Breaking News Exchange Hack: Unser SOC-Team deckt aggressive Ausbreitungslogik in platzierter Schadsoftware auf!

Vor zwei Wochen gab Microsoft bekannt, dass es vier Sicherheitslücken im Exchange Server gibt, die aktiv ausgenutzt werden. Die Kombination dieser Lücken macht die laufende Angriffswelle deshalb so gefährlich, da sie Vollzugriff auf den betroffenen Exchange Server gewährt. Das BSI hat den Exchange Hack für Unternehmen als „IT-Bedrohungslage: 4 / Rot“ eingestuft – mehr als zu Recht, wie unser SOC Team in vielen Fällen festgestellt hat. Ihre spannenden Erkenntnisse zu nachfolgenden Angriffsaktivitäten, die bisher noch nicht in den Medien aufgetaucht sind, lesen Sie hier!

So läuft die Schadcode-Ausführung nach Ausnutzung der Exchange-Sicherheitslücken

Unser Expertenteam hat im Rahmen mehrerer Threat Hunting-Einsätze die Angriffsaktivitäten unterschiedlicher Angreifergruppen analysiert. In diesem Bericht fasst Clemens Rambow, Lead Threat Hunter, die Auswirkungen des besonders weit verbreiteten „estonine“-Schadcodes zusammen, welcher der Gruppe DLTMiner zugeordnet wird (ACHTUNG: Es ist durchaus möglich und wahrscheinlich, dass auch andere Schadsoftware zum Einsatz kommt, da eine Vielzahl von Akteuren die Sicherheitslücken ausnutzen, um aus unterschiedlichen Motiven davon zu profitieren). Die Analysen basieren dabei teilweise auf der Vorarbeit von John Hammond (@_johnhammond, https://gist.github.com/JohnHammond), der die Verschleierungstaktiken der Schadcode-Scripte analysiert und dekodiert hat.

Dies sind die konkreten Findings unseres SOC-Teams

Die Codeausführungskette verläuft auf der High-Level-Ebene wie folgt:

1. Platzierung der Chinese Chopper ASPX-Webshell via Proxy-Logon Exploit-Chain: Die Webshell ermöglicht die Ausführung von beliebigem Code mit lokalen SYSTEM-Berechtigungen. Das bedeutet, dass der Angreifer die komplette Kontrolle über das Exchange-System erhält. Ebenso haben wir Belege, dass auch andere Akteure bereits platzierte Webshells vorheriger Angreifer ebenso für ihre Zwecke nutzen.
2. Ausführung des ersten Powershell-Scripts via Webshell:
1. Abgerufen von hXXp://p[.]estonine[.]com/p
2. Hinterlegt den Zeitstempel der Infektion in C:\Windows\Temp\ccc.log
3. Nistet sich auf dem System dauerhaft als Scheduled Task mit dem Namen "Winnet" ein, der alle 45 Minuten den nachfolgenden Schadcode abruft bzw. ausführt.
3. Download und Ausführung hXXp://cdn[.]chatcdn[.]net/p?hig oder hXXp:///cdn[.]chatcdn[.]net/p?hig
4. Abschließend wird der Powershell-Code hinter hXXp://p[.]estonine[.]com/update.png ausgeführt- hier handelt es sich um den tatsächlich interessanten Schadsoftware-Payload!

Die Schadsoftware hinter "update.png" ist ebenso ein Powershell-Script, jedoch mit deutlich erweiterter Funktionalität und dazu mit rund 3MB erheblich größer und aufwändiger verschleiert.

Zusammenfassend beinhaltet „update.png“ folgende Funktionalität, welche komplett automatisiert eingesetzt wird:

• Auslesen von Passwörtern und Passworthashes via Mimikatz
• Nachladen weiterer Powershell-Scripte
• Netzwerkscans, um weitere Angriffsziele zu ermitteln
• Ausbreitung via SMB, Pass-the-Hash und ETERNALBLUE
• Mechanismen, um sich dauerhaft auf infizierten Systemen einzunisten

Deep-Dive: update.png-Angreifercode

Auslesen von Klartext-Zugangsdaten via Mimikatz

Um die Angriffstechniken besser nachzuvollziehen und auch Auswirkungen konkret abschätzen zu können, folgt eine detaillierte Darstellung der im Code implementierten Angriffstechniken und Abläufe auf Basis des dekodierten update.png-Scripts: Das Script beinhaltet zunächst das bekannte offensive Angriffswerkzeug Mimikatz, womit lokale Klartext-Zugangsdaten aller Nutzer sowie vorhandene Hashes ausgelesen werden.

Es wird anschließend versucht, ein weiteres Powershell-Script von hXXp://p[.]estonine[.]com/getnew.php nachzuladen und auszuführen, bei dem MAC-Adresse, PID und AV-Produkte, Windows-Version und Architektur als Parameter mitgegeben werden: