Fog

Überblick

Fog ist eine Ransomware, deren Operationen mit dem Bedrohungsakteur Storm-0844 in Verbindung gebracht werden. Dieser Akteur ist bereits durch die Verbreitung der Ransomware Akira bekannt geworden und hat sein Vorgehen erweitert, indem er zunehmend Fog zum Einsatz bringt – im Verlauf seiner Kampagnen sogar in stärkerem Umfang als zuvor Akira. Ein charakteristisches Erkennungsmerkmal von Fog ist die Dateiendung „.flocked“, die den durch die Verschlüsselung unbrauchbar gemachten Dateien angehängt wird. Damit ordnet sich Fog in das Umfeld professionell agierender Ransomware-Operationen ein, das von einem etablierten Akteur betrieben und parallel zu einer bereits bekannten Schadsoftware-Familie ausgerollt wird.

Taktiken & Vorgehen

Das Vorgehen der Gruppe stützt sich auf ein breites Werkzeugarsenal. Zum Abgreifen von Zugangsdaten und zum Angriff auf Verzeichnisdienste kommen DonPAPI, Veeam-Get-Creds, Certipy, Orpheus und Zer0dump zum Einsatz. Für die Erkundung des Netzwerks werden der Advanced Port Scanner, SoftPerfect NetScan und SharpShares genutzt. Die seitliche Bewegung im Netz sowie die Ausführung von Befehlen erfolgen über PsExec, Impacket und NetExec. Zur Steuerung kompromittierter Systeme und für Tunnelverbindungen setzt die Gruppe Sliver, Metasploit, Powercat und Proxychains ein. Für dauerhaften Fernzugriff wird zudem das legitime Fernwartungswerkzeug AnyDesk missbraucht.

Schutzmaßnahmen

Da Werkzeuge wie DonPAPI, Veeam-Get-Creds, Certipy, Orpheus und Zer0dump auf den Diebstahl von Zugangsdaten und den Missbrauch von Verzeichnisdiensten zielen, sollten privilegierte Konten gehärtet und die Zertifikats- und Active-Directory-Infrastruktur überwacht werden. Gegen Erkundung mittels Advanced Port Scanner, SoftPerfect NetScan und SharpShares sowie seitliche Bewegung über PsExec, Impacket und NetExec sollte das Netzwerk segmentiert und die Nutzung administrativer Protokolle protokolliert werden. Der missbräuchliche Einsatz von AnyDesk sollte durch eine Kontrolle zugelassener Fernwartungssoftware unterbunden werden. Verbindungen zu Steuerungswerkzeugen wie Sliver, Metasploit, Powercat und Proxychains sollten am Netzwerkrand erkannt und blockiert werden.