Trigona-Ransomware setzt eigenes Tool zum Datendiebstahl ein

Zusammenfassung

Bei kürzlich beobachteten Angriffen mit der Trigona-Ransomware kommt ein eigens entwickeltes Kommandozeilen-Werkzeug zum Einsatz, mit dem die Angreifer Daten aus kompromittierten Umgebungen schneller und effizienter abziehen. Das berichten Forscher des Sicherheitsunternehmens Symantec. Das Tool wurde in Angriffen im März verwendet, die einem Affiliate der Gruppe zugeschrieben werden. Der Wechsel zu einer Eigenentwicklung dient laut den Forschern offenbar dem Zweck, frei verfügbare Programme wie Rclone und MegaSync zu meiden, die typischerweise von Sicherheitslösungen erkannt werden. Symantec wertet diesen Schritt als Hinweis darauf, dass der Angreifer „Zeit und Aufwand in eigene Schadsoftware investiert, um während einer kritischen Phase seiner Angriffe ein niedrigeres Profil zu wahren". Trigona war im Oktober 2022 als Doppelerpressungsoperation gestartet, die von ihren Opfern Lösegeldzahlungen in der Kryptowährung Monero verlangte. Obwohl ukrainische Cyber-Aktivisten die Operation im Oktober 2023 gestört, deren Server gehackt und interne Daten wie Quellcode und Datenbankeinträge erbeutet hatten, deuten die Beobachtungen von Symantec darauf hin, dass die Akteure ihre Aktivitäten wieder aufgenommen haben.

Im Mittelpunkt der von Symantec untersuchten Angriffe steht ein Programm namens „uploader_client.exe", das sich mit einer fest einprogrammierten Serveradresse verbindet. Bei einem der Vorfälle nutzten die Angreifer das Werkzeug, um hochwertige Dokumente wie Rechnungen und PDF-Dateien von Netzlaufwerken zu entwenden.

Die Forscher gehen davon aus, dass die Hinwendung zu einem eigenen Tool darauf hindeutet, dass der Angreifer in proprietäre Schadsoftware investiert, um in einer entscheidenden Phase der Angriffe weniger Aufmerksamkeit zu erregen. Frei verfügbare Werkzeuge wie Rclone und MegaSync lösen dagegen häufig Alarme bei Sicherheitslösungen aus.

Trigona wurde im Oktober 2022 als Doppelerpressungsoperation gestartet und verlangte Lösegeld in der Kryptowährung Monero. Im Oktober 2023 hatten ukrainische Cyber-Aktivisten die Operation gestört, indem sie deren Server hackten und interne Daten wie Quellcode und Datenbankeinträge stahlen. Die aktuellen Beobachtungen von Symantec legen nahe, dass die Täter ihre Tätigkeit dennoch fortsetzen.

Den Beobachtungen der jüngsten Angriffe zufolge installieren die Akteure das Tool HRSword aus der Huorong Network Security Suite als Kernel-Treiberdienst. Anschließend werden weitere Werkzeuge eingesetzt, die Sicherheitsprodukte deaktivieren können – darunter PCHunter, Gmer, YDark, WKTools, DumpGuard und StpProcessMonitorByovd. „Viele davon nutzten verwundbare Kernel-Treiber, um Prozesse der Endpunktschutzsoftware zu beenden", erklärt Symantec.

Ein Teil der Werkzeuge wurde mit PowerRun ausgeführt, einem Programm, das Anwendungen, ausführbare Dateien und Skripte mit erhöhten Rechten starten und so Schutzmechanismen im Benutzermodus umgehen kann. Für den direkten Fernzugriff auf die kompromittierten Systeme kam AnyDesk zum Einsatz, während Mimikatz und Werkzeuge von Nirsoft zum Diebstahl von Zugangsdaten und zur Wiederherstellung von Passwörtern verwendet wurden.

Am Ende ihres Berichts hat Symantec Kompromittierungsindikatoren (IoCs) zu den jüngsten Trigona-Aktivitäten aufgeführt, um eine frühzeitige Erkennung und Blockierung dieser Angriffe zu unterstützen.

Trigona-Ransomware setzt eigenes Tool zum Datendiebstahl ein

Ähnliche Artikel

Neueste Artikel