Cloud-Atlas-APT-Gruppe manipuliert termsrv.dll, um mehrere RDP-Sitzungen auf Opfer-Systemen zu ermöglichen

Technischer Hintergrund

Die Angreifer richteten zudem Reverse-SSH-Tunnel als Backup-Kanle ein, sodass sie auch dann noch auf die kompromittierte Maschine zugreifen knnen, wenn die Haupt-Backdoor entdeckt wird. Cloud Atlas APT Group Modifiziert termsrv.dll.

Die Hauptwaffe in dieser Kampagne ist ein PowerShell-Skript namens rdp_new.ps1, das termsrv.dll in Windows 10 direkt modifiziert. termsrv.dll steuert das Verhalten des Remote-Desktop-Dienstes; standardmig begrenzt Windows das System auf eine einzige gleichzeitige RDP-Sitzung.

Das Skript fgt zunchst eine Firewall-Regel hinzu, um RDP-Verkehr zu erlauben, und lockert die Einstellungen fr den Remote-Zugriff, bevor es die Datei verndert. Das Skript bernimmt die Eigentmerschaft von termsrv.dll, gewhrt sich volle Zugriffsrechte und ersetzt eine bestimmte Byte-Sequenz, um die Beschrnkung auf eine Sitzung zu entfernen.

Sicherheitslage und Risiko

Nach dem Auftragen des Patches wird der RDP-Dienst neu gestartet und die nderung tritt in Kraft. Angriffe knnen dann remote verbinden, whrend der legitime Benutzer weiterhin arbeitet, wobei beide Parteien sich gegenseitig nicht stren.

Diese Technik ist gefhrlich, weil sie eine vertrauenswrdige Systemdatei von Windows anstatt eines offensichtlich verdchtigen Drittanbieter-Tools angreift.

Standardberwachung kann nderungen an einer bestehenden System-DLL mglicherweise nicht erkennen, wodurch Angreifer einen weiten Zeitraum haben, um in einem infizierten Host zu operieren, ohne Alarm auszulsen.

Technischer Hintergrund

Reverse SSH-Tunnel und mehrschichtige Persistenz Cloud Atlas schichtet seinen Zugriff, indem es Reverse SSH-Tunnel parallel zur RDP-Manipulation einrichtet. Eine kompromittierte Maschine initiiert eine ausgehende SSH-Verbindung zu einem vom Angreifer kontrollierten Server und umgeht dabei die meisten Firewall-Regeln, die eingehende Verbindungen blockieren.

Da die Verbindung von innerhalb des Netzwerks ausgeht, erscheint sie fr viele Sicherheitsberwachungssysteme als normale ausgehende Datenbertragung. Um die Tunnel aufrechtzuerhalten, fhrt die Gruppe VBS-Skripte aus, die ber PAExec oder PsExec ausgefhrt werden, und plant sie als Windows-Aufgaben fr eine automatische Neustart-Funktion ein.

In einigen Fllen setzte die Gruppe zudem RevSocks, ein auf Go basierendes Proxy-Tool, ein und nutzte Tor, um RDP-Zugriffe ber versteckte.onion-Adressen zu routen. Diese verschachtelten Kommunikationskanle bedeuten, dass die Eliminierung eines Zugriffswegs nicht garantiert, dass die Angreifer vollstndig entfernt wurden.

Technischer Hintergrund

Sicherheitsteams sollten nach unerwarteten nderungen an termsrv.dll suchen, Modifikationen der Windows-Firewall berprfen und geplante Aufgaben auf unbekannte VBS- oder PowerShell-Eintrge auditen.

Die Beobachtung ungewhnlicher ausgehender SSH-Verbindungen und das Blockieren bekannter bsartiger Domains am Netzwerkrand sind ebenfalls entscheidende Schritte zur Verringerung der Exposition gegenber dieser andauernden Bedrohung.

Indikatoren fr Kompromittierung (IoCs): MD5-Hash: Indikator: 1A11B26DD0261EF27A112CE8B361C247; Beschreibung: rdp_new.ps1  Skript zur Modifikation von termsrv.dll. MD5-Hash: Indikator: 5329F7BFF9D0D5DB28821B86C26D628F; Beschreibung: Browser-Prfungs-Skript, das ber PS2EXE kompiliert wurde.

Sicherheitslage und Risiko

Dateipfad: Indikator: C:\Users[username]\Pictures\googleearth.ps1; Beschreibung: Persistenzpfad fr PowerShower. Dateipfad: Indikator: C:\Windows\wininet.exe; Beschreibung: Pfad zum PowerCloud-Malware. Dateipfad: Indikator: C:\Windows\LiveKernelReports\update.exe; Beschreibung: Pfad zum PowerCloud-Malware.

Dateipfad: Indikator: C:\Windows\ime\imejp\dicts\i39884.exe; Beschreibung: Pfad zum PowerCloud-Malware. Dateipfad: Indikator: C:\Windows\pla\reports.exe; Beschreibung: Pfad zum PowerCloud-Malware. Dateipfad: Indikator: C:\Windows\pla\reports\winlog.exe; Beschreibung: Pfad zum PowerCloud-Malware.

Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrer SIEM auf. Tushar ist ein Senior-Berichterstattungsexperte für Cybersicherheit und Datenschutzverletzungen.

Sicherheitslage und Risiko

Er spezialisiert sich auf Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenlecks sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Russischer Hacker nutzte ein jailgebrochenes Gemini, um Admin-Zugangsdaten zu stehlen und Krypto-Wallets auszuleeren.

Das LMS von KnowledgeDeliver wurde durch einen Zero-Day-Exploit kompromittiert, um den BLUEBEAM-Webshell zu installieren. WhatsApp-Chatverläufe werden auf macOS und iOS unverschlüsselt gespeichert.