Chinesischer Bedrohungsakteur verwendet ROOTROT-Malware
Die MITRE Corporation hat zusätzliche Informationen zu einem kürzlich erfolgten Cyberangriff bereitgestellt, aus denen hervorgeht, dass die ersten Anzeichen eines Eindringens auf den 31. Dezember 2023 zurückgehen. Dieser Angriff, der letzten Monat bekannt wurde, zielte auf MITREs NERVE (Networked Experimentation, Research, and Virtualization Environment) ab, indem zwei Zero-Day-Schwachstellen in Ivanti Connect Secure (CVE-2023–46805 und CVE-2024–21887) ausgenutzt wurden.
Laut MITRE verschafften sich die Angreifer über eine kompromittierte VMware-Infrastruktur mit einem Administratorkonto Zugang zum Forschungsnetzwerk. Anschließend nutzten sie Backdoors und Webshells, um sich den Zugang zu sichern und Anmeldeinformationen zu sammeln.
Bei weiterer Analyse kommen neue Details ans Licht
Obwohl MITRE zuvor von Aufklärungsaktivitäten ab Januar 2024 berichtet hatte, zeigt eine detaillierte Analyse nun, dass die Kompromittierung Ende Dezember 2023 mit der Bereitstellung einer Perl-basierten Web-Shell namens ROOTROT begann.
Diese Web-Shell war in eine legitime Connect Secure .ttc-Datei eingebettet und wurde mit einer chinesischen Cyber-Spionagegruppe namens UNC5221 in Verbindung gebracht, die für andere Web-Shells wie BUSHWALK, CHAINLINE, FRAMESTING und LIGHTWIRE bekannt ist.
Nach der Bereitstellung von ROOTROT erstellten die Angreifer ein Profil der NERVE-Umgebung, kommunizierten mit ESXi-Hosts, übernahmen die Kontrolle über die VMware-Infrastruktur von MITRE und setzten eine Golang-Hintertür namens BRICKSTORM und eine nicht genannte Web-Shell namens BEEFLUSH für dauerhaften Zugriff und Befehlsausführung ein.
Lex Crumpton von MITRE erklärte, dass die Angreifer Techniken wie SSH-Manipulation und das Ausführen verdächtiger Skripte verwendeten, um die Kontrolle zu behalten. Darüber hinaus wurde kurz nach der öffentlichen Bekanntgabe der Schwachstellen am 11. Januar 2024 eine weitere Webshell namens WIREFIRE (oder GIFTEDVISITOR) für verdeckte Kommunikation und Datendiebstahl eingesetzt.
