Cybereason veröffentlicht neue Forschungsergebnisse zur "Operation CuckooBees". Die zwölfmonatige Untersuchung enthüllt die schwer fassbare Winnti-Gruppe (APT 41), die seit mindestens 2019 unentdeckt gegen Unternehmen aus den Bereichen Verteidigung, Energie, Luft- und Raumfahrt, Biotech und Pharma operiert.
Operation CuckooBees – die wichtigsten Ergebnisse:
- Zuordnung zur Winnti APT-Gruppe: Basierend auf der Analyse der forensischen Artefakte geht Cybereason mit mittlerer bis hoher Sicherheit davon aus, dass die Täter des Angriffs mit der berüchtigten Winnti Gruppe in Verbindung stehen. Diese Gruppe existiert seit mindestens 2010. Es wird vermutet, dass sie im Auftrag Chinas operiert und sich auf Cyberspionage und den Diebstahl geistigen Eigentums spezialisiert hat.
- Jahrelange Cyberspionage-Einsätze: Das IR-Team von Cybereason untersuchte eine ausgeklügelte und schwer erkennbare Cyberspionage-Kampagne, die seit mindestens 2019 unentdeckt geblieben ist. Ihr Ziel war es, sensible geschützte Informationen von Technologie- und Produktionsfirmen hauptsächlich in Ostasien, Westeuropa und Nordamerika zu stehlen.
- Neu entdeckte Malware und mehrstufige Infektionskette: Die Untersuchung zeigt sowohl bekannte als auch bisher nicht dokumentierte Winnti-Malware auf, die digital signierte Rootkits auf Kernel-Ebene sowie eine ausgeklügelte mehrstufige Infektionskette umfasst. Dadurch konnte der Angriff seit mindestens 2019 unentdeckt bleiben.
- Das Winnti Playbook: Cybereason bietet einen einzigartigen Einblick in das Playbook, das Winnti zum Eindringen benutzt. Es werden die am häufigsten verwendeten Taktiken sowie einige weniger bekannte Umgehungstechniken beschrieben, die während der Untersuchung beobachtet wurden.
- Entdeckung einer neuen Malware im Winnti-Arsenal: Die Berichte enthüllen einen bisher nicht dokumentierten Malware-Stamm namens DEPLOYLOG, der von der Winnti-APT-Gruppe verwendet wird. Außerdem stellen sie neue Versionen bekannter Winnti-Malware vor, darunter Spyder Loader, PRIVATELOG und WINNKIT.
- Selten gesehener Missbrauch der Windows CLFS-Funktion: Die Angreifer nutzten den Windows CLFS-Mechanismus und NTFS-Transaktionsmanipulationen, um ihre Payloads zu verbergen und die Erkennung durch herkömmliche Sicherheitsprodukte zu umgehen.
- Komplizierte und voneinander abhängige Übermittlung von Payloads: Die Berichte enthalten eine Analyse der komplexen Infektionskette, die zur Verbreitung des aus mehreren voneinander abhängigen Komponenten bestehenden WINNKIT-Rootkits führt. Die Angreifer verfolgten einen heiklen "Kartenhaus"-Ansatz, bei dem die ordnungsgemäße Ausführung jeder Komponente von den anderen abhängt.
„Die Sicherheitsschwachstellen, die bei Angriffen wie der Operation Cuckoo Bees am häufigsten auftreten, sind ungepatchte Systeme, unzureichende Netzwerksegmentierung, nicht verwaltete Anlagen, vergessene Konten und der fehlende Einsatz von Produkten zur Multi-Faktor-Authentifizierung", erklärt Lior Div, CEO von Cybereason.
„Auch wenn diese Schwachstellen trivial und leicht zu beheben klingen, ist der Sicherheitsalltag komplex und es ist nicht immer einfach, Abhilfe im großen Stil zu schaffen. Verteidiger sollten sich an MITRE und/oder ähnlichen Frameworks orientieren, um sicherzustellen, dass sie über die richtigen Fähigkeiten zur Erkennung und Behebung von Schwachstellen verfügen, um ihre wichtigsten Ressourcen zu schützen."