Fancy Bear nutzt Nuke Threat Lure, um 1-Click-Bug auszunutzen

Die Advanced Persistent Threat Group Fancy Bear steckt hinter a Phishing-Kampagne das das Gespenst eines Atomkriegs nutzt, um einen bekannten Ein-Klick-Microsoft-Fehler auszunutzen. Das Ziel ist die Bereitstellung von Malware, die Anmeldeinformationen aus den Browsern Chrome, Firefox und Edge stehlen kann.

Laut Forschern von Malwarebytes Threat Intelligence hängen die Angriffe der mit Russland verbundenen APT mit dem Krieg zwischen Russland und der Ukraine zusammen. Sie berichten, dass Fancy Bear bösartige Dokumente verbreitet, die mit dem Exploit für bewaffnet sind Follina (CVE-2022-30190), ein bekannter Ein-Klick-Fehler von Microsoft, laut a Blog-Post Diese Woche veröffentlicht.

„Dies ist das erste Mal, dass wir beobachten, dass APT28 Follina in seinem Betrieb einsetzt“, schrieben die Forscher in dem Beitrag. Fancy Bear ist auch bekannt als APT28, Strontium und Sofacy.

Am 20. Juni beobachteten Forscher von Malwarebytes erstmals das bewaffnete Dokument, das zuerst einen .Net-Stealer herunterlädt und ausführt von Google gemeldet. Laut Googles Threat Analysis Group (TAG) hat Fancy Bear diesen Stealer bereits eingesetzt, um Nutzer in der Ukraine anzugreifen.

Das Computer Emergency Response Team der Ukraine (CERT-UA) auch unabhängig entdeckt das bösartige Dokument, das laut Malwarebytes von Fancy Bear in der jüngsten Phishing-Kampagne verwendet wurde.

Tragen Sie auf dem Loose

CERT-UA zuvor identifiziert Fancy Bear als einer der zahlreichen APTs, die parallel zur Invasion russischer Truppen, die Ende Februar begann, die Ukraine mit Cyberangriffen bombardieren. Es wird angenommen, dass die Gruppe im Auftrag des russischen Geheimdienstes operiert, um Informationen zu sammeln, die für die Agentur nützlich wären.

In der Vergangenheit wurde Fancy Bear in Angriffe auf Wahlen verwickelt in den Vereinigten Staaten und Europa, sowie Hacks gegen Sport- und Anti-Doping-Agenturen im Zusammenhang mit den Olympischen Spielen 2020.

Forscher markierten Follina erstmals im April, aber erst im Mai Wurde es offiziell als Zero-Day-Ein-Klick-Exploit identifiziert? Follina ist dem Microsoft Support Diagnostic Tool (MSDT) zugeordnet und verwendet das ms-msdt-Protokoll, um schädlichen Code aus Word oder anderen Office-Dokumenten zu laden, wenn sie geöffnet werden.

Der Fehler ist aus mehreren Gründen gefährlich – nicht zuletzt wegen seiner breiten Angriffsfläche, da er im Grunde jeden betrifft, der Microsoft Office auf allen derzeit unterstützten Windows-Versionen verwendet. Bei erfolgreicher Ausnutzung können Angreifer Benutzerrechte erlangen, um effektiv ein System zu übernehmen und Programme zu installieren, Daten anzuzeigen, zu ändern oder zu löschen oder neue Konten zu erstellen.

Microsoft hat kürzlich Follina in seinem Patch gepatcht Juni Patch Dienstag loslassen, aber es bleibt unter aktivem Exploit durch Bedrohungsakteure, einschließlich bekannter APTs.

Bedrohung durch nuklearen Angriff

Die Follina-Kampagne von Fancy Bear richtet sich an Benutzer mit E-Mails, die eine bösartige RTF-Datei mit dem Titel „Nuclear Terrorism A Very Real Threat“ enthalten, um die Befürchtungen der Opfer auszunutzen, dass die Invasion der Ukraine zu einem Atomkonflikt eskalieren wird, sagten Forscher in dem Beitrag. Der Inhalt des Dokuments ist eine Artikel von der Gruppe für internationale Angelegenheiten Atlantic Council, die die Möglichkeit untersucht, dass Putin im Krieg in der Ukraine Atomwaffen einsetzen wird.

Die schädliche Datei verwendet eine in die Datei Document.xml.rels eingebettete Remote-Vorlage, um eine Remote-HTML-Datei von der URL http://kitten-268[.]frge[.]io/article[.]html abzurufen. Die HTML-Datei verwendet dann einen JavaScript-Aufruf an window.location.href, um ein verschlüsseltes PowerShell-Skript mit dem ms-msdt-MSProtocol-URI-Schema zu laden und auszuführen, sagten die Forscher.

Die PowerShell lädt die endgültige Nutzlast – eine Variante des .Net-Stealers, der zuvor von Google in anderen Fancy Bear-Kampagnen in der Ukraine identifiziert wurde. Während die älteste Variante des Stealers ein gefälschtes Fehlermeldungs-Popup verwendete, um die Benutzer von dem abzulenken, was er tat, tut dies die Variante, die in der Nuklearkampagne verwendet wurde, nicht, sagten Forscher.

In Bezug auf andere Funktionen ist die kürzlich gesehene Variante „fast identisch“ mit der früheren, „mit nur ein paar kleineren Refactors und einigen zusätzlichen Sleep-Befehlen“, fügten sie hinzu.

Wie bei der vorherigen Variante besteht der Hauptzweck des Stealers darin, Daten – einschließlich Website-Anmeldeinformationen wie Benutzername, Passwort und URL – aus mehreren gängigen Browsern zu stehlen, darunter Google Chrome, Microsoft Edge und Firefox. Die Malware verwendet dann das IMAP-E-Mail-Protokoll, um Daten auf die gleiche Weise wie die frühere Variante auf ihren Command-and-Control-Server zu exfiltrieren, diesmal jedoch in eine andere Domäne, sagten die Forscher.

„Die alte Variante dieses Stealers war mit mail[.]sartoc.com (144.208.77.68) verbunden, um Daten zu exfiltrieren“, schrieben sie. „Die neue Variante verwendet dieselbe Methode, aber eine andere Domain, www.specialityllc[.]com. Interessanterweise befinden sich beide in Dubai.“

Die Eigentümer der Websites haben höchstwahrscheinlich nichts mit APT28 zu tun, da die Gruppe einfach verlassene oder gefährdete Websites ausnutzt, fügten die Forscher hinzu.