PowerExchange-Malware zielt auf Regierungsbehörden der VAE ab

Es wurde eine neue Form bösartiger Software namens PowerExchange identifiziert, die vermutlich von der staatlich unterstützten iranischen Hackergruppe APT34, auch bekannt als Oilrig, verwendet wurde.

Diese PowerShell-basierte Malware wurde bei einem Angriff auf eine Regierungsorganisation in den Vereinigten Arabischen Emiraten eingesetzt und ermöglicht es Angreifern, Microsoft Exchange-Server durch eine Hintertür zu öffnen. Es funktioniert durch das Versenden von E-Mails über die Exchange Web Services API, wobei base64-codierte Befehle als Anhänge und die Betreffzeile „Update Microsoft Edge“ gesendet werden. Es ist außerdem in der Lage, zusätzliche schädliche Payloads an den Server zu liefern und geerntete Dateien zu exfiltrieren. Diese Form von Malware wurde mit anderen Angriffen von APT34 in Verbindung gebracht, da das Unternehmen ähnliche Phishing-Taktiken nutzte, beispielsweise das Versenden schädlicher ausführbarer Dateien in archivierten E-Mails.

Darüber hinaus wurde festgestellt, dass die Malware Ähnlichkeiten mit TriFive aufweist, das bei einem Angriff auf kuwaitische Regierungsorganisationen eingesetzt wurde. Es wird angenommen, dass PowerExchange eine neue und verbesserte Version von TriFive ist.

Die Fähigkeiten von PowerExchange

Die Schadsoftware ist auch in der Lage, Benutzernamen und Passwörter von denjenigen zu sammeln, die sich über die Basisauthentifizierung bei den kompromittierten Exchange-Servern anmelden. Dies geschieht durch die Überwachung des Klartext-HTTP-Verkehrs und die Erfassung von Anmeldeinformationen aus Webformulardaten oder HTTP-Headern. Anschließend kann es angewiesen werden, die protokollierten Anmeldeinformationen als Cookie-Parameter zu senden.

Neben anderen bösartigen Implantaten entdeckten die Forscher auch eine Web-Shell namens Exchange Leech, die als Datei mit dem Namen System.Web.ServiceAuthentication.dll installiert wurde, aber die legitime IIS-Dateinamenskonvention nachahmte.

Bei ihrer Untersuchung identifizierten die Forscher auch eine Reihe von Hintertüren, darunter ExchangeLeech, das als legitime IIS-Datei getarnt war. Es erfasst Passwörter und Benutzernamen derjenigen, die sich über die Basisauthentifizierung anmelden, und überwacht den Klartext-HTTP-Verkehr. Diese Anmeldeinformationen werden dann über Cookie-Parameter an den Angreifer gesendet.

Der Angriff wird mit APT34 in Verbindung gebracht, da PowerExchange Ähnlichkeiten mit der zuvor verwendeten TriFive-Malware aufweist, die bei einem Angriff auf kuwaitische Regierungsorganisationen eingesetzt wurde. Es wird angenommen, dass PowerExchange eine anspruchsvollere Version von TriFive ist, da der Code in PowerShell geschrieben wird und geplante Aufgaben sowie die EWS-API als Command-and-Control-Kanal (C2) verwendet werden. Phishing-E-Mails wurden ebenfalls als erster Infektionsvektor identifiziert und die Gruppe wurde bereits zuvor mit anderen Angriffen in den Vereinigten Arabischen Emiraten in Verbindung gebracht.