Die Ransomware-Bande Rhysida ist speziell im Unternehmensumfeld berüchtigt. Nun scheint das kriminelle Hacker-Kollektiv neue Wege einschlagen zu wollen, wie ein Bericht des US-Sicherheitsanbieters Expel nahelegt. Demnach setzen die Cyberkriminellen in ihrer aktuellen Angriffskampagne preliminary auf Malvertising. Die maliziösen Anzeigen laufen über die Microsoft-Suchmaschine Bing und führen auf Pretend-Obtain-Seiten für populäre Software program wie Microsoft Groups, PuTTY oder Zoom.

Benutzer, die über diese Seiten einen Obtain initiieren, bekommen (unter anderem) eine Schadsoftware namens “OysterLoader” geliefert – ausgestattet mit einem legitim erscheinenden Microsoft-Zertifikat. Dabei handelt es sich laut den Sicherheitsexperten um ein Preliminary Entry Software, dessen einziger Zweck darin besteht, eine persistente Backdoor auf dem System zu schaffen, über die die Cyberkriminellen langfristigen Zugriff erhalten. 

So untergräbt Rhysida die Belief-Chain

Um einer Detection zu entgehen – oder diese zu erschweren – setzt die Rhysida-Angriffskampagne auf eine zweistufige Strategie:

• Zunächst wird die Schadsoftware ver-, beziehungsweise gepackt, um die Malware zu komprimieren, zu verschlüsseln oder zu verschleiern. Das sorgt für geringe statische Erkennungsraten, wenn die Schadsoftware erstmals entdeckt wird.
• Anschließend benutzt die Ransomware-Bande vertrauenswürdige Code-Signing-Zertifikate von Microsoft, um ihren bösartigen Dateien das nötige Maß an “Belief” angedeihen zu lassen.

“Trusted-Signing-Zertifikate werden mit einer Gültigkeitsdauer von 72 Stunden ausgestellt. Danach laufen sie ab und müssen erneuert werden. Das macht es eigentlich unmöglich, Zertifikate zu kaufen und weiterzuverkaufen. Die Rhysida-Bande – oder einer ihrer Provider – hat jedoch eine Möglichkeit gefunden, das vertrauenswürdige Signatursystem von Microsoft zu missbrauchen, um Dateien in großem Umfang signieren zu können”, halten die Expel-Spezialisten in ihrer Untersuchung fest.

Amit Jaju, Senior Managing Director bei Ankura Consulting, gibt weiteren Kontext: “Signierte Binärdateien genießen innerhalb von Home windows und vielen Sicherheits-Instruments automatisches Vertrauen. Deswegen laufen sie oft ohne Überprüfung durch. Bis das auf Verteidigerseite auffällt und entsprechende Sperrungen veranlasst sind, sind die Angreifer längst auf neue Zertifikate umgestiegen.”

Laut der Expel-Analyse setzt die Rhysida-Gang inzwischen verstärkt auf solche Code-Signing-Zertifikate. So habe sich deren Einsatz über verschiedene Angriffskampagnen hinweg drastisch gesteigert. Das deute darauf hin, dass die Cyberkriminellen schneller arbeiteten und mehr Ressourcen einsetzten.

Forensische Signale beachten

Kampagnen, die vertrauenswürdige Zertifikate ausnutzen, untergraben das Belief-Modell, auf das sich Unternehmen verlassen. Signierte Malware umgeht App-Zulassungslisten, Browser-Alerts, Betriebssystemprüfungen und Antivirus-Kontrollen. Zudem sinkt die Hemmschwelle der Belegschaft, Dateien herunterzuladen, wenn es sich dabei augenscheinlich um bekannte, populäre Software program wie Groups oder PuTTY handelt. “Sobald die Schadsoftware ins System gelangt ist, verschafft sie sich Persistenz und zieht weitere Payloads nach sich. Ein einzelner, kompromittierter Endpunkt kann so schnell in laterale Bewegungen münden und schließlich in einer Ransomware-Attacke gipfeln”, warnt Jaju.

Das erfordert von den Verteidigern, ihre Denkweise neu auszurichten – meint etwa Devroop Dhar, Mitbegründer der Technologieberatung Primus Companions: “Wir sollten nicht davon ausgehen, dass signierte Dateien sicher sind. Überprüfen Sie zunächst, woher das Installationsprogramm stammt: von der Web site eines Anbieters oder einen dubiosen Suchmaschinen-Hyperlink. Diese kleinen Particulars verraten oft schon alles. Neue, nicht übereinstimmende Namen von Herausgebern oder Zertifikate, die vor ungewöhnlich kurzer Zeit ausgestellt wurden, sollten Verdacht erregen.”

Der Experte empfiehlt Anwenderunternehmen, Endpunkte auf rundll32-, PowerShell- oder msiexec-Prozessketten zu untersuchen – additionally nicht auf bestimmte Malware-Namen zu achten, sondern auf wiederkehrende Verhaltensmuster. Das sieht Supervisor Jaju ähnlich. Seine Empfehlung: “Nutzen Sie EDR-Lösungen, die auf Habits fokussieren, statt auf Belief-Tags. Legen Sie Zertifikate für unternehmenskritische Anwendungen fest, damit nur bekannte und genehmigte ausgeführt werden können. Füttern Sie Ihre Detection-Pipelines mit Bedrohungsinformationen, damit Kompromittierungsindikatoren direkt Maßnahmen auslösen. Und um gefälschte Obtain-Pfade zu blockieren, empfehlen sich DNS-Kontrollen und -Filter.”

Beide Experten sind sich einig, dass das Downside über einzelne Organisationen hinausgeht. Der Missbrauch des Trusted Signing Service von Microsoft decke demnach systemische Schwachstellen auf, die eine strengere Zertifikatsüberprüfung sowie eine stärkere branchenweite Aufsicht erforderten. (fm)

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Publication liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.