GooseEgg-Malware mit russischer Fancy Bear APT verknüpft
APT28, ein Bedrohungsakteur mit Verbindungen zu Russland, nutzte eine Sicherheitslücke in der Microsoft Windows Print Spooler-Komponente, um eine neue benutzerdefinierte Malware namens GooseEgg zu verbreiten. Dieses Post-Compromise-Tool, das seit mindestens Juni 2020 und möglicherweise bereits seit April 2019 in Betrieb ist, nutzte einen inzwischen gepatchten Fehler aus, der eine Rechteausweitung ermöglichte (CVE-2022-38028, CVSS-Score: 7,8). Microsoft hat dieses Problem in Updates behoben, die im Oktober 2022 veröffentlicht wurden, wobei die US-amerikanische National Security Agency (NSA) dafür verantwortlich war, es erstmals gemeldet zu haben.
Fancy Bear setzt GooseEgg gegen verschiedene Ziele ein
Jüngsten Erkenntnissen des Threat-Intelligence-Teams von Microsoft zufolge hat APT28 (auch bekannt als Fancy Bear und Forest Blizzard) diese Schwachstelle bei Angriffen auf staatliche und nichtstaatliche Organisationen sowie Organisationen im Bildungs- und Transportsektor in der Ukraine, Westeuropa und Nordamerika ausgenutzt.
Forest Blizzard wird mit der Einheit 26165 des russischen Militärgeheimdienstes GRU in Verbindung gebracht und ist seit rund 15 Jahren aktiv. Dabei konzentriert sich die Gruppe in erster Linie auf das Sammeln nachrichtendienstlicher Informationen zur Unterstützung außenpolitischer Ziele Russlands.
Fancy Bears frühere Angriffe
Zusätzlich zu GooseEgg hat APT28 noch weitere Schwachstellen ausgenutzt, darunter eine Schwachstelle zur Rechteausweitung in Microsoft Outlook (CVE-2023-23397, CVSS-Score: 9,8) und einen Codeausführungsfehler in WinRAR (CVE-2023-38831, CVSS-Score: 7,8), und damit ihre Agilität bei der Einbindung öffentlicher Exploits in ihre Taktiken unter Beweis gestellt.
Das Ziel der Bereitstellung von GooseEgg besteht laut Microsoft darin, erweiterten Zugriff auf Zielsysteme zu erhalten und Anmeldeinformationen und Informationen zu stehlen. Die Malware wird normalerweise zusammen mit einem Batch-Skript bereitgestellt und ermöglicht die Ausführung von Befehlen, um den Exploit auszulösen und bestimmte Anwendungen mit erhöhten Berechtigungen zu starten. Der Erfolg wird durch Befehle wie whoami überprüft.
