Microsoft onthult Oostenrijks bedrijf dat misbruik maakt van Windows en Adobe Zero-Day Exploits

Een cyberhuurling die “zogenaamd algemene beveiligings- en informatieanalysediensten aan commerciële klanten verkoopt” gebruikte verschillende zero-day-exploits van Windows en Adobe bij beperkte en zeer gerichte aanvallen op Europese en Midden-Amerikaanse entiteiten.

Het bedrijf, dat door Microsoft wordt beschreven als een offensieve actor in de particuliere sector (PSOA), is een in Oostenrijk gevestigd bedrijf genaamd DSIRF dat is gekoppeld aan de ontwikkeling en poging tot verkoop van een stuk cyberwapen dat wordt aangeduid als Onder nuldie kan worden gebruikt om telefoons, computers en op internet aangesloten apparaten van doelen te hacken.

“Tot nu toe waargenomen slachtoffers zijn onder meer advocatenkantoren, banken en strategische adviesbureaus in landen als Oostenrijk, het Verenigd Koninkrijk en Panama”, zeiden de cyberbeveiligingsteams van de techgigant in een rapport van woensdag.

Microsoft volgt de acteur onder de naam KNOTWEED en zet zijn trend voort om PSOA’s te noemen met namen die aan bomen en struiken worden gegeven. Het bedrijf wees eerder de naam SOURGUM aan de Israëlische spywareverkoper Candiru.

Van KNOTWEED is bekend dat het zich bezighoudt met zowel access-as-a-service als hack-for-hire-operaties, waarbij het zijn toolset aan derden aanbiedt en zich ook rechtstreeks associeert met bepaalde aanvallen.

Cyberbeveiliging

Terwijl de eerste de verkoop inhoudt van end-to-end hackingtools die door de koper in hun eigen operaties kunnen worden gebruikt zonder tussenkomst van de aanvallende actor, voeren hack-for-hire-groepen de gerichte operaties uit namens hun klanten.

De implementatie van Subzero zou zijn gebeurd door de exploitatie van tal van problemen, waaronder een aanvalsketen die misbruik maakte van een onbekende fout in de uitvoering van externe code van Adobe Reader (RCE) en een zero-day privilege-escalatiebug (CVE-2022-22047), de waarvan de laatste door Microsoft werd aangepakt als onderdeel van de updates van Patch Tuesday van juli.

“De exploits waren verpakt in een pdf-document dat via e-mail naar het slachtoffer werd gestuurd”, legt Microsoft uit. “CVE-2022-22047 werd gebruikt in KNOTWEED-gerelateerde aanvallen voor escalatie van bevoegdheden. De kwetsbaarheid bood ook de mogelijkheid om uit sandboxen te ontsnappen en code-uitvoering op systeemniveau te bewerkstelligen.”

Soortgelijke aanvalsketens die in 2021 werden waargenomen, maakten gebruik van een combinatie van twee misbruiken van Windows-privilege-escalatie (CVE-2021-31199 en CVE-2021-31201) in combinatie met een Adobe-lezerfout (CVE-2021-28550). De drie kwetsbaarheden zijn in juni 2021 verholpen.

De implementatie van Subzero closed vond plaats via een vierde exploit, dit keer door gebruik te maken van een kwetsbaarheid voor escalatie van bevoegdheden in de Windows Update Medic Service (CVE-2021-36948), die in augustus 2021 door Microsoft werd uitgevoerd.

Naast deze exploitketens zijn Excel-bestanden die zich voordoen als onroerendgoeddocumenten gebruikt als kanaal om de malware af te leveren, waarbij de bestanden Excel 4.0-macro’s bevatten die zijn ontworpen om het infectieproces op gang te brengen.

Ongeacht de gebruikte methode, culmineren de inbreuken in de uitvoering van shellcode, die wordt gebruikt om een ​​tweede-traps payload genaamd Corelump op te halen van een externe server in de vorm van een JPEG-afbeelding die ook een loader met de naam Jumplump insluit die op zijn beurt, laadt Corelum in het geheugen.

Het ontwijkende implantaat wordt geleverd met een breed scala aan mogelijkheden, waaronder keylogging, het maken van screenshots, het exfiltreren van bestanden, het uitvoeren van een externe shell en het uitvoeren van willekeurige plug-ins die zijn gedownload van de externe server.

Ook tijdens de aanvallen waren op maat gemaakte hulpprogramma’s zoals Mex, een opdrachtregelprogramma om open source-beveiligingssoftware zoals Chisel uit te voeren, en PassLib, een hulpmiddel om inloggegevens van webbrowsers, e-mailclients en de Windows-referentiemanager te dumpen.

Microsoft zei dat KNOTWEED sinds februari 2020 actief malware aanbiedt via infrastructuur die wordt gehost op DigitalOcean en Choopa, naast het identificeren van subdomeinen die worden gebruikt voor de ontwikkeling van malware, het debuggen van Mix en het organiseren van de Subzero-payload.

Cyberbeveiliging

Er zijn ook meerdere koppelingen gevonden tussen DSIRF en de kwaadaardige tools die worden gebruikt bij de aanvallen van KNOTWEED.

“Deze omvatten command-and-control-infrastructuur die wordt gebruikt door de malware die rechtstreeks linkt naar DSIRF, een DSIRF-geassocieerd GitHub-account dat wordt gebruikt in één aanval, een code-ondertekeningscertificaat dat is uitgegeven aan DSIRF dat wordt gebruikt om een ​​exploit te ondertekenen, en ander open-source nieuws meldt dat Subzero aan DSIRF wordt toegeschreven”, merkte Redmond op.

Subzero verschilt niet van kant-en-klare malware zoals Pegasus, Predator, Hermit en DevilsTongue, die in staat zijn om telefoons en Windows-machines te infiltreren om de apparaten op afstand te bedienen en gegevens over te hevelen, soms zonder dat de gebruiker op een kwaadaardige koppeling.

De laatste bevindingen wijzen in ieder geval op een snelgroeiende internationale markt voor dergelijke geavanceerde bewakingstechnologieën om gerichte aanvallen uit te voeren die gericht zijn op leden van het maatschappelijk middenveld.

Hoewel bedrijven die commerciële spyware verkopen hun oorlogen adverteren als een middel om ernstige misdaden aan te pakken, blijkt uit het tot nu toe verzamelde bewijs dat deze tools worden misbruikt door autoritaire regeringen en particuliere organisaties om mensenrechtenadvocaten, dissidenten en politici te bespioneren.

De Threat Analysis Group (TAG) van Google, die meer dan 30 leveranciers volgt die exploits of bewakingscapaciteiten verkopen aan door de staat gesponsorde actoren, zei dat het bloeiende ecosysteem “de mate onderstreept waarin commerciële bewakingsleveranciers capaciteiten hebben verspreid die in het verleden alleen door regeringen werden gebruikt.”

“Deze werken met diepgaande technische expertise om exploits te ontwikkelen en te operationaliseren”, zei Shane Huntley van TAG woensdag in een getuigenis voor de US House Intelligence Committee, eraan toevoegend: “het gebruik ervan groeit, gevoed door de vraag van regeringen.”

.

Leave a Comment