PowerExchange-malware richt zich op overheidsinstanties in de VAE
Er is een nieuwe vorm van kwaadaardige software geïdentificeerd, genaamd PowerExchange, waarvan wordt aangenomen dat deze is gebruikt door de door de Iraanse staat gesteunde hackgroep APT34, ook wel bekend als Oilrig.
Deze op PowerShell gebaseerde malware werd gebruikt bij een aanval op een overheidsorganisatie in de Verenigde Arabische Emiraten en stelt aanvallers in staat Microsoft Exchange-servers te backdooren. Het werkt door e-mails te verzenden met behulp van de Exchange Web Services API, met base64-gecodeerde opdrachten die als bijlagen worden verzonden en de onderwerpregel "Update Microsoft Edge". Het is ook in staat om extra kwaadaardige payloads naar de server te sturen en geoogste bestanden te exfiltreren. Deze vorm van malware is in verband gebracht met andere aanvallen van APT34, omdat ze vergelijkbare phishing-tactieken hebben gebruikt, zoals het verzenden van schadelijke uitvoerbare bestanden in gearchiveerde e-mails.
Bovendien bleek de malware overeenkomsten te vertonen met TriFive, dat werd gebruikt bij een aanval op Koeweitse overheidsorganisaties. Er wordt gedacht dat PowerExchange een nieuwe en verbeterde versie van TriFive is.
De mogelijkheden van PowerExchange
De schadelijke software kan ook gebruikersnamen en wachtwoorden verzamelen van degenen die inloggen op de gecompromitteerde Exchange-servers door middel van basisauthenticatie. Dit wordt gedaan door HTTP-verkeer in duidelijke tekst te monitoren en inloggegevens van webformuliergegevens of HTTP-headers vast te leggen. Het kan vervolgens worden geïnstrueerd om de gelogde referentie-informatie als cookieparameters te verzenden.
Naast andere kwaadaardige implantaten ontdekten de onderzoekers ook een webshell genaamd Exchange Leech die was geïnstalleerd als een bestand met de naam System.Web.ServiceAuthentication.dll, maar de legitieme IIS-conventie voor bestandsnaamgeving imiteerde.
Tijdens hun onderzoek identificeerden de onderzoekers ook een aantal backdoors, waaronder ExchangeLeech, dat was vermomd als een legitiem IIS-bestand. Het werkt door wachtwoorden en gebruikersnamen te verzamelen van degenen die inloggen via basisauthenticatie door HTTP-verkeer in duidelijke tekst te controleren. Deze inloggegevens worden vervolgens via cookieparameters naar de aanvaller gestuurd.
De aanval is gekoppeld aan APT34 vanwege de overeenkomsten tussen PowerExchange en hun eerder gebruikte TriFive-malware, die werd gebruikt bij een aanval op Koeweitse overheidsorganisaties. Aangenomen wordt dat PowerExchange een meer geavanceerde versie van TriFive is, vanwege de code die in PowerShell wordt geschreven en het gebruik van geplande taken en de EWS API als een command-and-control (C2) kanaal. Phishing-e-mails zijn ook geïdentificeerd als een eerste infectievector en de groep is eerder in verband gebracht met andere op de VAE gebaseerde aanvallen.
