Sagerunex-Malware-Varianten: Ein genauerer Blick auf die sich entwickelnde Cyber-Bedrohung

Cybersicherheitsforscher haben neue Entwicklungen in den laufenden Aktivitäten der Hackergruppe Lotus Panda aufgedeckt. Dieser Bedrohungsakteur, der vermutlich Verbindungen nach China hat, hat in mehreren Regionen, darunter den Philippinen, Vietnam, Hongkong und Taiwan, aktiv Regierungs-, Fertigungs-, Telekommunikations- und Medienorganisationen ins Visier genommen. Im Mittelpunkt ihrer Aktivitäten steht eine sich weiterentwickelnde Malware-Suite namens Sagerunex, die seit mindestens 2016 als Hintertür für Cyber-Spionage verwendet wird.

Was ist Sagerunex?

Sagerunex ist eine hochentwickelte Backdoor-Malware, die darauf ausgelegt ist, Zielsysteme zu infiltrieren, Host-Informationen zu sammeln und Daten auf einen externen Server zu schleusen, der von Angreifern kontrolliert wird. Die Malware wurde im Laufe der Jahre erheblich modifiziert, wobei die neuesten Varianten verbesserte Möglichkeiten zur Aufrechterhaltung der Persistenz und zur Vermeidung der Erkennung aufweisen. Diese Modifikationen sind ein Beweis für die kontinuierlichen Bemühungen von Lotus Panda, seine Tools zu verfeinern und seine Cyber-Spionage-Operationen zu verbessern.

Sagerunex wurde ursprünglich von einer älteren Malware namens Evora abgeleitet und dient als Einstiegspunkt in kompromittierte Netzwerke. Sobald es sich darin befindet, richtet es einen verdeckten Kommunikationskanal ein, über den die Angreifer Befehle aus der Ferne erteilen können. Die neuesten Versionen der Malware nutzen weit verbreitete Onlinedienste wie Dropbox , X (früher Twitter) und Zimbra und verwenden sie als Command-and-Control-Tunnel (C2). Indem sie diese legitimen Plattformen ausnutzen, können die Angreifer herkömmliche Sicherheitsmaßnahmen umgehen und sich langfristigen Zugriff auf kompromittierte Systeme verschaffen.

Was haben die Angreifer im Sinn?

Das Hauptziel der Kampagnen von Lotus Panda ist die Durchführung von Cyber-Spionage durch das Sammeln vertraulicher Informationen von Zielunternehmen. Die Malware ermöglicht Angreifern Folgendes:

• Systeminformationen sammeln : Sagerunex sammelt Details über den Hostcomputer, einschließlich Benutzeranmeldeinformationen, laufende Prozesse und Netzwerkkonfigurationen.
• Remote-Befehle ausführen : Über die Hintertür können Bedrohungsakteure Befehle auf kompromittierten Geräten ausführen und erhalten so ein hohes Maß an Kontrolle über infizierte Maschinen.
• Daten stehlen : Gestohlene Informationen werden häufig komprimiert und verschlüsselt, bevor sie an Remote-Server gesendet werden, was die Erkennung und Analyse für Cybersicherheitsteams schwieriger macht.
• Tarnung und Persistenz aufrechterhalten : Indem sich die Schadsoftware in legitime Webdienste einbettet, kann sie Sicherheitstools umgehen und über längere Zeiträume in kompromittierten Netzwerken aktiv bleiben.

Ein bemerkenswertes Merkmal der Zimbra-Webmail-Variante von Sagerunex ist die Fähigkeit, Befehlsanweisungen über E-Mail-Inhalte zu empfangen. Angreifer betten Befehle in Zimbra-Mail-Nachrichten ein und die Malware sucht nach legitimen Anweisungen. Wenn gültige Befehle erkannt werden, werden sie ausgeführt; andernfalls wird der Nachrichteninhalt gelöscht, um keinen Verdacht zu erregen. Dieser innovative Ansatz unterstreicht die zunehmende Raffinesse der Cyber-Operationen von Lotus Panda.

Wie funktioniert Sagerunex?

Obwohl die genaue Methode der Erstinfektion unklar bleibt, hat Lotus Panda in der Vergangenheit Spear-Phishing-Kampagnen und Watering-Hole-Angriffe durchgeführt. Diese Techniken umfassen:

• Spear-Phishing : Senden sorgfältig gestalteter E-Mails, die die Empfänger dazu verleiten, auf bösartige Links zu klicken oder infizierte Anhänge zu öffnen.
• Watering Hole-Angriffe : Gefährdung vertrauenswürdiger Websites, die von den Zielorganisationen häufig besucht werden, wodurch die Verbreitung von Malware über legitim aussehende Downloads ermöglicht wird.

Sobald Sagerunex in einem System ist, führt es Aufklärungsaktivitäten durch und sammelt Informationen über die Netzwerkumgebung. Befehle wie net, tasklist, ipconfig und netstat werden ausgeführt, um die Systemarchitektur, laufende Prozesse und Netzwerkverbindungen zu identifizieren. Wenn der Internetzugang eingeschränkt ist, kann sich die Malware anpassen, indem sie die Proxy-Einstellungen des Ziels nutzt oder das Proxy-Tool Venom einsetzt, um eine externe Verbindung herzustellen.

Zu den weiteren Tools, die in Verbindung mit Sagerunex bereitgestellt werden, gehören:

• Ein Cookie-Dieb : Extrahiert gespeicherte Anmeldeinformationen des Chrome-Browsers und gewährt möglicherweise Zugriff auf zusätzliche Konten und Dienste.
• Programme zur Rechteausweitung : Passt die Benutzerberechtigungen an, um Angreifern erweiterten Zugriff zu gewähren.
• Tools zur Datenkomprimierung und -verschlüsselung : Verpackt gestohlene Daten sicher für die Exfiltration und erschwert so Cybersicherheitsexperten die Erkennung unbefugter Übertragungen.

Auswirkungen auf die Cybersicherheit

Die kontinuierliche Weiterentwicklung von Sagerunex stellt eine große Herausforderung für Cybersicherheitsteams dar, insbesondere im Regierungs- und kritischen Infrastruktursektor. Die Verwendung legitimer Dienste für Kommunikation und Datenexfiltration erschwert die Erkennungsbemühungen, da herkömmliche Sicherheitsmaßnahmen scheinbar harmlose Aktivitäten mit Plattformen wie Dropbox und Zimbra übersehen können.

Unternehmen müssen zur Abwehr dieser Art von Bedrohungen einen proaktiven Ansatz verfolgen. Zu den empfohlenen Strategien gehören:

• Stärkung der E-Mail-Sicherheit : Durch die Implementierung erweiterter E-Mail-Filter und die Schulung der Mitarbeiter zum Erkennen von Spear-Phishing-Versuchen kann das Risiko einer Erstinfektion verringert werden.
• Überwachung des Netzwerkverkehrs : Die Analyse ausgehender Kommunikationen auf ungewöhnliche Aktivitäten kann beim Identifizieren versteckter C2-Kanäle helfen.
• Verbesserung des Endpunktschutzes : Durch den Einsatz von Tools zur Verhaltensanalyse können verdächtige Prozesse erkannt werden, die auf Malware-Aktivitäten hinweisen.
• Anwendung der Zero-Trust-Prinzipien : Durch die Beschränkung des Zugriffs auf der Grundlage verifizierter Identitäten und die Implementierung von Segmentierungsstrategien können Sie die Fähigkeit eines Angreifers einschränken, sich innerhalb eines Netzwerks seitlich zu bewegen.

Abschließende Gedanken

Das Auftauchen neuer Sagerunex-Varianten unterstreicht die Anpassungsfähigkeit und Hartnäckigkeit von Cyberbedrohungsakteuren wie Lotus Panda. Da sich ihre Taktiken ständig weiterentwickeln, müssen auch die Abwehrmaßnahmen der angegriffenen Organisationen verbessert werden. Durch das Verständnis der Fähigkeiten und Ziele dieser Malware können Unternehmen und Regierungsbehörden die notwendigen Schritte unternehmen, um ihre Cybersicherheit zu stärken und die Risiken dieser immer ausgefeilteren Bedrohungen zu minimieren.