WIP26-Spionage-Malware im Nahen Osten

QGroup und SentinelLabs haben Angriffe analysiert, die als WIP26 bezeichnet werden. WIP26 missbraucht öffentliche Cloud-Services aus, zum Beispiel  Microsoft365 Mail, Microsoft Azure, Google Firebase oder Dropbox,  um Malware zu verbreiten, Daten zu exfiltrieren oder für C2-Zwecke. Die Sicherheitsforscher halten es für wahrscheinlich, dass diese Aktivität mit Spionage zusammenhängt, da die Angreifer Telekommunikationsanbieter im Nahen Osten ins Visier genommen haben.

Gezielte Ansprache über WhatsApp

Mitarbeitern werden für die WIP26-Aktivitäten gezielt per WhatsApp-Nachrichten angesprochen. Diese Nachrichten enthalten Dropbox-Links zu einem Malware-Loader. Laden Mitarbeiter den Loader herunter und führen ihn aus, werden Backdoors bereitgestellt, die Microsoft365 Mail und Google Firebase-Instanzen als C2-Server nutzen. Die Backdoors werden als CMD365 bzw. CMDEmber bezeichnet. Die Hauptfunktion von CMD365 und CMDEmber besteht darin, vom Angreifer bereitgestellte Systembefehle über den Windows-Befehlsinterpreter auszuführen.

Die Nutzung der öffentlichen Cloud-Infrastruktur für C2-Zwecke ist ein Versuch, gefährlichen C2-Netzwerkverkehr als legitim erscheinen zu lassen und damit die Entdeckung zu erschweren. Die beobachteten CMD365- und CMDEmber-Samples geben sich als Dienstprogramme aus, z. B. als PDF-Editor oder Browser, und als Software, die Aktualisierungsvorgänge durchführt. Dafür verwenden die Akteure Dateinamen, Anwendungssymbole und digitale Signaturen, die auf bestehende Softwareanbieter hinweisen.

Ausweitung von Rechten und Malwareverbreitung

Die Hauptfunktion von CMD365 besteht darin, Befehle von einem C2 auszuführen, der auf einer Microsoft 365 Mail-Instanz gehostet wird. Diese Fähigkeit wurde zum Beispiel für die Aufklärung, die Ausweitung von Rechten, das Bereitstellen zusätzlicher Malware und die Datenexfiltration genutzt. Unter der Malware beobachteten die SentinelOne-Experten neben der Update.exe – EdgeUpdater.exe ein weiteres CMD365-Sample. Darüber hinaus auch CMDEmber-Samples, die Google Firebase Realtime Database-Instanzen als C2-Server verwenden – .NET-Executables namens Update.exe und Launcher.exe.