Cactus: Ransomware-Neuling mit ausgefeilten TTPs

Cactus ist eine ausgeklügelte Ransomware mit einzigartigen Merkmalen wie der automatischen Verschlüsselung und einer fortlaufenden Änderung der Dateierweiterungen nach der Verschlüsselung, wodurch es schwieriger wird, betroffene Dateien zu identifizieren. Die Ransomware verwendet den bekannten und leicht zu entpackenden UPX-Packer und unterteilt verschlüsselte Dateien in Mikropuffer, möglicherweise, um die Verwaltung der verschlüsselten Datenströme zu beschleunigen.

Der Newcomer tauchte erstmals im März 2023 auf und hat sich in die Top 10 der Malware-Gruppen eingereiht, die die meisten monatlichen Opfer provozierten. Im November lag die Ransomware laut den Nachforschungen der NCC Group mit 58 Opfern auf Platz 7. Die Gruppe konzentriert sich auf hohe Summen und hat es auf große Unternehmen abgesehen.

Malware verschlüsselt sich selbst

„Cactus ist ein gutes Beispiel für Ransomware-Gruppen, die bei ihren Angriffen immer ausgefeilte TTPs einsetzen. Was in diesem Fall auffällt, ist, dass die Malware sich selbst verschlüsselt, um der Erkennung zu entgehen“, erklärt Bibek Thapa Magar, Security Analytics Engineer bei Logpoint. „Die geschmeidige Art und Weise, wie die Verteidigung umgangen wird, zeigt, dass die Gruppe ihr Spiel gut beherrscht. Cactus hat sich schnell einen Namen gemacht, indem es doppelte Erpressung einsetzt, sensible Daten kompromittiert und den Opfern nur wenige Möglichkeiten zur Abwehr lässt.“

Logpoint hat einen Bericht zusammengestellt, der die von Cactus verwendeten TTPs und IoCs hervorhebt, um Warnregeln zur Erkennung der von der Gruppe verwendeten Methoden zu erstellen. Laut Kroll nutzt Cactus bekannte Schwachstellen in VPN-Appliances aus, um sich einen ersten Zugang zu verschaffen und mit SSH Befehle und Kontrolle zu erlangen. Die Gruppe versucht, LSASS und Anmeldedaten aus Webbrowsern auszulesen, um ihre Rechte zu erweitern. Schließlich verschafft sich Cactus mit Splashtop oder AnyDesk Zugang zu den Zielcomputern und erstellt mit Chisel einen Proxy zwischen den infizierten Hosts, bevor er die Dateien verschlüsselt.

Ausbreitung im Unternehmen verhindern

„Cactus ist eine gute Erinnerung daran, dass grundlegende Cyberhygiene wichtig ist, aber es zeigt auch, dass Überwachung und Erkennung der Schlüssel zum Schutz vor neuerer Ransomware sind“, warnt Bibek Thapa Magar. „Wenn eine Aktivität entdeckt wird, sollten Sicherheitsanalysten diese untersuchen und sicherstellen, dass sie sich nicht ausbreitet, indem sie virtuelle private Netzwerke (VPNs), Server für den Fernzugriff, Single-Sign-On-Ressourcen und öffentlich zugängliche Anlagen deaktivieren, bevor sie sich um die Eindämmung, Auslöschung und Wiederherstellung kümmern, um die Auswirkungen zu minimieren.“

Roger Homrich

Recent Posts

Black Friday: Vorsicht vor schädlichen QR-Codes

Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.

21 Stunden ago

Black Friday: Zahl der ominösen Shopping-Websites steigt

Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.

22 Stunden ago

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

1 Tag ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

2 Tagen ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

2 Tagen ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

2 Tagen ago