ToyMaker: Zugang zu Ransomware-Gruppen durch LAGTOY-Malware

MÜNCHEN (IT BOLTWISE) – In der Welt der Cyberkriminalität hat sich ein neuer Akteur namens ToyMaker etabliert, der als Initial Access Broker (IAB) fungiert und Zugang zu Ransomware-Gruppen wie CACTUS verkauft.

In der sich ständig weiterentwickelnden Landschaft der Cyberbedrohungen hat ToyMaker, ein Initial Access Broker (IAB), durch den Verkauf von Zugängen an Ransomware-Gruppen wie CACTUS auf sich aufmerksam gemacht. Diese Gruppen nutzen den Zugang, um doppelte Erpressung durchzuführen, bei der Daten sowohl verschlüsselt als auch gestohlen werden, um Lösegeld zu erpressen. ToyMaker wird als finanziell motivierter Bedrohungsakteur eingestuft, der Schwachstellen in Systemen ausnutzt, um seine Malware LAGTOY zu installieren.

LAGTOY, auch bekannt als HOLERUN, ist eine maßgeschneiderte Malware, die es Angreifern ermöglicht, Reverse Shells zu erstellen und Befehle auf infizierten Endpunkten auszuführen. Diese Malware wurde erstmals von Mandiant im März 2023 dokumentiert und wird mit einer Bedrohungsgruppe namens UNC961 in Verbindung gebracht, die auch unter den Namen Gold Melody und Prophet Spider bekannt ist. Die Gruppe nutzt bekannte Sicherheitslücken in internetfähigen Anwendungen, um Zugang zu Systemen zu erhalten, gefolgt von einer Woche intensiver Aktivitäten wie Aufklärung, Ernte von Zugangsdaten und der Installation von LAGTOY.

Ein bemerkenswertes Merkmal von LAGTOY ist seine Fähigkeit, mit einem fest codierten Command-and-Control (C2)-Server zu kommunizieren, um Befehle abzurufen, die auf dem Endpunkt ausgeführt werden sollen. Diese Befehle können Prozesse erstellen und unter bestimmten Benutzern mit entsprechenden Berechtigungen ausführen. Die Malware ist so konzipiert, dass sie drei Befehle vom C2-Server mit einem Schlafintervall von 11.000 Millisekunden zwischen ihnen verarbeiten kann.

Nach einer etwa dreiwöchigen Pause wurde beobachtet, dass die CACTUS-Ransomware-Gruppe in das Unternehmensnetzwerk des Opfers eindrang, indem sie die von ToyMaker gestohlenen Zugangsdaten nutzte. Dies deutet darauf hin, dass ToyMaker keine Spionageziele verfolgt, sondern rein finanziell motiviert ist. Die CACTUS-Gruppe führte eigene Aufklärungs- und Persistenzaktivitäten durch, bevor sie mit der Datenexfiltration und Verschlüsselung begann. Sie nutzten verschiedene Methoden, um langfristigen Zugang zu sichern, darunter OpenSSH, AnyDesk und eHorus Agent.

Die Aktivitäten von ToyMaker verdeutlichen die zunehmende Komplexität und Professionalität von Cyberkriminellen, die spezialisierte Rollen übernehmen, um ihre Angriffe effektiver zu gestalten. Die Zusammenarbeit zwischen IABs wie ToyMaker und Ransomware-Gruppen zeigt, wie wichtig es ist, robuste Sicherheitsmaßnahmen zu implementieren, um solche Bedrohungen abzuwehren. Unternehmen müssen wachsam bleiben und ihre Systeme kontinuierlich überwachen, um potenzielle Schwachstellen zu identifizieren und zu beheben, bevor sie von Angreifern ausgenutzt werden können.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!