Eine neue Kampagne, die ViPNet-Updates missbraucht, hat russische Behörden sowie Organisationen aus den Bereichen Energie, Transport, Bildung und Logistik ins Visier genommen.
Forscher nennen die Kampagne HelloNet. Sie soll mindestens seit Mai aktiv sein und eine Schadkomponente einsetzen, die sich in einem legitimen ViPNet-Softwareverzeichnis versteckt.
Die Angreifer scheinen die offizielle Update-Infrastruktur von ViPNet nicht kompromittiert zu haben. Stattdessen sollen sie Dateien auf bereits kompromittierten Systemen verändert haben, um die vertrauenswürdige Software beim Start zu missbrauchen.
Angreifer missbrauchen vertrauenswürdige ViPNet-Software
ViPNet ist eine russische Suite von Sicherheitsprodukten für virtuelle private Netzwerke, Endgeräteschutz, Firewall-Kontrollen, Zertifikatsverwaltung, sichere Nachrichtenübermittlung und Dateiübertragungen.
Die Software kommt in Russland häufig zum Einsatz, insbesondere bei Behörden und regulierten Organisationen. Deshalb stellt sie ein attraktives Ziel für Bedrohungsakteure dar, die Zugriff auf sensible Netzwerke erhalten wollen.
In der jüngsten Kampagne sollen Angreifer eine bösartige DLL-Datei im lokalen Verzeichnis von ViPNet Update System platziert haben. Wenn das legitime Update-Programm startet, lädt es stattdessen die von den Angreifern kontrollierte Datei.
Die Technik heißt DLL Side-Loading. Sie ermöglicht es Schadsoftware, über eine vertrauenswürdige Anwendung zu laufen, wodurch sich die bösartige Aktivität schwerer erkennen lässt.
HelloNet-Schadsoftware erhält dauerhaften Zugriff
Die schädliche Datei, die Forscher HelloInjector nennen, bildet die erste Stufe der Angriffskette.
Berichten zufolge schleust sie bösartigen Code in einen Windows-Systemprozess ein. Das verschafft den Angreifern höhere Berechtigungen und hilft der Schadsoftware, nach einem Neustart aktiv zu bleiben.
Die erste Komponente lädt anschließend eine weitere speicherbasierte Komponente namens HelloProxy. Die Schadsoftware kontaktiert einen externen Command-and-Control-Server und erhält zusätzliche Module.
Die Forscher identifizierten mehrere Werkzeuge im HelloNet-Toolkit, darunter:
- HelloExecutor, eine Hintertür zum Ausführen von Befehlen und zur Erkundung des kompromittierten Netzwerks
- HelloCleaner, eine Komponente zum Entfernen von ViPNet-Protokolldaten und zum Verbergen der Aktivitäten der Angreifer
- HelloBackdoor, ein Rust-basiertes Implantat, das Dateien übertragen und Befehle ausführen kann
Zusammen könnten diese Werkzeuge Angreifern ermöglichen, den Zugriff aufrechtzuerhalten, Informationen zu sammeln, sich innerhalb eines Netzwerks zu bewegen und das Risiko einer Entdeckung zu verringern.
Methode des ersten Zugriffs bleibt unbekannt
Die Forscher haben nicht festgestellt, wie die Angreifer ursprünglich Zugriff auf die betroffenen Systeme erhielten.
Die für die Kampagne zum Missbrauch von ViPNet-Updates erforderliche Dateiveränderung setzt normalerweise voraus, dass ein Angreifer bereits Zugriff auf ein Gerät hat. Der Angriff beginnt daher wahrscheinlich mit einer anderen Eindringmethode, bevor die schädliche DLL-Datei im ViPNet-Verzeichnis landet.
Die Forscher haben nicht erklärt, dass ViPNet selbst eine Schwachstelle enthält oder dass die zentralen Update-Server des Unternehmens kompromittiert wurden.
Dieser Unterschied ist wichtig, da die Kampagne offenbar das Vertrauen in lokal installierte Software ausnutzt und nicht einen bestätigten Fehler im Update-Mechanismus des Produkts.
Mögliche Verbindung zu chinesischsprachiger Gruppe
Forscher haben die Kampagne vorläufig mit einer nicht identifizierten chinesischsprachigen Advanced-Persistent-Threat-Gruppe in Verbindung gebracht.
Die Einschätzung bleibt jedoch unsicher. Die Belege umfassen einen ungenutzten Verweis auf eine chinesische Website sowie einen Download-Spiegel für Schadsoftware, der an einer chinesischen Universität gehostet wird.
Die Forscher bewerten diese Verbindung mit geringer Sicherheit und warnen, dass die Hinweise auch Teil einer False-Flag-Operation sein könnten.
Daher bleiben die Identität und die Motive der Angreifer unklar.
Organisationen sollten ViPNet-Systeme überwachen
Die Kampagne zum Missbrauch von ViPNet-Updates zeigt, warum selbst vertrauenswürdige Sicherheitssoftware zu einem wertvollen Ziel werden kann. Wenn Angreifer Dateien verändern können, die ein legitimes Programm verwendet, können sie grundlegende Sicherheitskontrollen umgehen und länger verborgen bleiben.
Organisationen, die ViPNet nutzen, sollten die Integrität der Dateien in ihren Update-Verzeichnissen prüfen und unerwartete Änderungen untersuchen. Sie sollten außerdem ungewöhnliche Netzwerkverbindungen, verdächtige Prozesse und Hinweise darauf überwachen, dass jemand Sicherheitsprotokolle verändert oder gelöscht hat.
Abschließend sollten Administratoren den Schreibzugriff auf Software-Installationsverzeichnisse beschränken und sicherstellen, dass ihre Endgeräteschutzlösungen DLL-Side-Loading erkennen können.
0 Kommentare zu „Missbrauch von ViPNet-Updates zielt auf russische Behörden ab“