Makop-Ransomware-Angriffe auf indische Unternehmen: Lieferung durch GuLoader und Privilegienerweiterung

Zusammenfassung

Makop-Ransomware, ein Typ innerhalb der Phobos-Familie, trifft Organisationen, indem sie missbrauchte offengelegte RDP-Dienste (Remote Desktop Protocol) ausnutzt und handelsübliche Werkzeuge für Erkennung, laterale Bewegung und Privilegienstufung nutzt. Die Kampagne umfasst neue Elemente, darunter den GuLoader-Downloader und mehrere lokale Privilegienstufungs-Exploits. Angreifer platzieren die Ransomware-Binärdatei in Benutzerverzeichnissen unter irreführenden Dateinamen. Die Bedrohung zielt hauptsächlich auf indische Unternehmen, wobei Aktivitäten auch in Brasilien und Deutschland beobachtet wurden.

Untersuchung

Die Acronis Threat Research Unit untersuchte jüngste Makop-Fälle und kartierte eine wiederholbare Angriffskette, die mit RDP-Brute-Force-Versuchen beginnt, dann zu Netzwerkscans, Anmeldeinformationsabwürfen und der Ausführung mehrerer CVE-getriebener Privilegienerhöhung-Exploits fortschreitet. GuLoader lieferte Folge-Loads wie AgentTesla und FormBook. Ermittler dokumentierten auch die AV-Tötungs-Werkzeuge, verwundbaren Treiber und benutzerdefinierten Uninstaller, die zur Neutralisierung von Sicherheitslösungen verwendet wurden.

Abmilderung

Empfohlene Verteidigungen umfassen die Durchsetzung von Multi-Faktor-Authentifizierung auf RDP, die Eliminierung jeglicher internet-exponierter RDP-Endpunkte, die Anwendung von Patches für alle referenzierten CVEs, die Überwachung bekannter Loader-Binärdateien und AV-Killer-Utilities sowie der Einsatz von Endpunkterkennung zur Blockierung verdächtiger Skript-Ausführung. Die Aktualisierung der Windows Defender-Signaturen und die Einschränkung der Verwendung unsignierter oder nicht vertrauenswürdiger Treiber reduziert zudem die Exposition gegenüber den beobachteten Techniken.

Antwort

Sobald eine Aktivität erkannt wird, isolieren Sie sofort den betroffenen Host, beenden Sie GuLoader- oder verdächtige Downloader-Prozesse und erfassen Sie flüchtigen Speicher zur Analyse. Führen Sie eine umfassende Überprüfung potenzieller Anmeldeinformationsabwürfe durch, blockieren Sie bekannte bösartige Dateihashes und -namen, und beheben Sie die ausgenutzten CVEs. Wo möglich, stellen Sie verschlüsselte Daten aus verifizierten Backups wieder her und benachrichtigen die entsprechenden Incident-Response- und Management-Teams.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Baseline-Vorflug-Test muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  1. Vorbereitung: Der Angreifer erhält eine bösartige Version von ThrottleStop.sys die instrumentiert ist, um CVE-2025-7771 zur Privilegienstufung auszunutzen.
  2. Bereitstellung: Der Treiber wird in das Systemtreiberverzeichnis kopiert (C:WindowsSystem32drivers).
  3. Ausführung: Unter Verwendung von sc.exe erstellt der Angreifer einen Dienst und startet ihn, der den bösartigen Treiber lädt und dadurch den Prozess auf SYSTEM erhöht.
  4. Nach der Eskalation: Mit dem erhöhten Token kann der Angreifer hoch privilegierte Konten imitieren (T1134.005), aber dieser Schritt liegt außerhalb des Geltungsbereichs dieser Regel.

• Regressionstest-Skript:

  # ----------------------------------------------------------------
  # Simulation der ThrottleStop.sys-Ausnutzung (CVE-2025-7771)
  # ----------------------------------------------------------------
  $driverPath = "$env:SystemRootSystem32driversThrottleStop.sys"
  
  # 1. Den bösartigen Treiber ablegen (hier verwenden wir eine Platzhalterkopie)
  Write-Host "[*] Bösartige ThrottleStop.sys wird nach $driverPath kopiert"
  # In einem realen Test die Quelle durch den tatsächlichen bösartigen Binärdatei ersetzen
  Copy-Item -Path ".malicious_ThrottleStop.sys" -Destination $driverPath -Force
  
  # 2. Den Treiber als Kernel-Dienst registrieren
  Write-Host "[*] Dienst für den Treiber wird erstellt"
  sc.exe create ThrottleStopSvc binPath= "$driverPath" type= kernel start= demand | Out-Null
  
  # 3. Den Treiber starten (löst Sysmon ImageLoad aus)
  Write-Host "[*] Treiberdienst wird gestartet"
  sc.exe start ThrottleStopSvc | Out-Null
  
  Write-Host "[+] Treiber geladen – sollte die Erkennungsregel auslösen."
  # ----------------------------------------------------------------

• Bereinigungskommandos:

  # Stoppen und Löschen des bösartigen Treiberdienstes
  sc.exe stop ThrottleStopSvc | Out-Null
  sc.exe delete ThrottleStopSvc | Out-Null
  
  # Die Treiberdatei entfernen
  Remove-Item -Path "$env:SystemRootSystem32driversThrottleStop.sys" -Force
  
  Write-Host "[*] Bereinigung abgeschlossen."