Großes Bedrohungspotenzial durch „Shamoon 2“-Attacken

Die Disttrack-Malware

Die jüngste Untersuchung durch Palo Alto Networks bringen mehr Details zur Methode ans Licht, mit der die Akteure die Disttrack-Nutzlast auslieferten. So haben die Malware-Experten festgestellt, dass eine Kombination aus legitimen Tools und Batch-Skripten zum Einsatz kommt, um die Disttrack-Nutzlast auf Host-Namen zu implementieren, von denen die Angreifer wissen, dass sie im Zielnetzwerk existieren.

Die Analyse zeigt, dass die Angreifer wahrscheinlich die Liste bekannter Host-Namen direkt aus dem Active Directory gezogen oder während ihrer Aufklärungsaktivitäten im Netzwerk aus einem kompromittierten Host zusammengestellt haben. Die Aufklärung erfolgte zusammen mit dem Diebstahl von Zugangsdaten, die benötigt werden, um die Disttrack-Nutzlast mit legitimen Benutzernamen und Passwort-Anmeldeinformationen zu kodieren. Dies führte die Forscher zu der Annahme, dass es sehr wahrscheinlich ist, dass die Angreifer vor den eigentlichen „Shamoon 2“-Angriffen bereits Zugang zu den ins Visier genommenen Netzwerken hatten. Die Forschungserkenntnisse bestätigen zudem, dass ein erfolgreicher Diebstahl von Zugangsdaten ein integraler Bestandteil der Angriffe war, um Fernzugriff und eine seitliche Bewegung im fremden Netzwerk zu ermöglichen.

Die Analyse zeigt auch, dass ein Akteur Disttrack innerhalb des Zielnetzes verteilt, indem er zunächst ein System kompromittiert, das dann als Disttrack-Verteilungsserver in diesem Netzwerk verwendet wird. Der Akteur verwendet dann diesen Server, um andere Systeme im Netzwerk zu kompromittieren, indem er den Host-Namen verwendet, um die Disttrack-Malware zu kopieren und auszuführen. Auf jedem dieser Systeme, die erfolgreich kompromittiert werden, wird die Disttrack-Malware versuchen, sich auf 256 zusätzliche IP-Adressen im lokalen Netzwerk weiterzuverbreiten. Dieses effektive Verteilungssystem ermöglicht es Disttrack, sich in einer halbautomatischen Weise auf viele Systeme weiterzuverbreiten.

Verbindung zwischen „Shamoon 2“ und „Magic Hound“

Im Rahmen der Analyse hat Palo Alto Networks auch eine mögliche Verbindung zwischen der „Shamoon 2“- und der „Magic Hound“-Kampagne untersucht und Hinweise dafür gefunden. Auch wenn die Hintergründe einer bestimmten Beziehung zwischen den Angreifern noch nicht schlüssig erklärt werden können, gibt es mehrere Faktoren, die auf eine Form der Assoziation hindeuten, darunter:

1. Die aktuelle Ausrichtung auf Unternehmen im arabischen Raum.
2. Die Verwendung des gleichen Cloud-Computing-Dienstes im gleichen Klasse-C-IP-Bereich.
3. Die Verwendung von PowerShell und Meterpreter.

Wenn die „Magic Hound“-Angriffe mit dem „Shamoon“-Angriffszyklus zusammenhängen sollten, dienten sie möglicherweise als Brückenkopf, um Aufklärungen für die Gegner durchzuführen sowie Netzwerk- und Zugangsinformationen zu sammeln. Diese These wird gestützt durch die anfänglichen „Magic Hound“-Nutzlasten Pupy RAT und Meterpreter, die beide diese Art von Fähigkeiten aufweisen.

Die Akteure hinter den „Shamoon 2“-Attacken verwenden ein kompromittiertes System als Verteilungspunkt, um den Disttrack-Trojaner auf andere Systeme im Zielnetzwerk zu verbreiten. So kann sich die Disttrack-Malware noch weiter im Netzwerk vorarbeiten. Kopiert wird die Nutzlast mit einem Open-Source-Dienstprogramm namens PAExec und mehreren Batch-Skripten. Während die Akteure direkt mit dem Verteilungssystem interagieren, ermöglicht die Verwendung eines einzigen kompromittierten Systems, den Einsatz der Nutzlast zu automatisieren, um Systeme auf dem Zielnetzwerk sehr schnell zu infizieren. Auch diese Erkenntnisse deuten auf eine Beziehung zwischen den „Shamoon“- und „Magic Hound“-Angriffskampagnen.