FoggyWeb-Malware, die von Nobelium APT Actors verwendet wird
Eine der größten Cybercrime-Kampagnen des Jahres 2021 war der Supply-Chain-Angriff gegen den Softwareanbieter SolarWinds. Die Gruppe dahinter, die Nobelium APT, ist noch immer aktiv. Sie entwickeln verschiedene Arten von Malware und versuchen, eine breite Palette von Internetanwendungen auszunutzen. Eines ihrer jüngsten Ziele scheinen Active Directory Federation Services (AD FS) zu sein – bei diesen Angriffen verwenden die Kriminellen eine neue benutzerdefinierte Malware namens FoggyWeb.
Abgesehen davon, dass sie als Post-Exploitation-Tool funktioniert, kann die FoggyWeb-Malware auch nützlich sein, wenn die Hacker Anmeldeinformationen von infizierten Systemen sammeln möchten. Die gestohlenen Anmeldeinformationen werden häufig verwendet, um weitere AD FS-Server auszunutzen und zu infizieren. Angeblich ist die FoggyWeb-Malware seit April 2021 aktiv. Ihre Aktivität hat jedoch in den letzten Monaten stark zugenommen.
FoggyWeb-Malware konzentriert sich auf das Exfiltrieren von Anmeldeinformationen
Die Bedrohung scheint bei gezielten Angriffen eingesetzt zu werden, und die Kriminellen haben wahrscheinlich größere Pläne für die Zukunft ihrer Operation. Diese Bedrohung funktioniert als Backdoor-Trojaner, der im Hintergrund Daten von kompromittierten Servern sammelt und exfiltriert. Während sein Hauptaugenmerk auf Anmeldeinformationen liegt, könnte das Implantat auch bestimmte Dateien oder andere Informationen stehlen. Darüber hinaus unterstützt es eine Vielzahl von Remote-Befehlen, die die Angreifer über ihren Command-and-Control-Server ausführen könnten. Bisher scheint die FoggyWeb-Malware eine Hintertür mit dem einzigen Zweck zu sein, AD FS-Server zu infizieren. Natürlich ist es möglich, dass die Nobelium-Hacker es in Zukunft überarbeiten, um andere Umgebungen und Dienste ins Visier zu nehmen.
Die Hacker von SolarWinds verlassen sich wahrscheinlich auf ausgeklügelte E-Mail-Spearphishing-Kampagnen, um die Nutzlast zu liefern. Dies war im Mai 2021 der Fall, als sie sich als US-Agentur für internationale Entwicklung ausgeben. Natürlich entwickeln sich die Taktiken zur Verbreitung von Malware, die hochkarätige APT-Akteure verwenden, ständig weiter. Es wäre keine Überraschung, wenn sie sich auch für andere Techniken entscheiden würden.
