Operation In(ter)ception: Spionage in der Luftfahrt‑ und Rüstungsindustrie | WeLiveSecurity

Operation In(ter)ception: Spionage in der Luftfahrt‑ und Rüstungsindustrie

ESET-Forscher decken gezielte Angriffe gegen Luftfahrt- und Rüstungsunternehmen auf.

ESET-Forscher decken gezielte Angriffe gegen Luftfahrt- und Rüstungsunternehmen auf.

Ende 2019 entdeckten wir gezielte Angriffe gegen Luftfahrt- und Rüstungsunternehmen in Europa und im Nahen Osten, die im Zeitraum von September bis Dezember 2019 durchgeführt wurden. Durch eine gemeinsame Untersuchung mit zwei der betroffenen europäischen Unternehmen gelang es uns, Einblicke in die Operation zu gewinnen und bisher undokumentierte Malware zu entdecken.

Dieser Blogpost zeigt wie die Angriffe abliefen. Den vollständigen Artikel finden Sie in unserem englischen Whitepaper „Operation In(ter)ception: Targeted attacks against European aerospace and military companies“.

Die Angriffe, die wir Operation In(ter)ception nennen (basierend auf einem verwandten Malware-Beispiel namens Inception.dll), erfolgten sehr zielgerichtet und mit der Absicht völlig unentdeckt zu bleiben.

Um in ihre Zielsysteme einzudringen, nutzten die Angreifer Social-Engineering-Methoden auf LinkedIn und machten ihren Opfern als Headhunter attraktive, aber gefälschte Stellenangebote. Nachdem sie so einen ersten Zugang geschaffen hatten, kam ihre maßgeschneiderte, mehrstufige Malware und einige modifizierten Open-Source-Tools zum Einsatz. Neben ihrer Malware bestand die Taktik der Widersacher darin legitime Softwaretools und Betriebssystemfunktionen für ihre Zwecke zu missbrauchen, um der Entdeckung zu entgehen. Es wurden verschiedene Techniken verwendet, um eine Erkennung zu vermeiden, darunter das Signieren von Code, die regelmäßige Neukompilierung von Malware und der Identitätswechsel mit legitimer Software und Unternehmen.

Wie unsere Untersuchung ergab, war das Hauptziel der Operation Spionage. In einem der von uns untersuchten Fälle versuchten die Angreifer in der letzten Phase der Operation jedoch auch, den Zugriff auf das E-Mail-Konto eines Opfers durch einen BEC-Angriff (Business Email Compromise) zu Geld zu machen.

Obwohl wir keine eindeutigen Beweise für die Verbindung der Angriffe mit einem bekannten Akteur gefunden haben, deuten mehrere Indizien, einschließlich Ähnlichkeiten in Bezug auf Targeting, Entwicklungsumgebung und verwendete Anti-Analyse-Techniken, auf die Lazarus-Gruppe.

Erste Angriffsphase

Als Teil der ersten Angriffsphase von Operation In(ter)ception hatten die Angreifer gefälschte LinkedIn-Konten erstellt, die sich als Personalvertreter bekannter Unternehmen der Luftfahrt- und und Rüstungsindustrie ausgaben. In unserer Untersuchung haben wir Profile gesehen, die sich als Collins Aerospace (ehemals Rockwell Collins) und General Dynamics ausgaben, beide große US-Unternehmen auf diesem Gebiet.

Mit diesen Profilen kontaktierten die Angreifer Mitarbeiter der Zielunternehmen über die Messaging-Funktion von LinkedIn und machten Ihnen fiktive Stellenangebote (siehe Abbildung 1). (Hinweis: Die gefälschten LinkedIn-Konten existieren nicht mehr.)

Abbildung 1. Ein gefälschtes Stellenangebot, das über LinkedIn an Mitarbeiter eines der Zielunternehmen gesendet wurde.

Sobald die Angreifer die Aufmerksamkeit der Zielpersonen hatten, brachten sie mit Malware versehene Dateien in die Konversation ein, Dabei handelte es sich um Dokumente im Zusammenhang mit dem betreffenden Stellenangebot. Abbildung 2 zeigt ein Beispiel einer solche Kommunikation.

Abbildung 2. Kommunikation zwischen den Angreifern und einem Mitarbeiter eines der Zielunternehmen.

Zum Versand der Malware-Dateien verwendeten die Angreifer entweder LinkedIn direkt oder eine Kombination aus E-Mail und dem Cloudspeicherdienst OneDrive. Für letztere Option verwendeten die Angreifer gefälschte E-Mail-Konten, die ihren gefälschten LinkedIn-Personas entsprachen und OneDrive-Links zu den bösartigen Dateien enthielten.

Die gesharte Datei war ein kennwortgeschütztes RAR-Archiv, das eine LNK-Datei enthielt. Durch das Öffnen der LNK-Datei wurde per Eingabeaufforderung eine Remote-PDF-Datei im Standardbrowser des Opfers geöffnet.

Dieses PDF, das vermeintlich Gehaltsinformationen für die Stellen enthielt, diente in Wirklichkeit nur als Täuschung. Im Hintergrund erzeugte die Eingabeaufforderung einen neuen Ordner und kopierte die Windows Management Instrumentation Utility (WMIC.exe) in diesen Ordner, wobei das Dienstprogramm dabei umbenannt wurde. Danach wurde eine geplante Aufgabe erstellt, mit der ein Remote-XSL-Skript regelmäßig über die kopierte Datei WMIC.exe ausgeführt werden sollte.

Dies ermöglichte es den Angreifern in den Zielunternehmen Fuß zu fassen und sich auf dem kompromittierten Computer dauerhaft zu etablieren. Abbildung 3 zeigt die verschiedenen Schritte des Angriffs.

Abbildung 3: Ablauf des Angriffs, vom ersten Kontakt bis zur Kompromittierung.

Angriffstools und -techniken

Die Angreifer hinter Operation In(ter)ception verwendeten eine Reihe bösartiger Tools, darunter maßgeschneiderte, mehrstufige Malware und modifizierte Versionen von Open-Source-Tools.

Wir haben die folgenden Komponenten gesehen:

  • Spezieller Downloader (Stufe 1)
  • Spezielle Hintertür (Stufe 2)
  • Eine modifizierte Version von PowerShdll – ein Tool zum Ausführen von PowerShell-Code ohne die Verwendung von Powershell.exe
  • Spezielle DLL-Loader zum Ausführen der maßgeschneiderten Malware
  • Beacon-DLL, die wahrscheinlich zum Überprüfen von Verbindungen zu Remoteservern verwendet wurde
  • Ein spezieller Build von dbxcli – einem Open-Source-Befehlszeilenclient für Dropbox. Dieser wurde für die Datenexfiltration verwendet.

In einem typischen Angriffsszenario wurde die Malware der Stufe 1 – der spezielle Downloader – vom Remote-XSL-Skript (siehe oben) heruntergeladen und mit dem Dienstprogramm rundll32 ausgeführt. Es gab jedoch auch Fälle, in denen die Angreifer einen ihrer speziellen DLL-Loader zum Ausführen der Stufe-1-Malware verwendeten. Der Hauptzweck des speziellen Downloaders bestand darin, die Malware der Stufe 2 herunterzuladen und in seinem Speicher auszuführen.

Die Malware der Stufe 2 war eine modulare Hintertür in Form einer in C ++ geschriebenen DLL-Datei. Sie sendete regelmäßig Requests an den Server und führte dann bestimmte Aktionen basierend auf den empfangenen Befehlen aus. Beispielsweise wurden grundlegende Informationen über den Computer gesendet, ein Modul geladen oder die Konfiguration geändert. Wir konnten zwar keine Module wiederherstellen, die die Backdoor von ihrem C & C-Server empfing, aber wir haben Hinweise darauf gefunden, dass ein Modul zum Herunterladen der PowerShdll verwendet wurde.

Neben Malware nutzten die Angreifer eine Living-off-the-Land-Taktik, das heißt sie verwendeten legitime Softwaretools und Betriebssystemfunktionen, um bei der Durchführung ihrer bösartigen Operationen unentdeckt zu bleiben. So stellten wir fest, dass die Angreifer WMIC zur Interpretation von Remote-XSL-Skripten, Certutil zum Dekodieren von Base64-enkodierten Downloads sowie Rundll32 und Regsvr32 zum Ausführen ihrer benutzerdefinierten Malware verwendeten.

Abbildung 4 zeigt, wie die verschiedenen Komponenten während der Ausführung der Malware interagierten.

Abbildung 4. Ablauf der Malware-Ausführung.

Neben dieser Taktik stellten wir fest, dass sich die Angreifer besonders bemühten unentdeckt zu bleiben.

Zunächst verschleierten die Angreifer ihre Dateien und Ordner, indem sie ihnen legitim klingende Namen gaben. Zu diesem Zweck haben die Angreifer die Namen von bekannter Software und Unternehmen wie Intel, Nvidia, Skype, OneDrive und Mozilla missbraucht. Beispielsweise haben wir schädliche Dateien unter den folgenden Pfaden gefunden:

  • C:\ProgramData\DellTPad\DellTPadRepair.exe
  • C:\Intel\IntelV.cgi

Interessanterweise wurden nicht nur schädliche Dateien umbenannt – die Angreifer manipulierten auch die missbrauchten Windows-Dienstprogramme. Sie kopierten die Dienstprogramme in einen neuen Ordner (z.B. C:\NVIDIA) und benannten sie um (z.B. wurde regsvr32.exe in NvDaemon.exe umbenannt).

Zweitens haben die Angreifer einige Komponenten ihrer Malware digital signiert, nämlich den speziellen Downloader, die Backdoor und das Tool dbxcli. Das Zertifikat wurde im Oktober 2019, während die Angriffe liefen, für 16:20 Software, LLC ausgestellt. Nach unseren Untersuchungen ist 16:20 Software, LLC ein tatsächlich existierendes Unternehmen mit Sitz in Pennsylvania, USA, das im Mai 2010 gegründet wurde.

Drittens haben wir festgestellt, dass die Stufe-1-Malware während der gesamten Operation mehrmals neu kompiliert wurde.

Schließlich implementierten die Angreifer auch Anti-Analyse-Techniken in ihrer maßgeschneiderten Malware, wie beispielsweise Controll-Flow-Flattening und dynamisches Laden von APIs.

Datenerfassung und Exfiltration

Laut unseren Untersuchungen verwendeten die Angreifer einen benutzerdefinierten Build von dbxcli, einem Open-Source-Befehlszeilenclient für Dropbox, um die von ihren Zielen eingesammelten Daten zu exfiltrieren. Leider konnten wir weder durch die Malware-Analyse noch durch die Untersuchung herausfinden welche Dateien die Angreifer von Operation In(ter)ception suchten. Die Berufsbezeichnungen der über LinkedIn angesprochenen Mitarbeiter deuten jedoch darauf hin, dass die Angreifer es auf technische und geschäftliche Informationen abgesehen hatten.

E-Mail-Betrug „Business email compromise”

In einem der untersuchten Fälle beließen es die Angreifer nicht bei der Datenexfiltration – als letzte Phase der Operation versuchten sie, den Zugriff auf das E-Mail-Konto eines Opfers mit einem sogenannten Business email compromise-Angriff (BEC) zu Geld zu machen. Dabei werden im Namen einer Firma Rechnungen an deren legitime Kunden verschickt und es wird versucht das geforderte Geld auf eigenen Konten entgegenzunehmen.

Zunächst versuchten die Angreifer, auf Basis der vorhandenen E-Mail-Kommunikation des Opfers, einen Kunden des Zielunternehmens dazu zu bringen, eine ausstehende Rechnung auf ihr Bankkonto zu überweisen (siehe Abbildung 5). Für die weitere Kommunikation mit dem Kunden verwendeten sie dann ihre eigene E-Mail-Adresse, die der des Opfers stark ähnelte.

Hier waren die Angreifer jedoch erfolglos. Anstatt die Rechnung zu bezahlen, antwortete der Kunde mit Nachfragen nach der angeforderten Summe. Als die Angreifer den Kunden zur Zahlung aufforderten, kontaktierte der Kunde die korrekte E-Mail-Adresse des Opfers bezüglich des Problems und löste Alarm auf Seiten des Opfers aus.

Abbildung 5. Business email compromise E-Mail, die von einem kompromittierten E-Mail-Konto eines Opfers gesendet wurde.

Hinweise auf die Angreifer

Obwohl unsere Untersuchung keine überzeugenden Beweise dafür liefert wer hinter dem Angriff steht, haben wir mehrere Hinweise auf eine mögliche Verbindung zur bekannten Lazarus-Gruppe gefunden. Insbesondere fanden wir Ähnlichkeiten bei der Angriffsausrichtung, der Verwendung gefälschter LinkedIn-Konten, der Entwicklungsumgebung und bei den verwendeten Anti-Analyse-Techniken. Außerdem haben wir eine Variante der Stufe-1-Malware gesehen, die ein Sample von Win32/NukeSped.FX enthielt, einem bösartigen Toolset gehört, das ESET der Lazarus-Gruppe zuschreibt.

Fazit

Laut unserer Untersuchung handelte es sich um eine äußerst zielgerichtete Operation, die sich durch eine überzeugende, auf LinkedIn aufsetzende Social-Engineering-Taktik, maßgeschneiderte modulare Malware und gerissene Tarnungs-Tricks auszeichnet. Interessanterweise hatten die Angreifer, obwohl die Operation In(ter)ception alle Anzeichen eines Cyberspionage-Angriffs trägt, auch finanziellen Gewinn als Ziel, wie der versuchte BEC-Angriff zeigt.

Besonderer Dank geht an Michal Cebák für seine Arbeit an dieser Untersuchung.

Eine vollständige Beschreibung der Angriffe sowie eine technische Analyse der zuvor nicht dokumentierten Malware und der Indicators of Compromise (IoCs) finden Sie in unserem Artikel Operation In(ter)ception: Targeted attacks against European aerospace and military companies.

Von den Angriffen gesammelte IoCs finden Sie auch im ESET GitHub-Repository.

MITRE ATT&CK techniques

TacticIDNameDescription
Initial AccessT1194Spearphishing via ServiceLinkedIn is used to contact the target and provide a malicious attachment.
ExecutionT1059Command-Line Interfacecmd.exe used to create a scheduled task to interpret a malicious XSL script via WMIC.
T1106Execution through APIMalware uses CreateProcessA API to run another executable.
T1086PowerShellA customized .NET DLL is used to interpret PowerShell commands.
T1117Regsvr32The regsvr32 utility is used to execute malware components.
T1085Rundll32The rundll32 utility is used to execute malware components.
T1053Scheduled TaskWMIC is scheduled to interpret remote XSL scripts.
T1047Windows Management InstrumentationWMIC is abused to interpret remote XSL scripts.
T1035Service ExecutionA service is created to execute the malware.
T1204User ExecutionThe attacker relies on the victim to extract and execute a LNK file from a RAR archive received in an email attachment.
T1220XSL Script ProcessingWMIC is used to interpret remote XSL scripts.
PersistenceT1050New ServiceA service is created to ensure persistence for the malware.
T1053Scheduled TaskUpon execution of the LNK file, a scheduled task is created that periodically executes WMIC.
Defense EvasionT1116Code SigningMalware signed with a certificate issued for “16:20 Software, LLC”.
T1140Deobfuscate/Decode Files or Informationcertutil.exe is used to decode base64-encoded malware binaries.
T1070Indicator Removal on HostAttackers attempt to remove generated artifacts.
T1036MasqueradingMalware directories and files are named as, or similar to, legitimate software or companies.
T1027Obfuscated Files or InformationMalware is heavily obfuscated and delivered in base64-encoded form.
T1117Regsvr32The regsvr32 utility is used to execute malware components.
T1085Rundll32The rundll32 utility is used to execute malware components.
T1078Valid AccountsAdversary uses compromised credentials to log into other systems.
T1220XSL Script ProcessingWMIC is used to interpret remote XSL scripts.
Credential AccessT1110Brute ForceAdversary attempts to brute-force system accounts.
DiscoveryT1087Account DiscoveryAdversary queries AD server to obtain system accounts.
T1012Query RegistryMalware has ability to query registry to obtain information such as Windows product name and CPU name.
T1018Remote System DiscoveryAdversary scans IP subnets to obtain list of other machines.
T1082System Information DiscoveryMalware has ability to gather information such as Windows product name, CPU name, username, etc.
CollectionT1005Data from Local SystemAdversary collects sensitive data and attempts to upload it using the Dropbox CLI client.
T1114Email CollectionAdversary has access to a victim’s email and may utilize it for a business email compromise attack
Command and ControlT1071Standard Application Layer ProtocolMalware uses HTTPS protocol.
ExfiltrationT1002Data CompressedExfiltrated data is compressed by RAR.
T1048Exfiltration Over Alternative ProtocolExfiltrated data is uploaded to Dropbox using its CLI client.
T1537Transfer Data to Cloud AccountExfiltrated data is uploaded to Dropbox.

Newsletter-Anmeldung

Hier können Sie mitdiskutieren