Neue Sandworm-Taktiken nutzen SSH-over-Tor-Tunnel für langfristige, versteckte Persistenz

Sicherheitslage und Risiko

Angriffsablauf (Quelle – 360) Sobald das Opfer die LNK-Datei anklickte, wurde das gesamte Angriffswerkzeugset leise im Hintergrund eingesetzt, während das echte Ablenkungs-PDF geöffnet wurde, um den Benutzer Gesamtauswirkung dieses Angriffs ist schwerwiegend.

Sobald das Toolkit eingerichtet war, erlangten die Angreifer dauerhafte Kontrolle über das interne Netzwerk des Opfers und waren in der Lage, lateral zu agieren, auf sensible Dateien zuzugreifen und den Remote Desktop zu betreiben.

Kritische lokale Ports, darunter SMB Port 445 und RDP Port 3389, wurden auf eine Dark-Web-Onion-Adresse gemappt, was es dem Angreifer ermöglichte, von überall auf der Welt über das Tor-Netzwerk zu verbinden und alle eingehenden Firewall-Schutzmaßnahmen zu umgehen.

Technischer Hintergrund

Wie Sandworm dauerhaften versteckten Zugriff erlangte Der technisch auffälligste Teil dieser Kampagne ist, wie Sandworm langfristigen Zugriff in den Systemen der Opfer eingebettet hat, indem es Tools verwendete, die als bekannte Anwendungen getarnt waren.

Nachdem die LNK-Datei das Hauptsteuerungsskript currentSessionTrigger auslöste, überprüfte das Skript zuerst, ob es auf einer echten Maschine lief, indem es nach mindestens 10 kürzlichen.lnk-Dateien und 50 oder mehr aktiven Prozessen suchte.

Wenn die Umgebung diese Überprüfungen bestand, registrierte das Skript zwei geplante Aufgaben mit den Namen OperagxRepairTask und DropboxRepairTask, die beide aus der Standardansicht des Task Schedulers versteckt waren und so sicherstellten, dass bösartige Payloads bei jeder Benutzeranmeldung automatisch gestartet wurden.

Technischer Hintergrund

Geplante Aufgabe (Quelle – 360) Diese Aufgaben starteten zwei getarnte ausführbare Dateien: operagx.exe, die tatsächlich ein OpenSSH-Daemon war, und dropbox.exe, das ein Tor-Server war.

Eine dritte Datei, safari.exe, fungierte als obfs4 Traffic-Obfuscation-Plugin und formte den gesamten Tor-Verkehr in zufällige TCP-Streams um, um Unternehmens-Firewalls und Deep-Packet-Inspection-Systeme zu umgehen. Eine vierte Datei, obsstudio.exe, diente als SFTP-Server für stille Dateiübertragungen.

Der SSH-Daemon wurde so konfiguriert, dass er nur auf dem lokalen Loopback-Port 20321 lauschte, wodurch er für externe Netzwerkscans unsichtbar blieb. Sobald der Tor-Dienst gestartet wurde, generierte er einen versteckten.onion-Hostname.

Holz als technisches Geruest

Das Hauptsteuerungs-Skript las diesen Hostnamen und sendete die Identifikationsdaten des Opfers an eine hartkodierte C2-Adresse unter kvk46su7d2qi6g4n43syp4zbsf2rihnc6ztj77qtc2ojvewjqvqilnqd.onion mithilfe, um die Verbindung aufrechtzuerhalten und einen permanenten verschlüsselten Schatten-Kontrollkanal innerhalb des Netzwerks des Opfers zu schließen.

Organisationen sollten geplante Aufgaben regelmäßig auf Einträge überprüfen, die vertrauenswürdige Anwendungen wie Browser oder Cloud-Speicherprogramme imitieren. Sicherheitsteams sollten die Firewalls so konfigurieren, dass sie Tor-bezogenen und obfs4-Verkehr am Perimeter erkennen und blockieren.

Die Mitarbeiter benötigen kontinuierliche Schulungen, um zu vermeiden, ZIP-Anhänge öffnen, insbesondere Dateien mit LNK-Verknüpfungen, die als Dokumente getarnt sind.

Technischer Hintergrund

Es wird dringend empfohlen, Endpunkterkennungstools einzusetzen, die SSH-Serverprozesse identifizieren, die aus AppData-Verzeichnissen mit nicht standardmäßigen Portkonfigurationen laufen. Sie uns auf

Der Beitrag New Sandworm Tradecraft Uses SSH-over-Tor Tunnel for Long-Term Hidden Persistence erschien zuerst bei