Gestohlene Feueraugenwaffe

Am 8. Dezember gab FireEye bekannt, dass ein erfolgreicher Angriff dazu führte, dass eine hochqualifizierte APT-Gruppe Zugriff auf die Tools erhielt, die das Unternehmen als Arsenal des Roten Teams verwendete.



Unbeabsichtigt beziehen sich die Nachrichten auf 2017, als die CIA- und NSA-Tools zum Hacken der Infrastruktur in das Netzwerk gelangten. Diese Lecks gaben der Welt eine Vielzahl von Dienstprogrammen: von Exploits für Heimrouter und Smart-TVs bis hin zur Steuerung von Servern für infizierte Hosts. Die größte Resonanz wurde durch den EternalBlue-Exploit erzeugt, der in der Ransomware WannaCry, Petya, NotPetya verwendet wurde und die Aktivitäten von Unternehmen auf der ganzen Welt lahmlegte.

Zurück zum aktuellen Fall: FireEye stellt sicher, dass die durchgesickerten Daten keine 0-Tage-Exploits und Tools zum Ausnutzen bisher unbekannter Techniken enthalten. FireEye hat außerdem eine Reihe von Regeln (YARA, Snort, OpenIOC, ClamAV) auf GitHub veröffentlicht, um durchgesickerte Tools zu erkennen.



Versuchen wir anhand der von FireEye bereitgestellten Informationen herauszufinden, welche Art von Arsenal die Angreifer während eines erfolgreichen Angriffs erhalten haben und ob es ihnen gelungen ist, das Toolkit mit grundlegend neuen Mitteln zu erweitern.

Damit,



git clone https://github.com/fireeye/red_team_tool_countermeasures







Als nächstes versuchen wir, die vom Red Team FireEye-Team in verschiedenen Phasen der Angriffsentwicklung verwendeten Tools neu zu erstellen. Wir werden Techniken gemäß dem MITRE ATT & CK-Klassifikator betrachten

Vorbereitung bösartiger Ladevorgänge (Ressourcenentwicklung)

• Matryoshka – . , .
• LNKSmasher – LNK- . LNK-.
• GadgetToJScript – , .NET- VBS, VBA, JS, HTA.
• Redflare – FireEye RedTeam.
• RESUMEPLEASE – Microsoft Office c VBA (Visual Basic for Application) .
• SinfulOffice ist ein Dienstprogramm zum Erstellen schädlicher Microsoft Office-Dokumente mit eingebetteten OLE-Objekten
• WildChild - Dienstprogramm zum Erstellen schädlicher HTA-Dateien (HTML-Anwendung)
• PrepShellCode - Dienstprogramm zum Vorbereiten von Shellcode

Erster Zugriff auf die Infrastruktur

Exploits, die in böswilligen Mailings verwendet werden und Benutzeraktionen erfordern:

• Expl-CVE-2017-11774 - Exploit für Sicherheitslücke in Microsoft Outlook

Exploits für Schwachstellen in öffentlichen Netzwerkdiensten:

• Expl-CVE-2019-0708 ist ein Exploit für eine Sicherheitsanfälligkeit in Microsoft Remote Desktop Services (RDS), auch bekannt als BlueKeep.
• Expl-CVE-2019-19781 – Citrix Application Delivery Controller (ADC) Citrix Gateway
• Expl-CVE-2019-8394 – Zoho ManageEngine ServiceDesk Plus (SDP)

(Execution)

• Cobalt Strike – . .
• DShell – Windows-, D
• DTRIM – SharpSploit – . windows-, .Net-, PowerShell, .
• DueDLLigence – FireEye DLL .
• Impacket-Obfuscation – Impacket Windows-. (PSExec, Tack Scheduler WMI)
• In-MemoryCompilation –
• TrimBishop – RuralBishop, . suspended .
• C_Sharp_SectionInjection – PE-

(Persistence)

• Cobalt Strike – , StayKit (, , LNK, , WMI)
• Mofcomp — MOF (Managed Object Format) WMI. .
• SharPersist – FireEye Windows-. : KeePass, , , , SVN hook, ,
• SharPivot – .Net . : WMI, RPC, , , WinRM, COM, ,
• SharpSchtask –
• Justtask –
• Keepersist –

(Privilege Escalation)

• Cobalt Strike – . ElevateKit, (CVE 2020-0796, CVE-2014-4113, CVE 2015-1701, CVE 2016-0051, CVE-2016-099)
• Sharpzerologon – Netlogon (CVE-2020-1472), Zerologon. . Cobalt Strike
• Expl-CVE-2014-1812 – Group Policy Windows
• Expl-CVE-2016-0167 – Windows kernel-mode driver
• Expl-CVE-2020-1472 – Netlogon
• Expl-CVE-2018-8581 – Microsoft Exchange

(Defense Evasion)

• Cobalt Strike – , .
• DTRIM – SharpSploit – . AMSI ETWEventWrite ETW
• Matryoshka – . , . Process Hollowing
• NoAmci – AMSI.dll c AMSI (Antimalware Scan Interface) Assembly.Load(). .NET- .
• PGF – . . Application Whitelistening DLL
• SharpStomp – : , ,
• NET-Assembly-Inject – .Net
• NetshShellCodeRunner – NetSh.exe DLL

(Credential Access)

• Cobalt Strike – . .
• Adpasshunt — Group Policy Preferences msSFU30Password UserPassword Active Directory
• DTRIM – SharpSploit – . Kerberos
• Excavator – .
• Rubeus — Kerberos, Kerberoasting
• Fluffy – Rubeus.
• Impacket-Obfuscation — Impacket Windows-. (SAM, LSA, NTDS.dit), Kerberos ( Kerberos-, Golden Ticket), MiTM- NTLM.
• InveighZero – MiTM- LLMNR, NBNS, mDNS, DNS, DHCPv6
• KeeFarce – KeePass 2.x. DLL KeePass
• PXELoot (PAL) – WDS (Windows Deployment Services)
• SafetyKatz – LSASS. Mimikatz PE C#
• TitoSpecial – AndrewSpecial LSASS. EDR
• CredSnatcher –
• WCMDump – Windows Credential Manager
• Expl-CVE-2018-13379 – FortiOS SSL VPN,
• Expl-CVE-2019-11510 – Pulse Secure SSL VPN,

(Discovery)

• Cobalt Strike – . .
• Seatbelt – Windows
• CoreHound — .Net , fork SharpHound Active Directory .
• PuppyHound – SharpHound Active Directory
• DTRIM – SharpSploit – . .
• EWSRT – RT-EWS Exchange, Office 365
• Getdomainpasswordpolicy – Active Directory
• gpohunt – Active Directory
• SharpUtils – , C# execute assembly Cobalt Strike
• WMISharp – WMI
• WMIspy – WMI
• modifiedsharpview — SharpView, Active Directory

(Lateral Movement)

• Cobalt Strike – . (PsExec, WinRM, Windows Admin Shares)
• DTRIM – SharpSploit – . WMI, DCOM, , PowerShell Remoting.
• Impacket-Obfuscation – Impacket Windows-. (PSExec, Tack Scheduler WMI) Samba (CVE-2017-7494), Kerberos (CVE-2016-0049), Netlogon (CVE-2015-0005)
• WMIRunner – WMI
• SharPivot – .Net . : WMI, RPC, , , WinRM, COM, ,
• Expl-CVE-2018-15961 – Adobe ColdFusion
• Expl-CVE-2019-0604 – Microsoft Sharepoint
• Expl-CVE-2019-0708 – Microsoft Remote Desktop Services (RDS), BlueKeep
• Expl-CVE-2019-11580 – Atlassian Crowd
• Expl-CVE-2019-3398 – Atlassian Confluence Server
• Expl-CVE-2020-0688 – Microsoft Exchange
• Expl-CVE-2020-10189 – ZoHo ManageEngine Desktop Central

(Command and Control)

• Cobalt Strike – . Team Server .
• DShell – Windows-, D
• Redflare – FireEye RedTeam.
• GoRAT – (Windows, MacOS), Redflare. Go
• DoHC2 – Cobalt Strike DNS over HTTPS (DoH)
• prat – remote access trojan

• SharpGrep –
• sharpdacl – ACL
• sharpdns – DNS
• sharpgopher – Gopher
• sharpnativezipper –
• sharpnfs – NFS
• sharppatchcheck - Dienstprogramm zum Überprüfen installierter Updates
• sharpsqlclient - SQL-Client
• Sharpwebcrawler - Crawler von Webseiten
• Sharpziplibzipper - Komprimierungsprogramm mit libzip

Dienstprogramme mit unbekanntem Zweck

Nach den bereitgestellten Informationen konnte der Zweck dieser Dienstprogramme nicht verstanden werden.

• All die Dinge
• SharpGenerator
• Lualoader
• MSBuildMe
• Revolver
• Sharpsack
• Scharf
• red_team_materials
• scharfe Vorlage

Ergebnisse der Analyse

• Die meisten Tools sind für Angriffe auf die Microsoft Windows-Infrastruktur ausgelegt
• Zur Entwicklung des Angriffs werden das kommerzielle Framework Cobalt Strike sowie modifizierte Versionen bekannter Open Source-Projekte (SharpView, SharpSploit, Impacket, SharpHound, SafetyKatz) verwendet.
• open source
• , C#
• FireEye .
• ,

, :

• Linux Unix-
• Web-

Ein erfolgreicher Angriff auf den Riesen des Marktes für Informationssicherheit wird zweifellos in die Liste der bedeutenden Ereignisse in unserer Branche aufgenommen, aber Sie müssen auch verstehen, dass das Toolkit des Roten Teams definitiv nicht das Ziel der Angreifer war. FireEye hat für große Unternehmen auf der ganzen Welt gearbeitet und war auch Auftragnehmer für US-Regierungsbehörden wie das Verteidigungsministerium, das Gesundheits- und Sozialwesen, das Finanzministerium, die Heimatschutzbehörde usw. Dienstprogramme.



Wie die Analyse gezeigt hat, wird selbst die Veröffentlichung von öffentlich zugänglichen Versorgungsunternehmen das Risikobild für Organisationen nicht wesentlich beeinflussen. Der größte Teil des Arsenals steht Angreifern bereits in Form von Open-Source-Projekten zur Verfügung.





Sergey Rublev. Entwicklungsleiter Pangeo Radar, CISSP