APT29 nutzt Rogue-RDP-Server für gezielte Cyberangriffe

MOSKAU / MÜNCHEN (IT BOLTWISE) – Die russische Hackergruppe APT29 hat eine neue Angriffsmethode entwickelt, bei der sie legitime Techniken des Red Teaming für bösartige Zwecke umfunktioniert.

Die russische Hackergruppe APT29, auch bekannt als Earth Koshchei, hat eine neue Angriffsmethode entwickelt, bei der sie legitime Techniken des Red Teaming für bösartige Zwecke umfunktioniert. Diese Methode nutzt bösartige Remote Desktop Protocol (RDP)-Konfigurationsdateien, um hochrangige Ziele wie Regierungen, Streitkräfte und Forschungseinrichtungen anzugreifen. Der Angriff basiert auf der „Rogue RDP“-Technik, die erstmals 2022 von Black Hills Information Security dokumentiert wurde.

Die Angriffe zielen darauf ab, den Opfern teilweise die Kontrolle über ihre Maschinen zu entziehen, was zu Datenlecks und der Installation von Malware führen kann. Die Vorbereitungen für diese Kampagne begannen bereits im August 2024. Die Angriffe wurden von verschiedenen Organisationen, darunter CERT-UA, Microsoft und AWS, im Oktober hervorgehoben.

Die Hackergruppe verschickt Spear-Phishing-E-Mails, die die Empfänger dazu verleiten sollen, eine bösartige RDP-Konfigurationsdatei zu öffnen. Diese Datei veranlasst die Maschine des Opfers, sich mit einem fremden RDP-Server zu verbinden, der über eines der 193 RDP-Relays der Gruppe läuft. An einem einzigen Tag wurden schätzungsweise 200 hochkarätige Opfer ins Visier genommen, was das Ausmaß der Kampagne verdeutlicht.

Die Methode nutzt ein Open-Source-Projekt namens PyRDP, das als Python-basierte „Monster-in-the-Middle (MitM)“-Tool und Bibliothek beschrieben wird. Es wird vor dem eigentlichen, von den Angreifern kontrollierten RDP-Server eingesetzt, um das Risiko der Entdeckung zu minimieren. Wenn ein Opfer die RDP-Datei öffnet, wird eine ausgehende RDP-Verbindung zum PyRDP-Relay initiiert, das die Sitzung dann an einen bösartigen Server weiterleitet.

Der bösartige Server ahmt das Verhalten eines legitimen RDP-Servers nach und nutzt die Sitzung, um verschiedene bösartige Aktivitäten durchzuführen. Dazu gehört das Ausführen von Skripten oder das Ändern von Systemeinstellungen auf dem Rechner des Opfers. Der PyRDP-Proxy-Server ermöglicht es dem Angreifer außerdem, auf die Systeme des Opfers zuzugreifen, Dateivorgänge durchzuführen und bösartige Nutzlasten zu injizieren.

Ein bemerkenswerter Aspekt dieses Angriffs ist, dass die Datensammlung durch eine bösartige Konfigurationsdatei erleichtert wird, ohne dass benutzerdefinierte Malware eingesetzt werden muss. Dies ermöglicht es den Angreifern, unbemerkt zu bleiben. Außerdem verwenden sie Anonymisierungsschichten wie TOR-Exit-Nodes, um die RDP-Server zu steuern, sowie Wohn-Proxy-Anbieter und kommerzielle VPN-Dienste, um auf legitime Mail-Server zuzugreifen, die zum Versenden der Spear-Phishing-E-Mails verwendet wurden.

Die Nutzung von Tools wie PyRDP verstärkt den Angriff, indem sie die Abfangung und Manipulation von RDP-Verbindungen ermöglicht. PyRDP kann automatisch freigegebene Laufwerke durchsuchen, die vom Opfer umgeleitet wurden, und deren Inhalte lokal auf dem Rechner des Angreifers speichern, was eine nahtlose Datenexfiltration erleichtert.

Earth Koshchei entwickelt im Laufe der Zeit neue Methoden für ihre Spionagekampagnen. Sie achten nicht nur auf alte und neue Schwachstellen, die ihnen den ersten Zugang verschaffen, sondern auch auf die Methoden und Werkzeuge, die Red Teams entwickeln.