Eine koordinierte internationale Strafverfolgungsoperation hat einer der hartnäckigsten Malware-Operationen im Cybercrime-Ökosystem einen schweren Schlag versetzt.
Strafverfolgungsbehörden aus den Niederlanden, Kanada, den Vereinigten Staaten und Deutschland haben mit Unterstützung von Europol und auf Grundlage von Informationen von Proofpoint die Infrastruktur gestört, die mit TA569, der für die SocGholish-Malware-Kampagne verantwortlichen Bedrohungsgruppe, in Verbindung steht.
„Operation Endgame zeigt, welche konkreten Auswirkungen koordinierte Partnerschaften zwischen Behörden und Privatwirtschaft auf die Bekämpfung von Cybercrime in großem Maßstab haben können“, sagte Selena Larson, Staff Threat Researcher bei Proofpoint, in einer E-Mail an eSecurityPlanet.
Sie erklärte: „SocGholish dient Cyberkriminellen seit Langem als Einfallstor und hilft Angreifern, sich erstmaligen Zugriff auf die Umgebungen von Opfern zu verschaffen. Infektionen können verheerende Folgen wie Ransomware haben.“
Selena ergänzte: „Cybercrime ist ein Ökosystem, und der Angriff auf zentrale Dienste wie SocGholish hat weitreichende Auswirkungen, die über eine einzelne Malware-Operation hinausgehen. Diese Störungen zwingen Angreifer zum Neuaufbau, zur Anpassung ihrer Werkzeuge und zu einer Neubewertung ihrer Vorgehensweise – und schaffen Verteidigern wertvolle Möglichkeiten, neuen Bedrohungen zuvorzukommen.“
Wichtigste Erkenntnisse
- Operation Endgame hat mit TA569 verbundene Infrastruktur gestört, mehr als 100 Server und Domains vom Netz genommen und fast 15.000 kompromittierte Websites bereinigt.
- Die SocGholish-Malware von TA569 wird mit großen Ransomware-Operationen wie LockBit, WastedLocker und RansomHub in Verbindung gebracht.
- Die Gruppe machte die FakeUpdate-Technik populär, bei der kompromittierte Websites und gefälschte Browser-Update-Aufforderungen zur Verbreitung von Malware eingesetzt werden.
- Forscher warnen, dass Web-Inject-Kampagnen weiter zunehmen. Mehrere Bedrohungsgruppen nutzen ähnliche Taktiken, um Malware zu verbreiten und Zugangsdaten zu stehlen.
- Unternehmen sollten die Sicherheit ihrer Websites, den Schutz von Endgeräten und ihre Fähigkeiten zur Reaktion auf Sicherheitsvorfälle stärken, um die Gefährdung durch sich weiterentwickelnde webbasierte Bedrohungen zu verringern.
Warum TA569 und SocGholish wichtig sind
Proofpoint bezeichnete TA569 in seinen Bedrohungsdaten als eine der aktivsten Cybercrime-Gruppen und wies darauf hin, dass der Akteur mindestens seit 2018 aktiv ist.
Im Rahmen von Operation Endgame beschlagnahmten die Behörden weltweit mehr als 100 Server und Domains und bereinigten fast 15.000 kompromittierte Websites, die zur Verbreitung der SocGholish-Malware genutzt wurden.
TA569 wird zugeschrieben, die „FakeUpdate“-Technik populär gemacht zu haben, bei der legitime Websites kompromittiert und gefälschte Browser-Update-Benachrichtigungen angezeigt werden.
Wenn Nutzer das vermeintliche Update herunterladen, installieren sie stattdessen Malware, die zusätzliche Schadsoftware nachladen, zum Diebstahl von Zugangsdaten führen und Ransomware-Infektionen verursachen kann.
Laut Proofpoint steht die Aktivität von SocGholish mit großen Ransomware-Operationen wie LockBit, WastedLocker und RansomHub in Verbindung.
So funktioniert die Angriffskette
Die Angriffe beginnen typischerweise damit, dass sich Angreifer über verwundbare WordPress-Installationen, kompromittierte Zugangsdaten, veraltete Plugins oder Schwachstellen von Hosting-Plattformen Zugriff auf Websites verschaffen.
Nach dem Eindringen schleusen die Angreifer Schadcode ein, der Besucher über ein komplexes Traffic-Distribution-System (TDS) umleitet.
Die Infrastruktur von TA569 nutzt mehrere Filterebenen, um anhand von Faktoren wie Standort, Betriebssystem und Browsertyp zu bestimmen, welche Besucher schädliche Inhalte erhalten.
Nutzern, die diese Prüfungen bestehen, wird eine überzeugend wirkende Browser-Update-Seite angezeigt, die sie zum Herunterladen eines gefälschten Updates auffordert.
Die heruntergeladene Datei liefert letztlich GhoLoader aus, einen Malware-Loader, der zusätzliche Schadsoftware installieren und potenziell zu Ransomware-Infektionen in Unternehmensumgebungen führen kann.
Forscher von Proofpoint stellten fest, dass die Angriffsketten von TA569 besonders schwer zu erkennen sind, da sie legitime Websites, ausgefeilte Traffic-Umleitungen und stark verschleierten Code nutzen.
Bedrohungen durch Web-Injects entwickeln sich weiter
Obwohl erwartet wird, dass Operation Endgame den Betrieb von TA569 stören wird, warnen Forscher, dass das umfassendere Web-Inject-Ökosystem weiterhin aktiv ist.
Proofpoint beobachtet fast ein Dutzend Bedrohungscluster, die ähnliche Techniken einsetzen, darunter ClearFake, ZPHP, ErrTraffic, GeoTDS und LandUpdate808.
Die Beliebtheit von Web-Inject-Kampagnen ist seit 2023 deutlich gestiegen, was teilweise auf das Aufkommen von Social-Engineering-Techniken wie ClickFix zurückzuführen ist, bei denen Nutzer dazu gebracht werden, schädliche Befehle manuell auszuführen.
Forscher erwarten, dass andere Angreifer versuchen könnten, die durch die Störung von TA569 entstandene Lücke zu füllen.
Wie Unternehmen Risiken verringern können
Unternehmen können das Risiko von Web-Inject-Kampagnen wie SocGholish durch einen mehrschichtigen Sicherheitsansatz verringern, der sowohl die Website-Sicherheit als auch den Schutz von Endgeräten berücksichtigt.
- Mehrschichtige Sicherheitskontrollen implementieren, darunter Endpoint Detection and Response (EDR), Netzwerküberwachung, DNS-Filterung und Webfilterung.
- MFA aktivieren, Administratorkonten beschränken, und den Zugriff auf CMS-Administrationsportale durch IP-Allowlisting, VPNs oder Zero-Trust-Kontrollen einschränken.
- WordPress-Installationen, Plugins, Themes und Webserver vollständig patchen, und nicht verwendete Komponenten entfernen, um die Angriffsfläche zu verringern.
- Überwachen von Website-Dateien, Plugins, Benutzerkonten und Protokollen auf nicht autorisierte Änderungen, verdächtige Umleitungen oder Anzeichen einer Kompromittierung mithilfe von Tools zur Überwachung der Dateiintegrität und Protokollierung.
- Die Nutzung von PowerShell, Windows Script Host und anderen Skripting-Tools einschränken, und, wo möglich, Application-Allowlisting implementieren, um die Ausführung von Malware zu verhindern.
- Sichere, getestete Backups vorhalten und Wiederherstellungsverfahren einrichten, um Systeme nach einer Website-Kompromittierung oder einem Ransomware-bezogenen Vorfall schnell wiederherzustellen.
- Notfallpläne zur Reaktion auf Sicherheitsvorfälle testen und Angriffssimulationstools mit Szenarien für Web-Injects, Malware und ClickFix-Angriffe einsetzen.
In ihrer Gesamtheit können diese Maßnahmen Unternehmen dabei helfen, ihre Gefährdung durch Web-Inject-Bedrohungen zu verringern und zugleich ihre Widerstandsfähigkeit zu stärken.
Fazit
Die Störung von SocGholish erinnert daran, dass Maßnahmen der Strafverfolgungsbehörden wichtige Cybercrime-Dienste schwächen können, das zugrunde liegende Gesamtrisiko jedoch nicht beseitigen.
Web-Inject-Kampagnen, Lockangebote mit gefälschten Updates und Social Engineering im Stil von ClickFix werden sich weiterentwickeln, während andere Angreifer versuchen, die Lücke zu füllen.
Da Angreifer weiterhin kompromittierte Websites, Social Engineering und vertrauenswürdige digitale Infrastruktur für den erstmaligen Zugriff nutzen, setzen Unternehmen auf Zero-Trust-Lösungen , um den Explosionsradius zu begrenzen.