Gastbeitrag Security Awareness

Die Wiederauferstehung des Adwind-RAT in Phishing-E-Mails

11.01.2019, München, Knowbe4 | Autor: Stu Sjouwerman

Phishing-E-Mails und Social Engineering-Hooks

Gastbeitrag von von Stu Sjouwerman, CEO bei KnowBe4

Vor zwei Jahren gab es verschiedene Veröffentlichungen über den Adwind (alias AlienSpy) Remote Access Trojaner (RAT) und nun wurde eine bestimmte Adwind-Variante, Jsocket über den Phishing Alert Button (PAB) gemeldet. Damals dominierte Ransomware die Aufmerksamkeit der Sicherheitsbranche. Die Beharrlichkeit von Adwind, einem plattformübergreifenden Malware-as-a-Service-Angebot, ist nicht zu unterschätzen, schließlich treibt es seit 2012 sein Unwesen. Nun tauchte es in den Phishing-E-Mails auf, die an Sicherheitsexperten zur Analyse geschickt wurden.

Die Antivirenabdeckung der JSocket-Varianten, reicht von bestenfalls „lückenhaft“ (5 oder 6 von 50 plus Antivirenscanner auf VirusTotal) bis fast nicht vorhanden. JSocket verfügt über fortschrittliche Funktionen, um Anti-Malware-Anwendungen herunterzufahren und zu deaktivieren. Dadurch wird jeder Virenschutz auf einer mit JSocket kompromittierten Box wahrscheinlich außer Betrieb genommen. Bösartige Akteure erhalten dadurch die vollständige Kontrolle über einen Computer im Netzwerk.

Obwohl Jsocket und andere Adwind-Varianten in den vergangenen zwei Jahren nie wirklich verschwunden sind, ist ein deutliches Wiederaufleben der von Adwind befallenen Phishing-E-Mails dennoch überraschend. Fasziniert beschlossen wir, einen genaueren Blick darauf zu werfen. Was hat sich mit Adwind, wenn überhaupt, verändert? Waren Endpunkt-Antivirenanwendungen im Umgang mit Adwind erfolgreicher? Und schließlich, hatten die Bösewichte irgendwelche Änderungen an den Social Engineering-Schemata vorgenommen, die in den Phishing-E-Mails eingesetzt wurden?

Zweiter Wind eines RAT

Im letzten Jahr wurde ein Anstieg bei der Anzahl der Phishing-E-Mails festgestellt, die von Unternehmen mit JAR (Java)-Anhängen gemeldet wurden – ein Markenzeichen von Adwind/AlienSpy. Gelegentliche „Upticks“ bei bestimmten Bedrohungen sind nichts Besonderes, da verschiedene Malware-Banden mit neuen Phishing-Kampagnen experimentieren und ihr gewohntes Menü ändern, um vorübergehend verschiedene Arten von Malware zu verbreiten. Dann war klar geworden, dass dieser kleine Aufwärtstrend an Fahrt aufgenommen hatte und immer mehr E-Mails gefunden wurden.

Basierend auf dem, was bereits über Adwind und seine verschiedenen Varianten wie Jsocket bekannt war, war klar, dass dieses Wiederaufleben in JAR-Dateianhängen mit ziemlicher Sicherheit eine gezielte Kampagne war. Und da Adwind und seine verschiedenen Varianten über ein abonnementbasiertes Malware-as-a-Service-Modell an böswillige Akteure verteilt werden, war ebenfalls klar, dass die Bösewichte alle Adwind-Varianten gleichzeitig einsetzen.

Während die Adwind Phishing-E-Mails, die von Phishing Alert Button (PAB)-Benutzern gemeldet wurden, eine Vielzahl von Betreffzeilen und entsprechenden Social-Engineering-Hooks trugen, gab es eine grundlegende Konsistenz. Alle Adwind Phishing-E-Mails verwendeten das gleiche Thema: Sie konzentrierten sich auf alltägliche Geschäftsdokumente und verwandte Formulare: Rechnungen, Bestellungen, Zahlungsanweisungen, Verträge und Ausschreibungen. Solche Social-Engineering-Programme sind so konzipiert, dass sie harmlos aussehen und unter dem Radar der meisten Mitarbeiter fliegen. Diese klicken reflexartig auf die bösartigen E-Mails, die sich kaum von den üblichen unterscheiden. Ein Beispiel für Betreffzeilen:

Attached revised Price Inquiry
BALANCE PAYMENT
BALANCE PAYMENT AND SWIFT COPY
Confirmation transfer
Payment advice (21 Oct 2017)
For your information (A)
Outgoing SWIFT Message 47C9C13970FF.txt
Payment advice (21 Oct 2017)
Payment Advice – Advice Ref:[G41391375839] / ACH credits/Customer Ref:[GIRO PAYMENT-CREDITORS] / Second Party Ref:[H60]
payment copy 10/23/2017
Proforma
Purchase Order
REQUEST FOR QUOTATION
Request For Quotation/ Top Urgent
Request For Quotation/ Urgent Supply SYNERGY BQ155
RFQ MJEPL/MB-4638/2017
SALES CONTRACT DOCUMENT
Swift_MT103576587_PDF
URGENT ORDER

Bemerkenswert ist die Tatsache, dass sich solche Social-Engineering-Hooks, die sich auf finanzrelevante Geschäftsdokumente konzentrieren, eindeutig an Mitarbeiter im Finanz- und Rechnungswesen richten. Das ist kein Zufall.

Adwind und seine verschiedenen Varianten sind in erster Linie darauf ausgelegt, heimlich Daten aus kompromittierten Boxen zu sammeln und zu exfiltrieren. Dann kann einschließlich E-Mails, Dateien, Anmeldeinformationen und praktisch alles andere, was über den integrierten Tastendrucklogger, das Remote-Desktop-Modul und die Abhörkomponenten, die den Zugriff auf die Kamera und das Mikrofon des PCs ermöglichen, gesaugt werden. Die PCs der Mitarbeiter im Finanz- und Rechnungswesen enthalten mit hoher Wahrscheinlichkeit sensible und äußerst wertvolle Daten, die böswilligen Akteuren den Zugang zu den sensibelsten Konten innerhalb eines Unternehmens ermöglichen könnten. Darunter auch diejenigen, die die finanziellen Ressourcen kontrollieren, ganz zu schweigen von dem Schatz an Kundendaten, die für Bootstrap-Angriffe auf noch anfälligere Unternehmen verwendet werden könnten.

Weitere Betreffzeilen, die verwendet wurden:

Re: Payment/TR COPY-Urgent
credit note for outstanding payment of Invoice
Fwd: //Top Urgent// COPY DOCS
Re:Re: Re:Re:Re TT copy & PIs with Amendments very urgent…
PO#939423
Western Union Transaction

Selbst die Art der angehängten Dateinamen war bemerkenswert einheitlich:

0.58713700 1508714104.jpg.jar
BALANCE PAYMENT.jar
Confirmation 0.003.jar
contract.jar
IMG_1508605445.jar
order corfirmation.jar
PAYMENT AND SWIFT COPY.jar
payment copy.jar
PO.jar
PO_COPY#908790.jar
Proforma#.84242300.jar
Qlty request 40012300_png.pdf.jar
Quote #100-231017.jar
Revised Price List 738584752985.jar
Scan_list29017.jar
Swift_MT103576587_PDF.jar
SYNERGY BQ155.jar
Transfer Confirmation.jar
Shipment_copies (2).jar
FUD FIle.jar
PO 8324979(1).jar
Shipping Documents.jar
Telex Copy.jar
INSTRUCTIONCZ121.jar
Order939423.jar
Payment TT COPY.jar
SCAN_DRAFT COPY BL,PL,CI.jar
Enquiries&Sample Catalog CME-Trade.jar
Transaction reciept for reconfirmation.xslx.jar
P-ORD-C-10156-124658.jar
Proforma Invoice…jar
TT APPLICATION COPY FORM.jar
Dec..PO.jar
Credit_Status_0964093_docx.jar

Die Cyberkriminellen haben in den letzten zwei Jahren zwar neue Vorlagen für ihre Phishing-E-Mails entwickelt, aber der grundlegende Ansatz zur Herstellung effektiver Social Engineering-Hooks ist derselbe geblieben.

Wie zu erwarten ist, sind die E-Mails für diese Adwind-Phische kurz und bündig und geben den Benutzern wenig Hinweise darauf, dass etwas nicht stimmt:

Man könnte sich darüber ermutigen, dass Outlook den Zugriff auf Anhänge verweigert, die Outlook für unsicher hält (z.B. .JAR-Dateien), aber dieser Schutz lässt sich leicht umgehen:

Der Adwind-Fernzugriffstrojaner bleibt anscheinend ein potenter, gefährlicher Gegner, der seit mindestens 2012 kontinuierlich für das kommerzielle Angebot entwickelt wurde. Die Adwind-Varianten, die wir vor zwei Jahren kennengelernt haben, reichen von 120 KB bis 200 KB Größe. Die neueste Charge von Adwind.JARs reicht von 500-600 KB Größe, wobei die meisten in etwa 550 KB kommen.

Adwind behält auch eine gewaltige Sammlung von erweiterten Funktionen, einschließlich:

Sandbox Erkennung
Erkennung, Deaktivierung und Ausschaltung verschiedener Antiviren- und Sicherheitstools
TLS-geschützte Befehls- und Steuerungstechnik
Anti-Reverse-Engineering/Debugging-Schutz

Eine Vielzahl von Funktionen zur Datenerfassung:

Sammlung von Systeminformationen (z.B. IP, Betriebssystem-Version, Speicher-RAM-Informationen, Java-Version, Computername, etc.)
Hochladen & Ausführen von zusätzlicher Malware
Erfassen von Webcam und Mikrofon ohne Benachrichtigung des Benutzers
Remote Desktop zur Überwachung der Benutzeraktivität
Datei-Manager, um den Zugriff auf Dateien im Kontext des aktuellen Benutzers zu ermöglichen.
Browser Passwortdiebstahl
Keylogging zur Erfassung von Passwörtern, die sonst nicht sichtbar sind.

Von besonderem Interesse war jedoch, wie gut Endpunkt-Antiviren-Engines mit diesen neuesten Adwind-Varianten umgehen können. Vor zwei Jahren wurde eine bestimmte Jsocket-Variante bekannt und die Antivirenabdeckung (gemessen über VirusTotal) war bestenfalls „fleckig“, wobei typischerweise nur 5-6 Engines die Proben erkannten. Zwar kann die Erkennung von Antiviren-Engines mit der Zeit verbessert haben, die eingereichten Proben wurden jedoch nur von 16-24 Engines (von 60 insgesamt) gefunden – etwa 26-40 Prozent der getesteten Engines.

Es sei darauf hingewiesen, dass die meisten Endpunkt-Antivirenprodukte jetzt heuristisch-gesteuerte Verhaltenserkennungsfunktionen enthalten, die es ihnen ermöglichen, Schutz über ihre traditionellen, dateibasierten Kern-Engines hinaus zu bieten. Viele dieser verhaltensorientierten Schutzsysteme greifen erst dann ein, wenn bösartige Dateien auf dem Dateisystem landen und jedoch ausgeführt werden. Und da Adwind selbst extrem aggressive Werkzeuge besitzt, um alle Arten von Sicherheitswerkzeugen zu erkennen und auszuschalten, ist der beste Ansatz, um mit einer fortgeschrittenen Bedrohung wie Adwind umzugehen, zu verhindern, dass sie überhaupt heruntergeladen und ausgeführt wird.

Fazit

Das Wiederaufleben von Adwind lässt den Schluss zu, dass es keine Anzeichen dafür gibt, dass die Verbreitung des RAT nachgelassen hatte. Diese Phishing-Kampagne ist besonders alarmierend, da sie darauf hinweist, dass ein oder mehrere bösartige Akteure aktiv Malware erfolgreich einsetzen. Und diese bösartigen Akteure haben immer noch eine Fülle von Möglichkeiten, diese zu nutzen, da Java auch zwei Jahrzehnte nach seiner ursprünglichen Veröffentlichung und jahrelangen Berichten über Sicherheitsprobleme, ein beliebtes Werkzeug in Unternehmen bleibt.

Während die meisten Ransomware-Kampagnen mit einmaligen Smash-and-Grab-Operationen verglichen werden können, die darauf abzielen, anfällige Organisationen zur Zahlung von Lösegeld zu bewegen, werden Adwind-Kampagnen von Einzelpersonen und Gruppen verfolgt. Diese scheinen mehr daran interessiert zu sein, ein längeres Spiel zu spielen, in dem sie Geschäfte eröffnen und dann diese Einfallstore innerhalb der Unternehmensnetzwerke über einen längeren Zeitraum ausbeuten. Tatsächlich geben die E-Mail-Vorlagen, die in Adwind-Phishing-Kampagnen verwendet werden, jedes Anzeichen dafür, dass sie aus den Posteingängen früherer Opfer geholt wurden.

Obwohl Antiviren-Endpunkte anscheinend einige Fortschritte bei der Verbesserung der Erkennung von Adwind und Varianten wie Jsocket gemacht haben, bleibt die Erkennung von Adwind durch Kern-Antiviren-Engines unterdurchschnittlich. Und da es bereits Tausende von Varianten und Untervarianten von Adwind gibt, die von Hunderten von bösartigen Akteuren verteilt werden, die sich für Abonnements dieses Malware-as-a-Service angemeldet haben, sollte sich kein Unternehmen ausschließlich auf den Standard-Endpunkt-Malwareschutz verlassen. Wie bereits erwähnt, ist der beste Ansatz zur Bewältigung der von Adwind ausgehenden Bedrohung, zu verhindern, dass seine bösartigen JAR-Dateien heruntergeladen und überhaupt ausgeführt werden. Und ein entscheidendes Instrument in diesem Zusammenhang sollte ein New School Security Awareness-Training sein, das Mitarbeitern beibringt, wie man potenziell bösartige E-Mails erkennt und verhindert, dass sie zum Klicken verleitet werden. Diese Mitarbeiter sollten dann regelmäßig getestet werden, um ihr Sicherheitsbewusstsein zu schärfen und ihnen ein konkretes Maß für die menschlichen Schwachstellen ihrem eigenen Unternehmen zu geben.