UNC6692 schleust über Microsoft Teams neue „Snow"-Malware ein

Die Erweiterung läuft in einer Edge-Instanz ohne sichtbare Oberfläche, sodass das Opfer nichts bemerkt. Zur dauerhaften Verankerung legen die Angreifer geplante Tasks sowie eine Verknüpfung im Autostart-Ordner an. SnowBelt dient dabei zugleich als Persistenz- und als Relay-Mechanismus: Über die Erweiterung werden Befehle an eine in Python geschriebene Backdoor namens SnowBasin weitergereicht.

Die Übermittlung der Befehle läuft über einen WebSocket-Tunnel, den ein Tunneling-Werkzeug namens SnowGlaze aufbaut, um die Kommunikation zwischen dem Host und der Command-and-Control-Infrastruktur (C2) zu verschleiern. SnowGlaze ermöglicht zudem SOCKS-Proxy-Betrieb, womit sich beliebiger TCP-Verkehr über den infizierten Rechner leiten lässt.

SnowBasin betreibt auf dem befallenen System einen lokalen HTTP-Server und führt die vom Angreifer gelieferten CMD- oder PowerShell-Befehle aus, deren Ergebnisse über denselben Kanal zurückgespielt werden. Die Malware unterstützt Remote-Shell-Zugriff, Datenexfiltration, das Herunterladen von Dateien, das Anfertigen von Screenshots sowie einfache Dateioperationen. Über einen eigenen Befehl kann der Betreiber die Backdoor auf dem Host auch selbst beenden lassen.

Nach der Kompromittierung führten die Angreifer laut Mandiant interne Erkundung durch und suchten nach Diensten wie SMB und RDP, um weitere Ziele zu identifizieren, bevor sie sich seitlich im Netzwerk ausbreiteten. Dabei lasen sie den Speicher des LSASS-Prozesses aus, um Anmeldeinformationen zu gewinnen, und nutzten Pass-the-Hash-Techniken, um sich an weiteren Hosts anzumelden – bis hin zu den Domänencontrollern.

In der Schlussphase des Angriffs setzten die Täter FTK Imager ein, um die Active-Directory-Datenbank samt der Registry-Hives SYSTEM, SAM und SECURITY zu extrahieren. Diese Dateien schleusten sie mit LimeWire aus dem Netzwerk, womit sie Zugriff auf sensible Zugangsdaten der gesamten Domäne erlangten.

Der Bericht von Mandiant enthält umfangreiche Kompromittierungsindikatoren (IoCs) sowie YARA-Regeln, mit denen sich das „Snow"-Toolset aufspüren lässt.