Die Aurora Akten: Eine hochauflösende Malware-Untersuchung

Zusammenfassung

Ein russischsprachiger Aurora-Ransomware-Partner hat umfangreiche Operationen durchgeführt, die auf mehr als zwanzig Organisationen abzielen. Der Angreifer verwendet KI-unterstützte Tools wie Cursor für die Angriffsplanung und setzt benutzerdefinierte Zig-basierte Verschlüsseler in Windows- und Linux/ESXi-Umgebungen ein. Die Kampagne kombiniert ausgeklügelte seitliche Bewegungen, ADCS-Exploitation und ein komplexes Netzwerk zur Geldwäsche von Kryptowährungen.

Untersuchung

CloudSEK entdeckte ein offenes Verzeichnis, das mit dem Betreiber in Verbindung steht, welches Shell-Historien, benutzerdefinierte Tools und Anmeldedatenmaterial enthielt. In Zusammenarbeit mit TRM Labs verfolgten Ermittler Lösegeldzahlungen in der Blockchain und identifizierten gemeinsame Infrastruktur zur Geldwäsche, die bei mehreren Opfern genutzt wurde. Die Untersuchung enthüllte außerdem den Einsatz eines agentic Coding-Assistenten zur Erstellung von Exploit-Plänen, die auf Russisch verfasst sind.

Milderung

Organisationen sollten LLMNR/NBT-NS deaktivieren, SMB-Signierung erzwingen und ADCS-Vorlagen auf Fehlkonfigurationen bei ESC1, ESC6 und ESC8 prüfen. Die Backup-Infrastruktur sollte vom produktiven Active Directory isoliert sein, und krbtgt Anmeldedaten sollten nach einem vermuteten Kompromiss rotiert werden. Es wird auch empfohlen, den großflächigen Zugriff auf Browser-Profilverzeichnisse zu überwachen, um das Risiko des Diebstahls von Anmeldeinformationen zu verringern.

Antwort

Wird Aurora-Aktivität festgestellt, sollten Organisationen sofort die betroffenen Systeme isolieren und die Backup-Infrastruktur segmentieren. Incident-Responder sollten Active Directory-Zertifikatdienste prüfen und hochprivilegierte Anmeldedaten, einschließlich des krbtgt Kontos, rotieren. Untersuchungen sollten auch unautorisierte SSH-Konfigurationsänderungen und ungewöhnliche Serviceneustarts auf Linux- oder ESXi-Hosts identifizieren.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Basislinien-Preflight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung und Befehle: Der Angreifer hat Root-Zugriff auf eine Linux-Umgebung ähnlich ESXi erlangt. Ihr Ziel ist es, den psychologischen Effekt zu maximieren, indem sie sicherstellen, dass die Lösegeldforderung das Erste ist, was ein Systemadministrator sieht. Sie führen eine dreistufige Sequenz aus: Zuerst fügen sie eine Anweisung zu /etc/ssh/sshd_config hinzu, um auf ein benutzerdefiniertes Banner zu verweisen; zweitens erstellen sie die sshd-banner Datei, die den Lösegeldtext enthält; drittens verwenden sie den veralteten init.d Dienstmanager, um den SSH-Dienst neu zu starten und sicherzustellen, dass die Änderungen wirksam werden. Diese spezifische Sequenz ist so gestaltet, dass sie in ihrer Absicht „laut“, jedoch für signaturbasierte AV, die nur Dateizugriffe überwacht, „leise“ ist.

• Regressionstest-Skript:

  #!/bin/bash
  # Aurora Locker Simulation Script
  # Dieses Skript imitiert die spezifischen Befehlszeilen-Strings, die erforderlich sind, um die Sigma-Regel auszulösen.
  
  echo "[+] Start der Aurora Locker Simulation..."
  
  # 1. Ändern von sshd_config (Auswahl: selection_config)
  echo "Banner /etc/ssh/sshd-banner" >> /etc/ssh/sshd_config
  echo "[*] /etc/ssh/sshd_config geändert"
  
  # 2. Erstellen der Banner-Datei (Auswahl: selection_banner_file)
  echo "IHRE DATEIEN SIND VERSCHLÜSSELT! ZAHLEN SIE BTC AN..." > /etc/ssh/sshd-banner
  echo "[*] sshd-banner erstellt"
  
  # 3. SSH mit init.d neu starten (Auswahl: selection_restart)
  # Hinweis: Wir verwenden genau die Strings 'init.d', 'SSH' und 'restart', um die 'all'-Bedingung zu erfüllen.
  /etc/init.d/SSH restart
  echo "[*] /etc/init.d/SSH restart ausgeführt"
  
  echo "[+] Simulation abgeschlossen. SIEM auf Alarme prüfen."

• Bereinigungskommandos:

  #!/bin/bash
  # Bereinigungsskript zur Wiederherstellung des Systemzustands
  echo "[+] Reinigung von Simulationsartefakten..."
  
  # Entfernen der Banner-Datei
  rm -f /etc/ssh/sshd-banner
  
  # Rückgängig machen von sshd_config (Hinweis: In einem realen Umfeld, verwenden Sie sed oder manuelle Bearbeitung)
  # Für Simulationszwecke kommentieren wir die Bannerzeile aus
  sed -i '/Banner /etc/ssh/sshd-banner/d' /etc/ssh/sshd_config
  
  # Dienst normal neu starten, um sicherzustellen, dass der Zugriff bestehen bleibt
  systemctl restart ssh
  
  echo "[+] Bereinigung abgeschlossen."