Yanluowang

Überblick

Bei Yanluowang handelt es sich nach Angaben von PCrisk um eine Ransomware, die Dateien verschlüsselt und dabei umbenennt, an den Dateinamen die Endung „.yanluowang“ anhängt und auf den befallenen Systemen eine Erpressernachricht in der Datei „README.txt“ hinterlegt. Vor der Verschlüsselung beendet die Schadsoftware sämtliche laufenden Prozesse und stoppt Dienste, um den Zugriff auf möglichst viele Dateien zu erlangen und Schutzmechanismen auszuhebeln. Die Hintermänner richten ihre Angriffe gezielt gegen Unternehmen sowie gegen Einrichtungen des Finanzsektors. Bemerkenswert ist, dass die von Yanluowang verschlüsselten Daten unter bestimmten Bedingungen mit einem Entschlüsselungswerkzeug wiederhergestellt werden können: Bei hinreichend großen Ausgangsdateien lassen sich alle Dateien zurückgewinnen, bei kleineren Ausgangsdateien hingegen nur die kleineren. Damit weist die Gruppe das typische Vorgehen einer auf Unternehmensumgebungen ausgerichteten Erpressersoftware auf.

Taktiken & Vorgehen

Yanluowang setzt ein breites Arsenal an Werkzeugen ein, das ein zielgerichtetes Vorgehen in Unternehmensnetzen erkennen lässt. Zum Abgreifen von Zugangsdaten kommen Mimikatz, KeeThief sowie die Browser-orientierten Werkzeuge GrabChrome, GrabFF und NirSoft WebBrowserPassView zum Einsatz. Für die Erkundung des Netzwerks und des Active Directory werden AdFind, SoftPerfect NetScan und die NTDS Utility (ntdsutil) genutzt, ergänzt um S3 Browser und Cent Browser. Die Verbreitung und Ausführung im Netz erfolgt über PsExec, Impacket sowie das Tunneling-Werkzeug Chisel und das Angriffsframework Cobalt Strike. Für dauerhaften Fernzugriff missbraucht die Gruppe legitime Fernwartungslösungen wie LogMeIn, ScreenConnect und TeamViewer. Zur Verschleierung der Aktivitäten werden mit der Windows Event Utility (wevtutil) Protokolldaten manipuliert.

Schutzmaßnahmen

Da legitime Fernwartungssoftware wie LogMeIn, ScreenConnect und TeamViewer missbraucht wird, sollte deren Einsatz auf das Notwendige beschränkt, überwacht und durch Mehr-Faktor-Authentisierung abgesichert werden. Gegen das Auslesen von Zugangsdaten mit Mimikatz und KeeThief sollte der Zugriff auf den Speicher privilegierter Prozesse eingeschränkt und die Zahl administrativer Konten reduziert werden. Die laterale Bewegung über PsExec und Impacket lässt sich durch Netzwerksegmentierung und Überwachung administrativer Anmeldungen erschweren. Verbindungen von Cobalt Strike und dem Tunneling-Werkzeug Chisel sollten durch Ausgangsfilterung des Netzverkehrs erkannt werden. Gegen die Manipulation von Ereignisprotokollen mittels wevtutil sollten Protokolldaten zentral und manipulationssicher ausgelagert werden.