Cybersecurity-Forscher haben eine ausgeklügelte Exploit-Kampagne aufgedeckt, die eine Zero-Day-Schwachstelle (0-Day-Schwachstelle) in Cleo-Softwareplattformen zur Dateiübertragung ausnutzt.
Diese Kampagne wurde genutzt, um eine neu identifizierte Malware-Familie auszuliefern, die jetzt als "Malichus" bezeichnet wird.
Die Bedrohung, die kürzlich von Huntress analysiert und von anderen Branchenanbietern bestätigt wurde, weist eine erhebliche technische Komplexität auf, die in der Cybersicherheits-Community aufgrund ihrer potenziellen Auswirkungen auf Unternehmen, die sich beim sicheren Dateiaustausch auf Cleo-Technologien verlassen, Alarm schlägt.
Cleo 0-Day-Schwachstelle
Cleo, das häufig für die Übertragung und Integration von Unternehmensdaten verwendet wird, wurde von Angreifern ins Visier genommen, die eine bisher unbekannte Schwachstelle ausnutzten, um Systeme zu kompromittieren.
Die Ausnutzung dieses 0-Day ermöglicht es Angreifern, Malichus einzusetzen, ein modulares Malware-Framework mit fortschrittlichen Funktionen, die auf Exfiltration, Aufklärung und Post-Exploitation-Operationen abzielen.
2024 MITRE ATT&CK-Bewertungsergebnisse für KMUs und MSPs -> Kostenloser Leitfaden herunterladen
Der Name "Malichus" bezieht sich auf Malichus I., einen historischen Gegenspieler Kleopatras, der für seine kalkulierten Racheakte bekannt war, und passt zur zerstörerischen und strategischen Natur der Malware. Der Angriff erfolgt in einem mehrstufigen Prozess:
- Ersteinstieg mit PowerShell-Downloader
- Java-basierte Second-Stage-Downloader
- Einsatz eines modularen Post-Exploitation Frameworks
In jeder Phase werden maßgeschneiderte Techniken eingesetzt, um eine Entdeckung zu vermeiden, einer Analyse zu entgehen und die Systemkontrolle zu maximieren.
Technische Anatomie der Malichus-Malware
Die Malichus-Malware-Familie zeichnet sich durch einen dreistufigen Bereitstellungsprozess aus, der sorgfältig darauf ausgelegt ist, eine zuverlässige Command-and-Control (C2)-Kommunikation aufzubauen, die Persistenz aufrechtzuerhalten und ein breites Spektrum an bösartigen Aktivitäten zu ermöglichen.
Stufe 1: PowerShell-Downloader
In der ersten Phase wird ein kleines PowerShell-Skript verwendet, das als Lader fungiert. Dieses Skript ist mit Base64-Kodierung und Funktionen zur Verschleierung versehen:
- Dekodieren und Ausführen einer Java-Archivdatei (JAR) im Format cleo.[unique-identifier].
- Stellen Sie eine TCP-Verbindung zum C2-Server her, um die Nutzdaten der zweiten Stufe abzurufen.
- Dynamische Zuweisung von C2-Adressen und Opferidentifikatoren über eine "Query"-Variable, um die Flexibilität bei verschiedenen Infektionen zu erhalten.
Diese Phase gewährleistet die schnelle Einrichtung des Hosts für weitere Angriffe und ist gleichzeitig so leicht, dass sie Endpunkt-Erkennungssystemen entgeht.
Stufe 2: Java-Downloader
Die zweite Stufe umfasst einen Java-basierten Downloader, der für das Abrufen der endgültigen Nutzlast verantwortlich ist. Dieser Downloader:
- Entschlüsselt heruntergeladene Komponenten mit eindeutigen AES-Schlüsseln pro Nutzlast, um eine angriffsspezifische Verschlüsselung zu gewährleisten.
- Repariert beschädigte Zip-Dateien als Teil seines Mechanismus zur Bereitstellung von Nutzdaten.
- Löst Klassendateien innerhalb des entschlüsselten Archivs dynamisch auf, um Stufe 3 zu starten.
Die Implementierung benutzerdefinierter Routinen, wie z. B. das Parsen von Umgebungsvariablen und die verschlüsselte C2-Kommunikation, zeigt, dass die Malware-Autoren großen Wert auf Tarnung und Anpassungsfähigkeit legen.
Stufe 3: Modularer Nachnutzungsrahmen
Die letzte Stufe ist ein Java-basiertes Framework, das aus neun verschiedenen Klassendateien besteht und umfassende Funktionen für die Ziele des Angreifers bereitstellt. Zu den wichtigsten Komponenten dieses Frameworks gehören:
- Cli-Klasse
- Erleichtert die C2-Kommunikation, einschließlich Warteschlangenverbindungen an Port 443.
- Löscht Spuren früherer Payloads mit plattformspezifischen Befehlen (z. B. PowerShell oder Bash).
- Protokolliert die Aktivitäten zur Fehlersuche und Betriebsverfolgung.
- Proc Klasse
- Führt Befehle auf dem kompromittierten System aus, einschließlich interaktiver Shell-Sitzungen.
- Analysiert Cleo-Konfigurationsdateien, um Handelsbeziehungen und sensible Datenpositionen aufzudecken.
- Dwn-Klasse
- Ermöglicht die Exfiltration von Dateien durch Komprimieren, Verpacken und Hochladen ausgewählter Verzeichnisse auf C2.
- Verfolgt Status und Fortschritt von Exfiltrationsaufgaben dynamisch.
- Benutzerdefiniertes C2-Protokoll
Malichus verwendet ein vollständig benutzerdefiniertes C2-Kommunikationsprotokoll, das Paketintegritätsprüfungen (CRC32) und Verschlüsselungsroutinen umfasst und einen sicheren Datenaustausch zwischen infizierten Hosts und Angreifern gewährleistet. Spezielle Pakettypen, wie z. B. "Hallo"- und "Zip"-Pakete, vereinfachen die operative Kontrolle und Exfiltrationsverfahren.
Das modulare Design und der umfangreiche Funktionsumfang von Malichus weisen auf einen maßgeschneiderten Ansatz für Unternehmen hin, die Cleo-Software einsetzen, insbesondere in Branchen, in denen sichere Dateiübertragung und Geschäftsintegration von entscheidender Bedeutung sind.
Durch die Kenntnis der Konfigurationsstruktur von Cleo kann die Schadsoftware diese ausnutzen:
- Ermittlung der Beziehungen zwischen Handelspartnern.
- Suchen Sie Verzeichnisse mit ausgetauschten Dateien.
- Ausnutzung sensibler Daten für weitere Angriffe oder finanzielle Gewinne.
Ein besonderes Problem ist die Anpassungsfähigkeit von Malichus. Die Unterstützung mehrerer Plattformen (Windows und Linux), die dynamische C2-Behandlung und die verschlüsselten Paketprotokolle machen die Erkennung und Eindämmung für Standard-Cybersicherheitsabwehrsysteme schwierig.
Die 0-Day-Schwachstelle Cleo, die zur Verbreitung der Malichus-Malware ausgenutzt wurde, verdeutlicht die sich ständig weiterentwickelnden Taktiken von Cyberkriminellen, die es auf wichtige Unternehmenssysteme abgesehen haben.
Malichus stellt einen ausgeklügelten und gezielten Angriff dar, der die sofortige Aufmerksamkeit von Unternehmen erfordert, die sich auf Cleo-Software verlassen.
