VoIP-Software 3CX verteilt Schadcode nach Sideloading-Attacke
von Tina Siering
Nordkoreanische Cyberkriminelle haben offensichtlich den VoIP-Desktop-Client des Softwareherstellers 3CX manipuliert und für DLL-Sideloading-Angriffe genutzt. Mehr als 600.000 Unternehmen mit über 12 Millionen Anwendern nutzen das Tool täglich.
Das Programm nahm Kontakt zu einer Reihe von Domains auf, über die Schadcode (meist Remote-Shells) in die Telefonie-Software nachgeladen wurde. Diese sahen zunächst nach legitimen Adressen von CDN und Microsoft aus (z.B.akamaicontainer.com oder azureonlinecloud.com.)
Das Einfallstor für die Attacke ist ein DLL-Sideloading-Angriff, bei dem zwei DLL-Dateien (d3dcompiler_47.dll und ffmpeg.dll ) nachgeladen wurden, die über Trojaner-Funktionen verfügen. Besonders heimtückisch ist dabei die Tatsache, dass die “Trojaner-DLL” alle zulässigen 3CX-Funktionen enthält, die auch bei der legitimen DLL erwartet würden. In der Folge arbeitet die Software stabil.
Die maliziöse Command & Control-Serverkommunikation wurde jedoch in der vergangenen Woche übereinstimmend von mehreren Sicherheitsfirmen bemerkt. Mittlerweile hat der Hersteller reagiert und erste Details bekannt gegeben: Betroffen sind die Windows-Versionen von 3CX-Desktop-Apps 18.12.407 und 18.12.416 und die neuesten Mac App-Version: 18.11.1213, 18.12.402, 18.12.407 und 18.12.416 - alle Versionen sind bereits aus dem Verkehr gezogen.
Administratoren von 3CX-Telefonanlagen werden gebeten, installierte Versionen zu prüfen und sich im 3CX-Forum auf dem Laufenden zu halten. Als eine Sofortmaßnahme rät der CEO Nicka Galea, die betroffenen Apps unbedingt zu deinstallieren. Als weitere Maßnahme wurde empfohlen, bis zur Veröffentlichung des Updates die vollständig webbasierte PWA-App des Anbieters zu verwenden.
Die bisherigen Erkenntnisse legen die Vermutung nahe, dass die Angreifergruppe "Labyrinth Chollima", auch bekannt als "Lazarus Group" aus Nordkorea hinter den Angriffen steckt.
Kunden mit einem aktiven Managed Service Vertrag für Active Cyber Defense werden selbstverständlich separat über maliziöse Kommunikation auf ihren Systemen informiert. Seit gestern prüfen wir diese aktiv auf den Schadcode.
Quelle: Twitter / Thomas Roccia @fr0gger_
Brauchen Sie Unterstützung, um Ihre IT Security für 2023 aufzurüsten? Kontaktieren Sie uns!
Zum Thema passende Artikel
Damit Ihre Geschäftsprozesse reibungslos ablaufen können, müssen Ihre digitalen Unternehmensdaten jederzeit verfügbar sein. Schnell kann es jedoch passieren, dass Ihre Daten in die Hände von Hackern gelangen oder von Mitarbeitern versehentlich gelöscht werden. Damit Sie in solchen Fällen keine langen Ausfallzeiten und Umsatzverluste fürchten müssen, sollten Sie jederzeit eine lückenlose Sicherungskopie in der Hinterhand haben, mit der Sie Ihren Datenbestand schnell wiederherstellen können. Wir verraten Ihnen, mit welchen Backup-Methoden und Speichermedien Sie für den Ernstfall gerüstet sind.
Weiterlesen … Zuverlässige Backups: So gelingt die lückenlose Datensicherung
1972 wagte ein kanadischer IT-Berater namens Ian Sharp eine Prognose, die als eine der größten Fehleinschätzungen der Computertechnologie eingehen sollte. Herr Sharp war damals felsenfest überzeugt, dass die „E-Mail ein total unverkäufliches Produkt“ sei. Heute, 50 Jahre später, ist die elektronische Post zum wichtigsten digitalen Kommunikationsmittel überhaupt geworden. Mehr als 200 Milliarden E-Mails werden 2022 verschickt – und das pro Tag. Doch nicht nur für die Kommunikation zwischen Privatpersonen oder Unternehmen ist die E-Mail unverzichtbar geworden, auch als Marketinginstrument wird die Mail gerne und häufig eingesetzt. Rund zwei Milliarden Euro investiert die deutsche Wirtschaft jährlich in E-Mail-Werbung. Trotz oder gerade wegen der langen Geschichte ranken sich um die E-Mail immer noch Sicherheits-Mythen. Die fünf größten Sicherheits-Irrtümer im Umgang mit E-Mails haben wir in diesem Beitrag für Sie kompakt zusammengefasst. Es überrascht dabei nicht, dass die E-Mail nach wie vor eines der Haupteinfallstore für Cyber-Angriffe auf Unternehmen darstellt.
Weiterlesen … E-Mails: Die fünf größten Sicherheits-Irrtümer
Aufgrund des Krieges in der Ukraine gibt secion eine Einschätzung der Bedrohungslage für Unternehmen ab und beleuchtet die Frage, ob verstärkt russische Angriffe auf Unternehmen in Deutschland, Österreich sowie der Schweiz zu erkennen sind. Es liegen dabei derzeit keine Erkenntnisse über eine akut gesteigerte Gefährdung durch staatliche russische Akteure in Westeuropa vor, jedoch eine erhöhte Aufmerksamkeit in der Öffentlichkeit, mit der diese Cyberattacken aktuell wahrgenommen werden. Zudem sorgen „Dritt-Akteure“ für eine neue Dynamik.