Neue Welle von russischen Cyberattacken

Ukrainische Organisationen sind neuen Hackerangriffen ausgesetzt, die darauf abzielen, Malware und bösartige Cobalt Strike Beacons in ihre Netzwerke einzuschleusen. Am 20. Juni veröffentlichte das Computer Emergency Response Team für die Ukraine (CERT-UA) zwei Hinweise zu den Hackerangriffen, die vermutlich von den Bedrohungsgruppen APT28 – auch bekannt als Fancy Bear – und UAC-0098 durchgeführt wurden.

Die Hacking-Versuche von UAC-0098 beginnen ebenfalls mit einer bösartigen E-Mail. An die Phishing-Nachrichten ist ein Malware-Dokument mit der Bezeichnung „Imposition of penalties.docx“ angehängt, dessen Verbreitung als „persistent“ beschrieben wird und dessen ursprüngliches Erstellungsdatum der 16. Juni ist.

Dieses Dokument wird auch über ein passwortgeschütztes Archiv verbreitet, das in betrügerischer Absicht als Mitteilung des ukrainischen Finanzamtes ausgegeben wird, mit der Betreffzeile: „Notice of non-payment of tax“.

Wenn beide Dokumente geöffnet werden, wird automatisch eine HTML-Datei heruntergeladen, die bösartigen JavaScript-Code mit einer Sicherheitslücke für CVE-2022-30190 enthält.

CVE-2022-30190 ist eine Sicherheitslücke in der Remotecodeausführung (RCE) im Microsoft Windows Support Diagnostic Tool (MSDT), die mit einem CVSS-Schweregrad von 7,8 bewertet wurde. Die Sicherheitslücke, die zwar gepatcht wurde, aber in freier Wildbahn ausgenutzt wird, wurde erstmals im Mai als Zero-Day-Schwachstelle bekannt.

Wenn das Zielsystem nicht geschützt ist, werden die Opfer der Angriffe von Fancy Bear feststellen, dass ihre Systeme mit der CredoMap-Malware infiziert sind.

Laut Malwarebytes ist CredoMap ein Informationsdieb, der Browserdaten, Cookies und Zugangsdaten ausspähen kann. Ältere Varianten der Malware wurden bereits von APT28 gegen ukrainische Ziele eingesetzt.

Der Steuerdoc setzt jedoch Cobalt Strike-Beacons ein. Cobalt Strike ist ein legitimes, kommerzielles Tool für Penetrationstests, das leider schon seit vielen Jahren von Cyberangreifern für bösartige Zwecke missbraucht wird. Die Beacon-Funktion des Tools kann Remote-Verbindungen ermöglichen und für die Verbreitung von Shellcode und Malware genutzt werden.

Seit dem Beginn der russischen Invasion in der Ukraine hat das CERT-UA seinen Schwerpunkt auf die Warnung vor Cyber-Bedrohungen gelegt, die sowohl ukrainische Unternehmen als auch Einwohner betreffen. Viele Kampagnen versuchen, die Situation auszunutzen, sei es im Auftrag des russischen Staates oder als gewöhnliche Angreifer, die versuchen, Profit zu machen.

Die Agentur hat Organisationen bereits vor Ghostwriter-Phishing-Kampagnen, Invisimole-Aktivitäten, die mit der russischen APT Gamaredon in Verbindung stehen, und häufigen Fehlinformationen gewarnt, die sich gegen die Einwohner der Ukraine richten.

CERT-UA hat ukrainische Medienagenturen auch vor Phishing-Kampagnen gewarnt, die möglicherweise von der russischen Hackergruppe Sandworm durchgeführt werden und die Malware CrescentImp verbreiten sollen.