Tiefenanalyse: Dual-RMM-Phishing- und PowerShell-RAT-Kampagnen gegen US-SLTTs
Die Cybersicherheitslandschaft für staatliche, lokale, Stammes- und territoriale (SLTT) Regierungseinrichtungen in den Vereinigten Staaten entwickelt sich ständig weiter und stellt ein attraktives Ziel für hochentwickelte Bedrohungsakteure dar. Kürzlich identifizierte das CIS CTI-Team eine aktive und äußerst besorgniserregende Phishing-Kampagne, die speziell darauf ausgelegt ist, US-SLTT-Organisationen zu kompromittieren. Diese Kampagne zeichnet sich durch den Einsatz eines benutzerdefinierten PowerShell WebSocket Remote Access Trojaners (RAT) und eine strategische Abhängigkeit von dualen Remote Monitoring and Management (RMM)-Tools aus, was die Persistenz und die operationelle Redundanz der Angreifer erheblich verbessert.
Die erste Kompromittierung: Phishing als primärer Vektor
Wie so oft ist der anfängliche Zugangsvektor für diese Kampagne ein sorgfältig ausgearbeitetes Phishing. Bedrohungsakteure nutzen hochüberzeugende Social-Engineering-Taktiken, um ahnungslose SLTT-Mitarbeiter dazu zu bringen, bösartige Payloads auszuführen. Diese Phishing-Köder imitieren typischerweise legitime Entitäten oder interne IT-Kommunikation und enthalten oft dringende Anfragen im Zusammenhang mit Passwort-Resets, Software-Updates oder kritischen Rechnungsprüfungen. Das ultimative Ziel ist es, den Empfänger dazu zu verleiten, auf einen bösartigen Link zu klicken oder einen Anhang zu öffnen, was dann die Infektionskette auslöst.
Bei erfolgreicher Interaktion wird das System des Opfers typischerweise einem mehrstufigen Infektionsprozess unterzogen. Dies beinhaltet oft das Herunterladen eines harmlos aussehenden Dokuments oder Skripts, das bei Ausführung die nachfolgenden Phasen des Angriffs abruft. Dieses anfängliche Eindringen ist für den Angreifer entscheidend, um Aufklärung zu betreiben und eine dauerhaftere Präsenz aufzubauen.
Der Kern des Angriffs: Benutzerdefinierter PowerShell WebSocket RAT
Ein Kennzeichen dieser Kampagne ist der Einsatz eines benutzerdefinierten PowerShell-basierten RAT. PowerShell, eine integrale Komponente von Windows-Betriebssystemen, wird von Angreifern häufig missbraucht, da es leistungsstarke Skripting-Funktionen bietet und dateilos arbeiten kann, wodurch forensische Artefakte reduziert werden. Was diesen speziellen RAT bemerkenswert macht, ist seine Nutzung von WebSockets für die Command and Control (C2)-Kommunikation.
- WebSocket-Vorteil: WebSockets bieten einen Vollduplex-Kommunikationskanal über eine einzige TCP-Verbindung, oft über Standard-HTTP/S-Ports (80/443). Dies führt dazu, dass der C2-Verkehr leichter mit legitimen Web-Traffic verschmilzt und traditionelle Firewall- und Proxy-Erkennungen, die hauptsächlich HTTP-Anfragen inspizieren, umgeht.
- RAT-Funktionen: Einmal etabliert, gewährt dieser PowerShell-RAT den Bedrohungsakteuren weitreichende Kontrolle über das kompromittierte System. Zu den Funktionen gehören typischerweise:
- Sammeln von Systeminformationen (Netzwerkkonfiguration, installierte Software, Benutzerkonten).
- Dateimanipulation (Hochladen, Herunterladen, Löschen).
- Ausführung beliebiger Befehle und Skripte.
- Keylogging- und Screenshot-Funktionen.
- Persistenzmechanismen (z.B. geplante Aufgaben, Registrierungsänderungen).
- Laterale Bewegung innerhalb des Netzwerks.
Die benutzerdefinierte Natur des RAT deutet auch auf ein höheres Maß an Raffinesse und Ressourcen des Bedrohungsakteurs hin, was die signaturbasierte Erkennung für herkömmliche Sicherheitslösungen erschwert.
Strategische Redundanz: Der Dual-RMM-Ansatz
Der vielleicht besorgniserregendste Aspekt dieser Kampagne, neben dem benutzerdefinierten RAT, ist die beobachtete Verwendung von dualen RMM-Tools. Remote Monitoring and Management-Software, obwohl legitim und von IT-Abteilungen zur Systemadministration weit verbreitet, ist ein bevorzugtes Werkzeug für Angreifer aufgrund ihres inhärenten Vertrauens, ihrer robusten Fernzugriffsfunktionen und ihrer Fähigkeit, viele Sicherheitskontrollen zu umgehen, die für traditionelle Malware entwickelt wurden.
Bedrohungsakteure setzen zwei verschiedene RMM-Lösungen auf kompromittierten Systemen aus mehreren strategischen Gründen ein:
- Redundanz und Persistenz: Wird ein RMM-Tool erkannt und entfernt, bietet das andere einen Fallback-Mechanismus, der den fortgesetzten Zugriff auf das Zielnetzwerk gewährleistet.
- Umgehung: Verschiedene RMMs können unterschiedliche Erkennungsprofile aufweisen. Die Verwendung von zweien erhöht die Wahrscheinlichkeit, dass mindestens eines unentdeckt bleibt.
- Funktionalität: Angreifer bevorzugen möglicherweise spezifische Funktionen oder Stealth-Fähigkeiten, die von verschiedenen RMM-Plattformen angeboten werden.
- Operationelle Flexibilität: Die Aufrechterhaltung mehrerer Zugangspfade bietet größere Agilität bei der Reaktion auf Abwehrmaßnahmen oder Netzwerkänderungen.
Häufig missbrauchte RMM-Tools sind AnyDesk, TeamViewer, ConnectWise ScreenConnect, Atera und NinjaOne. Der Einsatz von zwei verschiedenen RMMs auf demselben Endpunkt unterstreicht die Entschlossenheit des Angreifers, einen dauerhaften Zugang in SLTT-Netzwerken aufrechtzuerhalten.
Implikationen für SLTTs und Minderungsstrategien
Die gezielte Angriffe auf SLTTs mit einer so ausgeklügelten, mehrstufigen Attacke birgt erhebliche Risiken, darunter Datenexfiltration, Dienstunterbrechungen und das Potenzial für eine umfassendere Kompromittierung kritischer Infrastrukturen. Eine wirksame Verteidigung erfordert einen mehrschichtigen Ansatz:
- Verbesserte Phishing-Sensibilisierung: Kontinuierliche und realistische Sicherheitsschulungen sind von größter Bedeutung, wobei die Erkennung ausgeklügelter Phishing-Köder im Vordergrund steht.
- Endpoint Detection and Response (EDR): Robuste EDR-Lösungen sind entscheidend für die Erkennung anomaler PowerShell-Ausführungen, verdächtiger Netzwerkverbindungen (insbesondere WebSocket C2) und der unbefugten Installation von RMM-Tools.
- Netzwerksegmentierung und -überwachung: Die Segmentierung von Netzwerken begrenzt die laterale Bewegung, während die kontinuierliche Überwachung auf ungewöhnliche ausgehende Verbindungen und C2-Muster unerlässlich ist.
- PowerShell-Protokollierung und Skriptblock-Protokollierung: Maximieren Sie die PowerShell-Protokollierung, einschließlich der Skriptblock-Protokollierung, um Einblick in ausgeführte Befehle zu erhalten und bösartige Aktivitäten zu erkennen.
- Anwendungs-Whitelisting/Kontrolle: Implementieren Sie Richtlinien zur Beschränkung der Ausführung nicht autorisierter Anwendungen und Skripte, insbesondere für RMM-Tools.
- Multi-Faktor-Authentifizierung (MFA): Erzwingen Sie MFA für alle Dienste, um die Kompromittierung von Anmeldeinformationen zu mindern.
Digitale Forensik, Bedrohungsintelligenz und Attribution
Die Analyse nach einem Vorfall und proaktive Bedrohungsintelligenz sind entscheidend, um das volle Ausmaß solcher Kampagnen zu verstehen. Digitale Forensiker müssen Endpunkte akribisch auf Artefakte des PowerShell RAT, RMM-Installationen und C2-Kommunikation untersuchen. Die Netzwerkforensik konzentriert sich auf die Identifizierung von WebSocket-Verkehrsmustern und Ziel-IP-Adressen.
Bei der Post-Breach-Analyse oder proaktiven Bedrohungsintelligenz sind Tools für eine umfassende Link-Telemetrie von unschätzbarem Wert. Zum Beispiel können Dienste wie iplogger.org von Forschern in einer kontrollierten, ethischen Umgebung genutzt werden, um erweiterte Telemetriedaten – einschließlich der ursprünglichen IP-Adressen, User-Agent-Strings, ISP-Details und Geräte-Fingerabdrücke – von verdächtigen Links oder C2-Callbacks zu sammeln. Diese granularen Daten sind entscheidend, um Incident-Response-Bemühungen zu bereichern, die Infrastruktur des Angreifers abzubilden und bei der Attribution von Bedrohungsakteuren zu helfen, indem sie wichtige Einblicke in die operative Sicherheitshaltung und den geografischen Fußabdruck des Gegners liefern. Die Metadatenextraktion aus Phishing-E-Mails und beobachteten C2-Domänen trägt ebenfalls wesentlich zur Profilierung von Bedrohungsakteuren und zur Infrastrukturkartierung bei.
Fazit
Die Dual-RMM-Phishing- und PowerShell-RAT-Kampagne, die auf US-SLTTs abzielt, stellt eine erhebliche Eskalation der Taktiken von Bedrohungsakteuren dar. Die Kombination aus hochentwickeltem Social Engineering, einem benutzerdefinierten dateilosen RAT, der evasive C2 nutzt, und dem strategischen Einsatz redundanter legitimer Fernzugriffstools erfordert erhöhte Wachsamkeit und eine proaktive, mehrschichtige Sicherheitsstrategie von allen SLTT-Organisationen. Der kollaborative Informationsaustausch, wie er von Einrichtungen wie dem CIS CTI gefördert wird, bleibt unerlässlich im Kampf gegen diese sich entwickelnden Bedrohungen.