CACTUS Ransomware missbraucht Sicherheitslücken
Es wurde eine aktuelle CACTUS-Ransomware-Kampagne entdeckt, die neu entdeckte Schwachstellen in Qlik Sense, einer Cloud-Analyse- und Business-Intelligence-Plattform, ausnutzt. Forscher von Arctic Wolf, darunter Stefan Hostetler, Markus Neis und Kyle Pagelow, haben dies als den ersten dokumentierten Fall identifiziert, bei dem Bedrohungsakteure, die CACTUS-Ransomware verwenden, Schwachstellen in Qlik Sense für den ersten Zugriff ausgenutzt haben.
Von CACTUS ausgenutzte Schwachstellen
Das Cybersicherheitsunternehmen reagierte auf mehrere Ausnutzungsfälle und wies auf drei in den letzten drei Monaten offengelegte Schwachstellen hin:
CVE-2023-41265 (CVSS-Score: 9,9) – Eine HTTP-Request-Tunneling-Schwachstelle, die es einem Remote-Angreifer ermöglicht, Berechtigungen zu erhöhen und Anforderungen auf dem Backend-Server auszuführen, der die Repository-Anwendung hostet.
CVE-2023-41266 (CVSS-Score: 6,5) – Eine Path-Traversal-Schwachstelle, die es einem nicht authentifizierten Remote-Angreifer ermöglicht, nicht autorisierte HTTP-Anfragen an bestimmte Endpunkte zu senden.
CVE-2023-48365 (CVSS-Score: 9,9) – Eine Sicherheitslücke bei nicht authentifizierter Remotecodeausführung, die aus einer unsachgemäßen Validierung von HTTP-Headern resultiert und es Angreifern ermöglicht, Berechtigungen durch Tunneln von HTTP-Anfragen zu erhöhen.
Insbesondere ist CVE-2023-48365 auf einen unvollständigen Patch für CVE-2023-41265 zurückzuführen, der beide Ende August 2023 von Praetorian veröffentlicht wurde. Ein Fix für CVE-2023-48365 wurde am 20. September 2023 veröffentlicht.
Die Beobachtungen von Arctic Wolf deuten darauf hin, dass die erfolgreiche Ausnutzung dieser Schwachstellen zur Manipulation des Qlik Sense Scheduler-Dienstes führt. Dies wird verwendet, um Prozesse zu starten, die zusätzliche Tools herunterladen, mit dem Ziel, Persistenz herzustellen und die Fernsteuerung zu ermöglichen.
Zu diesen Tools gehören ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk und Plink. Es wurde auch beobachtet, dass Bedrohungsakteure Sophos-Software deinstallierten, das Passwort des Administratorkontos änderten und einen RDP-Tunnel über Plink erstellten.
Die Angriffssequenz endet mit dem Einsatz der CACTUS-Ransomware, wobei die Angreifer rclone zur Datenexfiltration einsetzen.
