Python-basierte Malware nutzt Netzwerk-Schwachstellen aus

MÜNCHEN (IT BOLTWISE) – In der Welt der Cybersicherheit haben Forscher kürzlich einen Angriff aufgedeckt, bei dem ein Bedrohungsakteur eine Python-basierte Hintertür nutzte, um sich dauerhaft Zugang zu kompromittierten Endpunkten zu verschaffen und anschließend das Ransomware-Programm RansomHub im gesamten Zielnetzwerk zu verbreiten.

In der Welt der Cybersicherheit haben Forscher kürzlich einen Angriff aufgedeckt, bei dem ein Bedrohungsakteur eine Python-basierte Hintertür nutzte, um sich dauerhaft Zugang zu kompromittierten Endpunkten zu verschaffen und anschließend das Ransomware-Programm RansomHub im gesamten Zielnetzwerk zu verbreiten. Laut Branchenberichten wurde der anfängliche Zugang durch eine JavaScript-Malware namens SocGholish ermöglicht, die über Drive-by-Kampagnen verbreitet wird, bei denen ahnungslose Nutzer dazu verleitet werden, gefälschte Webbrowser-Updates herunterzuladen.

Solche Angriffe nutzen häufig legitime, aber infizierte Websites, auf die Opfer über Suchmaschinenergebnisse umgeleitet werden, indem schwarze SEO-Techniken eingesetzt werden. Nach der Ausführung stellt SocGholish eine Verbindung zu einem von Angreifern kontrollierten Server her, um sekundäre Nutzlasten abzurufen. Noch im letzten Jahr zielten SocGholish-Kampagnen auf WordPress-Seiten ab, die auf veraltete Versionen beliebter SEO-Plugins wie Yoast und Rank Math PRO angewiesen waren, um den ersten Zugang zu erhalten.

In dem von Sicherheitsforschern untersuchten Vorfall wurde die Python-Hintertür etwa 20 Minuten nach der anfänglichen Infektion durch SocGholish entdeckt. Der Bedrohungsakteur verteilte die Hintertür dann auf andere Maschinen im selben Netzwerk während der lateralen Bewegung über RDP-Sitzungen. Funktional handelt es sich bei dem Skript um einen Reverse-Proxy, der eine Verbindung zu einer fest codierten IP-Adresse herstellt. Sobald das Skript den ersten Command-and-Control-Handshake abgeschlossen hat, wird ein Tunnel eingerichtet, der stark auf dem SOCKS5-Protokoll basiert.

Dieser Tunnel ermöglicht es dem Bedrohungsakteur, sich im kompromittierten Netzwerk lateral zu bewegen und das Opfersystem als Proxy zu nutzen. Die Python-Skriptversion, die erstmals im Februar 2024 dokumentiert wurde, wurde seit Anfang Dezember 2023 in freier Wildbahn entdeckt und unterzieht sich “oberflächlichen Änderungen”, die darauf abzielen, die verwendeten Verschleierungsmethoden zu verbessern, um die Erkennung zu vermeiden.

Die Sicherheitsforscher stellten fest, dass das entschlüsselte Skript sowohl poliert als auch gut geschrieben ist, was darauf hindeutet, dass der Malware-Autor entweder sehr darauf bedacht ist, einen hochgradig lesbaren und testbaren Python-Code zu pflegen, oder auf KI-Tools zurückgreift, um die Codierungsaufgabe zu unterstützen. Mit Ausnahme der lokalen Variablenverschleierung ist der Code in verschiedene Klassen mit sehr beschreibenden Methodennamen und Variablen unterteilt. Jede Methode verfügt auch über ein hohes Maß an Fehlerbehandlung und ausführliche Debug-Nachrichten.

Die Python-basierte Hintertür ist bei weitem nicht das einzige Vorläufer-Tool, das in Ransomware-Angriffen entdeckt wurde. Wie kürzlich von Branchenexperten hervorgehoben, gehören zu den anderen Werkzeugen, die vor der Ransomware-Bereitstellung eingesetzt werden, solche, die für das Deaktivieren von Endpoint Detection and Response (EDR)-Lösungen verantwortlich sind, das Stehlen von Anmeldeinformationen und das Kompromittieren von E-Mail-Konten durch Brute-Force-Angriffe.

Ransomware-Kampagnen wurden auch beobachtet, die Amazon S3-Buckets ins Visier nehmen, indem sie die serverseitige Verschlüsselung von Amazon Web Services mit vom Kunden bereitgestellten Schlüsseln nutzen, um die Daten des Opfers zu verschlüsseln. Diese Aktivitäten wurden einem Bedrohungsakteur zugeschrieben, der als Codefinger bekannt ist. Neben der Verhinderung der Wiederherstellung ohne ihren generierten Schlüssel verwenden die Angriffe dringende Lösegeldtaktiken, bei denen die Dateien innerhalb von sieben Tagen zur Löschung markiert werden, um die Opfer unter Druck zu setzen, zu zahlen.

Die Entwicklung kommt zu einem Zeitpunkt, an dem ein Anstieg von “Rapid-Fire”-Phishing-Kampagnen zu verzeichnen ist, die die E-Mail-Bombardierungstechnik der Black Basta Ransomware-Crew nachahmen, um die Posteingänge der Opfer mit über 1.100 legitimen Nachrichten zu fluten. Dann, wenn die Menschen sich überfordert fühlen, greifen die Angreifer über Telefonanrufe oder Microsoft Teams-Nachrichten ein und geben sich als Unternehmens-IT-Support aus, um Vertrauen zu gewinnen und die Installation von Fernzugriffssoftware wie TeamViewer oder AnyDesk zu veranlassen.