sie umfasst jede Organisation in der Wertschöpfungskette, von Unternehmen, die Rohmaterialien beziehen, bis hin zu Autohäusern und Autobesitzern. Die riesige digitale Angriffsfläche dieser komplexen Lieferkette muss gesichert werden, um den Betrieb dieses wichtigen globalen Unternehmens aufrechtzuerhalten.

Die Angriffe zwischen dem 1. September und dem 30. November 2022 reichten von ausgeklügeltem Spearphishing bis hin zu handelsüblichem Malspam, was darauf hindeutet, dass die Automobilindustrie ständig sowohl von fortgeschrittenen als auch von unerfahrenen Cyber-Angreifern angegriffen wird.

Malware-Downloader kommen bei fast allen Arten von Cyberangriffen vor und können sich in Aussehen, Dateityp und relativer Raffinesse der Techniken unterscheiden, mit denen sie in Systeme eindringen. Täuschende Bedrohungsakteure überreden ahnungslose Opfer, den Downloader als ersten Teil eines Cyberangriffs zu installieren. Sobald der Code ausgeführt wird, installieren Downloader zusätzlichen bösartigen Code und Nutzdaten, um weitreichendere Cyberangriffe durchzuführen.

GuLoader ist ein Paradebeispiel für einen Downloader, der in diesem Berichtszeitraum auf die Automobilindustrie abzielte. Die Malware wurde erstmals im Jahr 2019 identifiziert und entwickelt sich ständig weiter. GuLoader gibt sich oft als legitime digitale Dokumente oder ausführbare Dateien aus, bevor er andere Commodity-Malware herunterlädt.

Die wertvollen und oft geschützten Daten der Automobilindustrie machen die Branche zu einem bevorzugten Ziel für Cyber-Diebe. Diese Daten sind eine Ware, die oft wertvoller sein kann als die Fahrzeuge selbst.

Malware-Infostealer sind eine Art von Schadcode, der Daten aus dem System eines Opfers ausspäht und illegal exfiltriert, um sie für finanzielle und/oder taktische Ziele zu nutzen. Infostealer können in Verbindung mit RATs wie Remcos als Standard-Malware verwendet werden, die oft als Service für andere Bedrohungsakteure verkauft wird, um böswilligen Zugriff auf und Kontrolle über Opfersysteme zu erhalten.

Ransomware ist der Alptraum eines jeden Sicherheitsteams, und Bedrohungsakteure wissen, dass Ransomware, die auf die Lieferketten der Industrie abzielt, verheerende Folgen haben kann. In der Automobilindustrie könnte ein Ransomware-Angriff in jeder Phase der Lieferkette die Produktion oder den Vertrieb stoppen, was zu Umsatz- und Reputationsverlusten im gesamten Ökosystem der Branche führt.

BlackCat Ransomware wurde bei einigen der berüchtigten Ransomware-Angriffe im Jahr 2022 beobachtet. Die Cyberkriminellen, die diese spezielle Ransomware einsetzen, scheinen vor allem finanziell motiviert zu sein und haben es vor allem auf das produzierende Gewerbe abgesehen, wobei sie häufig kleine bis mittlere Unternehmen angreifen. BlackCat-Ransomware infiltriert eine Umgebung, exfiltriert wertvolle Daten und verschlüsselt dann die angeschlossenen Systeme.

ALPVH (die Bedrohungsgruppe, die hinter der BlackCat-Ransomware steckt) nutzt häufig doppelte Erpressungsmethoden, indem sie die Daten der Opfer über ihre Leak-Site (eine Website, auf der gestohlene private und potenziell sensible Dokumente gehostet werden) veröffentlicht. Ihr Ziel ist es, die betroffene Organisation zur Zahlung des Lösegelds zu zwingen, indem sie sich die Angst zunutze machen, dass noch wertvollere Daten veröffentlicht oder an Konkurrenten verkauft ^werdenxvi.

Bei Anwendungen mit doppeltem Verwendungszweck handelt es sich in der Regel um legitime Tools und Software, die Merkmale oder Funktionen bieten, die von Bedrohungsakteuren potenziell missbraucht werden können. Der Begriff "living off the land" (LotL) beschreibt die Handlungen von Bedrohungsakteuren, die legitime Tools zur Umgehung von Sicherheitssystemen und zur Vermeidung einer Entdeckung missbrauchen.

Bedrohungsakteure verlassen sich zunehmend auf Dual-Use-Tools anstelle von bösartigem Code, um sich in einer Umgebung zu verbreiten, wertvolle Daten zu exfiltrieren oder sogar Malware als "erlaubtes" Tool einzusetzen. Systemadministratoren sollten alle Dual-Use-Tools entfernen, für die es keine gültigen Anwendungsfälle oder geschäftlichen Rechtfertigungen gibt.

Sowohl die Pandemie als auch die russische Invasion in der Ukraine haben gezeigt, dass die Lieferketten anfällig sind. Die Automobilindustrie ist nicht immun gegen Verzögerungen, Engpässe und Unterbrechungen, denen andere Branchen ausgesetzt sind.

Angesichts der Komplexität der Branche verlassen sich viele Unternehmen auf eine Just-in-Time (JIT)-Lieferkettenstrategie, um ihr riesiges Ökosystem aus Anbietern, Teilen und Herstellern aufrechtzuerhalten, wodurch eine extrem große Angriffsfläche entsteht, die von Bedrohungsakteuren ausgenutzt werden kann. Das Kennzeichen der JIT-Strategie ist, dass Produkte erst dann hergestellt werden, wenn sie benötigt werden. Folglich kann die Produktion verlangsamt oder gestoppt werden, wenn benötigte Komponenten und Materialien nicht sofort verfügbar sind. Infolgedessen kann ein Cyberangriff innerhalb der Lieferkette die Automobilproduktion effektiv stoppen.

Anstatt direkt auf die Automobilhersteller zu zielen, die möglicherweise stark gegen Eindringlinge geschützt sind, könnten böswillige Angreifer stattdessen die verschiedenen Zulieferer angreifen, insbesondere diejenigen, die über weniger Cybersicherheit verfügen. So führten beispielsweise im März 2022 kompromittierte Dateisysteme bei Kunststoff- und Elektroniklieferanten zu Produktionsverzögerungen bei schätzungsweise 13.000 Fahrzeugen eines japanischen Automobilherstellers. Nach Angaben eines von Automotive News Europe zitierten Sprechers umfasst die Lieferkette des Automobilherstellers 60.000 Unternehmen auf vier ^Ebenenxxvii. Cyberangriffe in einer Lieferkette dieser Größenordnung können sich potenziell auf die Fähigkeit anderer Unternehmen auswirken, benötigte Teile und Materialien zu erhalten.

Die Gesundheitsbranche sieht sich mit einer zunehmenden Zahl von Cyberbedrohungen konfrontiert, da Bedrohungsakteure es auf die höchst vertraulichen Daten und wertvollen Informationen von Gesundheitseinrichtungen abgesehen haben. Dies ist ein wichtiges Problem für Gesundheitsdienstleister, da ein erfolgreicher Cyberangriff schwerwiegende Folgen haben kann, einschließlich des Verlusts oder der Veröffentlichung sensibler Patientendaten, finanzieller Verluste und sogar direkter physischer Schäden für Patienten. Das Gesundheitswesen ist aufgrund einer Kombination von Faktoren besonders anfällig für diese Bedrohungen. Dazu gehören der weit verbreitete Einsatz von Medizintechnik mit einer langen Lebensdauer, die komplexe und oft vernetzte Natur der Gesundheitssysteme und die riesigen Mengen an sensiblen Daten, die routinemäßig erfasst und gespeichert werden. Es ist unerlässlich, dass Gesundheitsdienstleister die Gefahren der aktuellen Cyber-Bedrohungslandschaft verstehen und sich und ihre Patienten proaktiv vor potenziellen Schäden schützen.

Insgesamt stellt Ransomware immer noch die größte Bedrohung für das Gesundheitswesen dar, und Bedrohungsgruppen, die sich auf Ransomware stützen, zielen immer noch sehr aktiv darauf ab, wie der Ransomware-Angriff auf CommonSpirit Health im Oktober zeigt, bei dem Daten von mehr als 600.000 Patienten kompromittiert ^wurdenxxix. In der Vergangenheit gaben einige RaaS-Gruppen wie Maze an, dass sie keine Krankenhäuser angreifen würden, aber solche Versprechen können nicht garantiert werden. Angesichts der Vielfalt mehrerer RaaS-Gruppen und der Verbreitung von Partnerschaftsmodellen ist die Gruppe, die einen Angriff ausführt, möglicherweise nicht dieselbe Gruppe, die die Malware entwickelt hat, was die Rückverfolgung und Zuordnung erschwert.

Unseren Telemetriedaten zufolge stoppten die Lösungen von Cylance Endpoint Security in diesem Berichtszeitraum 7.748 einzelne Malware-Samples, die auf das Gesundheitswesen abzielten, was einem Durchschnitt von mehr als 80 einzelnen Malware-Samples pro Tag entspricht. Der beliebteste Trojaner war Qakbot, der seit mindestens 2012 von Cyberkriminellen eingesetzt wird und ein hohes Risiko für das Gesundheitswesen darstellt. Im Jahr 2022 wurde Qakbot hauptsächlich von Partnern verwendet, die die Ransomware Black Basta einsetzen. Da Emotet nach seiner kürzlichen viermonatigen Abschaltung nicht mehr viele Kampagnen durchführte und TrickBot sich mehr auf die Verbesserung seiner Bumblebee-Malware zu konzentrieren scheint, glauben wir, dass Qakbot weiterhin der aktivste Trojaner ist, der RaaS-Affiliates und IABs den Zugang zum Gesundheitsnetzwerk erleichtert.

Meterpreter (eine Metasploit-Nutzlast, die eine interaktive Shell für den Angreifer bereitstellt) und BloodHound waren in diesem Zeitraum ebenfalls aktiv. Wir entdeckten einen Angriff, bei dem Meterpreter zusammen mit der Ausführung von SharpHound verwendet wurde, einem Collector für BloodHound, der üblicherweise für laterale Bewegungen innerhalb eines Netzwerks nach einem Angriff verwendet wird. Die Cybersecurity and Infrastructure Security Agency (CISA) empfiehlt Netzwerk- und Systemadministratoren, BloodHound absichtlich selbst auszuführen, um mögliche Angriffspfade in ihren Umgebungen zu ^verstehenxxx.

Wir haben auch beobachtet, dass TinyNuke den Netwire-RAT abwirft. Ursprünglich ein Banking-Trojaner mit ähnlichen Funktionen wie ZeuS, ist TinyNuke ein vollwertiger Trojaner, der die VNC-Server-Gerätekontrolle und Reverse-SOCKS-Funktionalität beinhaltet. TinyNuke wurde auch von der Kimsuky ^Groupxxxi verwendet und der Demokratischen Volksrepublik Korea (DPRK) zugeschrieben. Bei der Untersuchung dieses Angriffs stellten wir fest, dass TinyNuke das Netwire RAT herunterlädt und ausführt und eine Verbindung zu einer auf DuckDNS gehosteten Domäne herstellt, die üblicherweise von RATs verwendet wird.

BlackBerry Die Forscher fanden auch einen Fall, in dem ein unbekannter Bedrohungsakteur das PlugX RAT einsetzte, das häufig von mehreren nationalstaatlichen Bedrohungsakteuren wie Mustang Panda verwendet wird (mehr dazu in unserem öffentlichen Bericht). Und obwohl wir keine Infostealer wie Redline und Raccoon gesehen haben, die speziell auf das Gesundheitswesen abzielen, sind wir auf eine Instanz von GuLoader gestoßen, einem Downloader, der von Cyberkriminellen häufig zur Verbreitung von Infostealern verwendet wird.

Die Finanzbranche ist seit jeher das Ziel von Cyberkriminellen und nationalen Bedrohungsakteuren, die in Gebieten ansässig sind, die von Finanzsanktionen betroffen sind. Während des 90-tägigen Berichtszeitraums stoppten die Lösungen von Cylance Endpoint Security 9.721 einzelne Malware-Samples, die sich gegen Ziele in der Finanzbranche richteten, wobei durchschnittlich etwa 108 einzelne bösartige Samples pro Tag identifiziert wurden.

Verschiedene Bedrohungsakteure, darunter auch staatliche Akteure, haben sich auf kommerzielle Penetrationstests (Pen-Testing) wie Cobalt Strike und andere verlassen, um die Grenze zwischen Cyberkriminellen und legitimen Testaktivitäten zu verwischen. Diese Verwirrung gibt Cyberkriminellen mehr Zeit, um in einem Netzwerk zu operieren, nachdem sie sich Zugang verschafft haben. Im Jahr 2022 wurden wir Zeuge mehrerer Vorfälle, bei denen kommerzielle Software zur Simulation von Angreifern, darunter Cobalt Strike und Pen-Testing-Software wie Metasploit, Mimikatz und Brute Ratel, in Finanzinstituten eingesetzt wurde. Brute Ratel ist ein Tool zur Simulation von Angriffen, und Mimikatz wird sowohl von Angreifern als auch von Sicherheitsexperten verwendet, um vertrauliche Informationen wie Passwörter und Anmeldedaten aus dem Speicher eines Systems zu extrahieren. Derzeit ist nicht bekannt, ob Mimikatz und Brute Ratel im Rahmen legitimer Pen-Tests eingesetzt wurden oder ob es sich um echte Angriffe handelte.

Neben anderen Top-Bedrohungen haben wir Infostealer für den Erstzugang wie Redline Stealer gestoppt. Es ist allgemein bekannt, dass Tools für den Erstzugang sehr gefragt sind, da sie Zugang zu den Netzwerken der Opfer verschaffen, der dann verkauft werden kann. Viele Bedrohungsakteure, darunter auch die Lapsus$-Gruppe, verlassen sich auf Infostealer, um Zugang zu Unternehmen zu erhalten. (Die Lapsus$-Gruppe ist eine internationale, auf Erpressung ausgerichtete Bedrohungsgruppe, die für zahlreiche Cyberangriffe auf Unternehmen und Regierungsbehörden bekannt ist).

Cylance Endpoint Security-Lösungen haben auch verschiedene Angriffe im Zusammenhang mit Krypto-Mining und Angriffen auf Linux-Ökosysteme abgewehrt, die aufgrund der im Vergleich zur Windows-Welt relativ geringen Sichtbarkeit attraktive Ziele sind. Ein Beispiel ist die Backdoor Rekoobe, ein Linux-Trojaner, der seit mindestens sieben Jahren weltweit aktiv auf Opfer ^abzieltxxxii.

Zwischen dem 1. September und dem 30. November 2022 hat das Team von BlackBerry Threat Research and Intelligence die neuesten Informationen über die weltweite Cyberbedrohungslage verfolgt, aufgedeckt, recherchiert und veröffentlicht. Die Weltwirtschaft erholt sich noch immer von den Folgen der COVID-19-Pandemie, und die aktuellen geopolitischen Ereignisse in Osteuropa und die Ost-West-Beziehungen sind weiterhin unsicher. Diese Faktoren bilden einen fruchtbaren Boden für Bedrohungsakteure, die sowohl politisch motivierte als auch finanzielle Angriffe versuchen.

In diesem Quartal sahen wir APT-Gruppen mit staatlicher Beteiligung, finanziell motivierte Ransomware-Banden und viele andere Bedrohungsakteure aller Größen, Fähigkeiten und Motivationen, die mehrere Kampagnen durchführten. Nachfolgend finden Sie eine Auswahl der folgenreichsten Angriffe in der globalen Landschaft sowie unsere eigenen wichtigsten Funde des Quartals.

DJVU-Ransomware tarnt sich als legitime Dienste oder Anwendungen und wird oft mit Täuschungsdateien gebündelt, um harmlos zu erscheinen. Die DJVU-Ransomware ist eine Weiterentwicklung der berüchtigten STOP-Ransomware und hat seit ihrer Entstehung im Jahr 2018 viele Variationen erlebt. Die Ransomware verwendet für ihre Verschlüsselungsroutine die kryptografische Stromchiffre Salsa20. Nachdem sie zahlreiche Anti-Analyse- und Anti-Sandbox-Prüfungen durchgeführt hat, um zu bestätigen, dass sie auf einem echten System ausgeführt wird, verschlüsselt die Malware mehrere Dateitypen, bevor sie eine Lösegeldforderung mit Anweisungen für das Opfer zur Wiederherstellung seiner Dateien erstellt. Die Bedrohung wurde vor kurzem sogar noch schädlicher, als die Bedrohungsakteure der Ransomware Downloader-Funktionen für die Vorverschlüsselung hinzufügten.

In diesem Quartal hat DJVU Infostealer-Malware heruntergeladen und verteilt, offensichtlich in Zusammenarbeit mit den Bedrohungsgruppen, die hinter den Arkei-Varianten Vidar Stealer und Redline Stealer stecken.

Anfang Oktober haben wir die Ergebnisse einer mehrmonatigen Verfolgung der APT-Gruppe Mustang Panda veröffentlicht. Diese Gruppe, die auch als Bronze President, Red Delta und Honeymyte bekannt ist, wird öffentlich China zugeschrieben.

Während unserer Untersuchung haben wir eine Kampagne aufgedeckt, die auf Myanmar abzielte. Die Kampagne gab sich als populäre myanmarische Nachrichtenagenturen aus und zielte auf mehrere Einrichtungen ab, darunter ein staatliches VPN-Portal. Der Infektionsvektor in dieser Kampagne verwendete Phishing-Köder mit bösartigen Anhängen, die die Benutzer dazu verleiten, sie auszuführen, was den Angreifern ermöglicht, auf dem System Fuß zu fassen.

Die Ausführungskette enthielt mehrere Komponenten, darunter ein legitimes, gutartiges Dienstprogramm, das für das Hijacking der DLL-Suchreihenfolge anfällig ist, sowie einen bösartigen DLL-Loader und eine verschlüsselte DAT-Nutzlast. Nachdem der bösartige DLL-Loader sideloaded wurde, wird eine PlugX-Nutzlast in den Speicher geladen. Der Infektionsvektor, die Ausführungskette, die Verwendung von PlugX und die allgemeinen TTPs entsprechen der bewährten Kampagnenmethodik von Mustang Panda.

BianLian ist eine extrem schnell agierende Ransomware, die in der Programmiersprache Go (GoLang) geschrieben wurde. In diesem Whitepaperhaben wir die derzeitige Zunahme der böswilligen Nutzung von weniger verbreiteten Sprachen wie GoLang vorausgesagt. Bedrohungsakteure erkennen das Potenzial dieser Sprachen für die Erstellung von Malware, insbesondere von maßgeschneiderter Ransomware. GoLang bietet eine besonders robuste Unterstützung für Gleichzeitigkeit, die Angriffe beschleunigen kann, da mehrere bösartige Funktionen unabhängig voneinander zur gleichen Zeit ausgeführt werden können.

BianLian ist eine relativ neue Bedrohung, die es auf eine Vielzahl von Branchen abgesehen hat. Die Gruppe hinter der Malware scheint rein finanziell motiviert zu sein, und die Angriffe im Zusammenhang mit BianLian hielten bis Ende 2022 an. Die Gruppe scheint die Systeme und Netzwerke, auf die sie zugreift, stark auszunutzen. Ihre typische Einsatzmethode ist die manuelle Infiltration von Systemen, um einen ersten Zugang zu erhalten, gefolgt vom Missbrauch von LOLBins zur Erkundung der Netzwerke und Systeme. Nachdem sie diese Informationen gesammelt haben, setzen sie ihre Ransomware ein, um finanziellen Gewinn zu erzielen.

Im Oktober entdeckte BlackBerry das bisher unbekannte RomCom RAT, das auf ukrainische Militäreinrichtungen abzielt. Derselbe Bedrohungsakteur war dafür bekannt, gefälschte Versionen der beliebten Advanced IP Scanner-Software einzusetzen, bevor er seine Bemühungen auf PDF Filler (eine weitere beliebte Anwendung) verlagerte und diese Exploits möglicherweise selbst entwickelt hat.

Das RomCom RAT versucht, die Kontrolle über die betroffenen Geräte zu übernehmen. Der erste Infektionsvektor, den wir beobachteten, war eine E-Mail mit einem eingebetteten Link zu einem gefälschten ukrainischen Dokument namens Наказ_309.pdf (Order_309.pdf auf Englisch), das den Downloader der nächsten Stufe abwarf.

Während des Berichtszeitraums wurde beobachtet, dass dieser Bedrohungsakteur aktiv neue Techniken entwickelt, die auf Opfer in aller Welt abzielen.

Nach einer Reihe von Angriffen auf die Ukraine startete dieselbe Gruppe neue Angriffskampagnen, die sich beliebte Software-Marken zunutze machten. Das BlackBerry Threat Research and Intelligence Team entdeckte die Kampagnen bei der Analyse von Netzwerkartefakten, die bei unseren früheren Untersuchungen zu RomCom RAT identifiziert wurden.

Unsere Forscher fanden heraus, dass sich die Bedrohungsakteure in ihren Kampagnen als SolarWinds Network Performance Monitor, KeePass Open-Source Password Manager und PDF Reader Pro ausgaben. Die Kampagnen nutzten diese legitimen Unternehmen als Fassade und entwarfen gefälschte Websites, die die echten nachahmen, um die Opfer zum Herunterladen der Remcos RAT-Malware zu verleiten. Der RomCom-Bedrohungsakteur hat weiterhin aktiv neue Kampagnen durchgeführt, die auf Opfer in der Ukraine abzielen, und könnte in seiner jüngsten Angriffsserie auf englischsprachige Ziele weltweit expandieren.

Das BlackBerry Threat Investigation Team hat die ARCrypter-Ransomware-Familie das ganze Jahr 2022 über beobachtet. Im August wurde eine unbekannte Variante ( BlackBerry ) mit dem Namen ARCrypter entdeckt, die auf lateinamerikanische Einrichtungen abzielt. INVIMA (Kolumbiens Nationales Lebensmittel- und Arzneimittelüberwachungsinstitut) wurde im Oktober aufgrund eines gemeldeten Cyberangriffs vorübergehend ^{abgeschaltetxxxvi}.

Im Rahmen unserer Suche nach Bedrohungen identifizierte BlackBerry weitere Muster, die für diese Ransomware von Interesse sind. Angesichts des Zeitrahmens des Angriffs und des Inhalts der Lösegeldforderung, in der INVIMA erwähnt wird, kamen wir mit hoher Sicherheit zu dem Schluss, dass die ARCrypter-Ransomware bei dem INVIMA-Cyberangriff verwendet wurde. Durch weitere Nachforschungen konnten wir zwei Dateisätze aufdecken: einen zusätzlichen Malware-Dropper und einen Dateiverschlüsseler.

Im Dezember entdeckte unsere kontinuierliche Überwachung von Mustang Panda eine Kampagne, die auf Unternehmen in mehreren Ländern und Kontinenten abzielte.

Diese Kampagne stützte sich auf thematische Köder (wie eine Datei mit dem Titel "Political Guidance for the New EU Approach Towards Russia.rar"), die sich auf aktuelle geopolitische Ereignisse bezogen. Der Köder enthielt ein Täuschungsdokument und eine LNK-Datei, die der gleichen Namenskonvention folgte wie die RAR-Datei des Köders. Zu den weiteren Komponenten gehörten legitime Dienstprogramme, die für die Entführung von DLL-Suchaufträgen anfällig sind, bösartige DLL-Lader und DAT-Nutzdaten, die Komponenten ähneln, die die Gruppe in der Vergangenheit verwendet hat.

Das Ziel der Ausführungskette ist es, eine PlugX-Nutzlast in den Speicher des Hostsystems zu übertragen, die den kompromittierten Hosts vollständige Fernzugriffsmöglichkeiten bietet.

Obwohl die zentrale Ausführungskette und die TTPs dieser Kampagne bereits bekannt waren, wiesen diese Angriffe subtile Änderungen auf, einschließlich einer kleinen Änderung im Ausführungsablauf, so dass die Funktion EnumSystemCodePagesW anstelle von EnumThreadWindows für die Ausführung von Shellcode verwendet wurde. Diese bescheidene Änderung erforderte Anpassungen der Abwehrmaßnahmen und Gegenmaßnahmen, um einen möglichst wirksamen Schutz zu gewährleisten.

Durch Abzweigung eines eindeutigen Domain-SSL-Zertifikats konnten wir 15 weitere IP-Adressen aufdecken, von denen fünf C2-Server für die Mustang-Panda-Gruppe waren, die ähnliche Dateien, die derselben Angriffskette und denselben TTPs entsprechen, an weitere Standorte und Opfer weiterleiten.

Die globale Reichweite der Kampagnen deutet darauf hin, dass die Gruppe über mächtige Ressourcen und Fähigkeiten verfügt. Wir gehen davon aus, dass dies nicht ihr letzter Angriff sein wird.

Das vergangene Quartal (und das Jahr 2022 im Allgemeinen) hat wichtige Trends im Bereich der Cybersicherheit aufgezeigt, die sich wahrscheinlich im Jahr 2023 und darüber hinaus fortsetzen werden. Die Zahl der politisch motivierten Bedrohungsakteure nimmt weiter zu. Zu den Bedrohungen gehören die Verbreitung von Fehlinformationen und Desinformationen über Fake-News-Websites, die Verfolgung der Handlungen und des Verhaltens von Journalisten und Dissidenten sowie versuchte direkte Angriffe auf Regierungs- und Militäreinrichtungen.

Die Bedrohungsakteure setzten eine Reihe von Methoden ein, darunter neu identifizierte Tools und Techniken sowie Modifikationen bestehender Tools, die es ihnen ermöglichen, sich der Erkennung besser zu entziehen. Die Zunahme gezielter Angriffe in der Automobil-, Gesundheits- und Finanzbranche wirft ein grelles Licht auf die dringende Notwendigkeit, die ausgedehnten und anfälligen Bedrohungsoberflächen dieser Branchen zu schützen.

Um Ihr Unternehmen vor Malware und Cyberangriffen zu schützen, müssen Sie genau wissen, wie Bedrohungsakteure Ihre Branche ins Visier nehmen, welche Tools sie verwenden und welche Motive sie möglicherweise verfolgen. Dieses detaillierte Wissen liefert kontextbezogene, vorausschauende und umsetzbare Informationen über Cyberbedrohungen, die die Auswirkungen von Bedrohungen auf Ihr Unternehmen verringern können.

• Neben der finanziellen Motivation haben es immer mehr Bedrohungsakteure auf der Grundlage wirtschaftlicher, geopolitischer und gesellschaftlicher Umstände auf individuelle und institutionelle Opfer abgesehen. Verteidiger müssen proaktiv die möglichen Auswirkungen wirtschaftlicher und politischer Entwicklungen auf die Cybersicherheit berücksichtigen.
• Bedrohungsakteure verwenden zunehmend weniger verbreitete oder exotische Programmiersprachen wie GoLang und Rust, um neue Malware zu entwickeln. Bedrohungsjäger müssen wachsam bleiben und lernen, wie sich die Verwendung neuer Programmiersprachen in Angriffen manifestieren kann. Da GoLang plattformübergreifende Kodierung unterstützt, könnten in Zukunft mehr Angriffe auf Linux und macOS erfolgen.
• Ein breiterer Zugang zu Tools für den Erstzugriff führte 2022 zu größeren Vorfällen, ebenso wie die Verfügbarkeit von Ransomware als verwalteter Dienst für Gruppen, die nicht über ausreichende technische Fähigkeiten zur Erstellung eigener Malware verfügen. Infolgedessen nahm die Nutzung von Ransomware durch nationalstaatliche Akteure zu.
• Die Automobilindustrie war im Jahr 2022 stark von einer Vielzahl von Cyberangriffen betroffen. Die Kompromittierung großer Hersteller und Zulieferer der Branche führte zum Stillstand zahlreicher Produktionslinien. Diese Reihe von Angriffen wird sich wahrscheinlich auch 2023 fortsetzen.
• Angriffe auf die Lieferkette, bei denen legitime Anwendungen zur Übermittlung bösartiger Nutzdaten missbraucht werden, können durch die Implementierung von Zero-Trust-Richtlinien, die eine kontinuierliche Authentifizierung und Autorisierung für den Zugriff auf Netzwerke und Anwendungen erfordern, abgeschwächt und sogar verhindert werden.

• Ein wesentliches Merkmal der russischen Invasion in der Ukraine waren bisher Cyberangriffe auf die ukrainische militärische und zivile Infrastruktur. Wenn die Feindseligkeiten andauern, wird sich dieses Muster der gezielten Cyberangriffe wahrscheinlich wiederholen.
• Ransomware-Operationen, die auf Krankenhäuser und medizinische Einrichtungen abzielen, werden fortgesetzt, insbesondere in Ländern, die die Ukraine unterstützen oder finanzieren.
• Cyberangriffe auf kritische Infrastrukturen werden weitergehen. AI könnte zunehmend nicht nur für die Automatisierung von Angriffen, sondern auch für die Entwicklung fortgeschrittener Deepfake-Angriffe genutzt werden.
• Angriffe auf europäische Finanzinstitute, wie der Angriff auf Revolut (ein beliebtes Fintech-Unternehmen und eine App) mit Sitz in Großbritannien im September 2022, bei dem mehr als 50.000 Kundendatensätze kompromittiert wurden, könnten ebenfalls weitergehen.
• In Nord- und Südamerika erwarten wir eine explosionsartige Zunahme kommerzieller Spyware-Angriffe auf Mobilgeräte. Wir gehen davon aus, dass Bedrohungsakteure in Brasilien ihre Trojaner-Banking-Angriffe von Desktop-Systemen auf mobile Geräte ausweiten und weiterhin Opfer in Lateinamerika ins Visier nehmen werden. Tatsächlich wurde im Dezember 2022 die ^{BrasDex-Malware-Familiexxxix} entdeckt, die speziell auf brasilianische Banken abzielt, darunter auch auf PIX, ein Zahlungssystem, das dem US-amerikanischen Zelle ähnelt.
• Angriffe auf Linux-Systeme werden möglicherweise weiterhin unter dem Radar bleiben, insbesondere solche, die Systeme virtualisieren, Ransomware einschleusen und Backdoors auf den Zielsystemen installieren.
• Wir erwarten mehr gezielte Angriffe auf Cloud-Infrastrukturen in allen Branchen, da Bedrohungsakteure versuchen, mehr Einblick in die Organisationen zu erhalten, die sie zu untergraben oder aus denen sie Profit schlagen wollen.

©2023 BlackBerry Limited. Marken, einschließlich, aber nicht beschränkt auf BLACKBERRY, EMBLEM Design und CYLANCE sind Marken oder eingetragene Marken von BlackBerry Limited, seinen Tochtergesellschaften und/oder verbundenen Unternehmen, die unter Lizenz verwendet werden, und die exklusiven Rechte an diesen Marken sind ausdrücklich vorbehalten. Alle anderen Marken sind Eigentum der jeweiligen Inhaber. BlackBerry ist nicht verantwortlich für Produkte oder Dienstleistungen Dritter. Dieses Dokument darf ohne die ausdrückliche schriftliche Genehmigung von BlackBerry Limited weder ganz noch teilweise geändert, reproduziert, übertragen oder kopiert werden.

Haftungsausschluss: Die in diesem Bericht enthaltenen Informationen sind ausschließlich für Bildungszwecke bestimmt. BlackBerry übernimmt keine Garantie oder Verantwortung für die Richtigkeit, Vollständigkeit und Verlässlichkeit von Aussagen oder Untersuchungen Dritter, auf die hier Bezug genommen wird. Die in diesem Bericht enthaltenen Analysen spiegeln den aktuellen Kenntnisstand unserer Analysten wider und können sich ändern, wenn uns zusätzliche Informationen bekannt werden. Die Leser sind selbst dafür verantwortlich, diese Informationen mit der gebotenen Sorgfalt auf ihr privates und berufliches Leben anzuwenden. BlackBerry duldet keinen böswilligen Gebrauch oder Missbrauch der in diesem Bericht enthaltenen Informationen.