Russische Hackergruppe greift Microsoft Outlook mit Malware an

Das Intelligence-Team von S2 Grupo hat eine neue Outlook-Backdoor entdeckt, die mit einer russischen Hackergruppe namens APT28 in Verbindung steht. Die Forscher erklärten, wie die Angreifer eine legitim signierte Binärdatei nutzen, um die Backdoor zu installieren, und anschließend eine schädliche Datei laden, um die Makro-Sicherheitsvorkehrungen zu deaktivieren. Sobald dies geschehen ist, wird das VBA-Makro in die Zielnetzwerke eingeschleust. 

"APT28 nutzt Outlook als verdeckten Kanal über eine VBA-Makro-Backdoor namens NotDoor", erklärt Jason Soroko, Senior Fellow bei Sectigo. "Die Bereitstellung erfolgt über das DLL-Sideloading einer bösartigen SSPICLI.dll durch die signierte OneDrive.exe, um den Makroschutz zu deaktivieren und Befehle auszuführen. Das Makro überwacht eingehende E-Mails auf ein Triggerwort und kann Daten-Upload-Dateien exfiltrieren und Befehle ausführen. Dies verschmilzt mit vertrauenswürdigen Binärdateien und dem normalen E-Mail-Fluss und kann Perimeter-Tools und grundlegende Erkennungsmaßnahmen umgehen."

Die Untersuchung zeigt, wie APT28 kontinuierlich neue Artefakte entwickelt, die etablierte Abwehrmaßnahmen umgehen können. Casey Ellis, Gründer von Bugcrowd, kommentiert: "Dies ist eine bedeutende Entwicklung, die einige wichtige Punkte hervorhebt, die Unternehmen und Sicherheitsteams sofort angehen müssen. Die Verwendung von Microsoft Outlook als Vektor ist aufgrund seiner Allgegenwärtigkeit in Geschäftsumgebungen besonders besorgniserregend. Die Tatsache, dass APT28 Outlook-Makros als verdeckten Kommunikations- und Datenexfiltrationskanal nutzt, unterstreicht die Bedeutung der Absicherung von E-Mail-Systemen und Endpunkt-Abwehrmaßnahmen. Dabei geht es nicht nur darum, Schwachstellen zu patchen, sondern auch darum, zu erkennen, dass vertrauenswürdige Anwendungen wie Outlook auf eine Weise als Waffen eingesetzt werden können, die herkömmliche Abwehrmaßnahmen umgeht."

Ellis führt weiter aus: "Die Bereitstellungsmethode – DLL-Sideloading über eine legitime signierte Binärdatei wie OneDrive.exe – ist ein klassisches Beispiel dafür, wie Angreifer das Vertrauen in legitime Software ausnutzen. Dies unterstreicht die Notwendigkeit einer robusten Whitelist für Anwendungen und der Überwachung signierter Binärdateien auf anomales Verhalten. Sicherheitsteams sollten sich auch auf die Erkennung und Blockierung von PowerShell-Missbrauch konzentrieren, da verschlüsselte Base64-Befehle eine gängige Taktik zur Verschleierung und Ausführung sind."

Zum Schutz vor dieser Bedrohung stellten die Forscher potenzielle Indikatoren für Kompromittierungen (IOC) bereit, auf die Unternehmen achten können. 

Darüber hinaus schlägt Soroko vor: "Sicherheitsteams sollten Outlook VBA deaktivieren und Makros aus dem Internet mit Gruppenrichtlinien blockieren. Aktivieren Sie die Microsoft Defender-Regeln zur Reduzierung der Angriffsfläche, die Office daran hindern, untergeordnete Prozesse zu erstellen, und Win32-API-Aufrufe von Makros blockieren. Sperren Sie das Laden von DLLs mit WDAC oder AppLocker, überwachen Sie OneDrive auf das Laden von SSPICLI.dll außerhalb vertrauenswürdiger Pfade, suchen Sie nach Outlook oder OneDrive, die PowerShell mit verschlüsselten Befehlen starten, und beschränken Sie den Datenausgang, während Sie den Datenverkehr zu webhook.site und ungewöhnliche nslookup-Aktivitäten melden."

Ellis fügt hinzu: "Für Unternehmen ist es wichtig, sicherzustellen, dass die Ausführung von Makros wo immer möglich deaktiviert ist, insbesondere in E-Mail-Clients wie Outlook. Microsoft hat zwar große Fortschritte bei der standardmäßigen Absicherung von Makros gemacht, aber dieser Angriff zeigt, dass diese Abwehrmaßnahmen immer noch umgangen werden können. Endpoint Detection and Response (EDR)-Lösungen sollten so konfiguriert werden, dass sie verdächtige Makroaktivitäten und DLL-Sideloading-Versuche melden."

"Die Verwendung von DNSHook und Webhook.site für Command-and-Control-Datenverkehr (C2) ist ein Hinweis darauf, dass DNS-Abfragen und ausgehender Datenverkehr auf ungewöhnliche Muster überwacht werden sollten. Threat-Intelligence-Feeds und IOCs aus dieser Kampagne sollten in Erkennungssysteme integriert werden, sobald sie verfügbar sind."

"Dieser Angriff ist eine deutliche Erinnerung an die zunehmende Raffinesse staatlich geförderter Bedrohungsakteure wie APT28. Unternehmen müssen eine mehrschichtige Verteidigungsstrategie verfolgen, die proaktive Absicherung, Echtzeitüberwachung und schnelle Reaktionsmöglichkeiten auf Vorfälle kombiniert, um diese Bedrohungen wirksam zu mindern.“