Schlagwort-Archive: Smart Protection Network

Erkennen von PrintNightmare Exploit-Versuchen

Originalbeitrag von Nitesh Surana, Threat Research Engineer

PrintNightmare ist eines der jüngsten Exploit-Sets, das die Print Spooler-Sicherheitslücken (CVE-2021-1675CVE-2021-34527 und CVE-2021-34481) ausnutzt. Es handelt sich um eine Sicherheitslücke bei der Codeausführung (sowohl remote als auch lokal) im Print Spooler-Dienst, die alle Windows-Versionen betrifft, auf denen der besagte Dienst läuft. Eine Reihe von Forschern hat Proof of Concepts für mehrere Exploit-Varianten entwickelt, die auf unterschiedlichen Implementierungen (über TCP und Server Message Block oder SMB) basieren. Durch die Verwendung verschiedener Funktionsaufrufe für das Print System Asynchronous Remote Protocol (MS-PAR) und die missbräuchliche Verwendung von RpcAsyncAddPrinterDriver kann PrintNightmare auf Servern und Workstations ausgenutzt werden, während PrintNightmare durch die missbräuchliche Verwendung des Print System Remote Protocoll (MS-RPRN) RpcAddPrinterDriverEx für eine Impacket-Implementierung nutzen kann.

Wir haben die Implementierungen von PrintNightmare untersucht und zeigen, wie die von Trend Micro Vision One™ und Trend Micro Cloud One™ ermöglichte Transparenz, die Risiken mindern kann, die durch kritische Lücken in Systemen wie dem Print Spooler Service entstehen. Mithilfe der Indikatoren und Attribute von Angriffsversuchen, die von Netzwerken und Endpunkten geloggt werden, ermöglichen beide Plattformen Sicherheitsteams und Analysten einen umfassenderen Blick auf Angriffsversuche, um sofortige und umsetzbare Reaktionen zu ermöglichen.
Weiterlesen

Trend Micro Vision One: Erforschung eines Angriffs mit Conti Ransomware

Originalartikel von Alvin Nieto, Mark Vicente, RonJay Caragay, Miguel Carlo Ang, McJustine De Guzman, Emmanuel Evangelista, Divina Chua, Marco Dela Vega

Im Februar 2021 fiel uns über die Trend Micro Vision One-Plattform eine Serie verdächtiger Vorfälle auf, die in Verbindung zu einem Angriff der Conti Ransomware-Bande standen. Conti gilt als Nachfolger der berüchtigten Ryuk Ransomware-Familie. Die Bedrohungsakteure verbreiten die Malware nun zunehmend über dieselben Methoden wie früher Ryuk. So werden jetzt beispielsweise sowohl Trickbot/Emotet als auch BazarLoader für die Verbreitung von Conti verwendet. Wir wollen zeigen, wie Cobalt Strike Beacons (Backdoor.<Architecture>.COBEACON.SMA) dafür verwendet wird und wie die Trend Micro Vision One Plattform dabei unterstützt, diese Bedrohung zu verfolgen. Wir gehen davon aus, dass Forscher bei Sophos ebenfalls auf diese spezielle Gruppe von Bedrohungsakteuren gestoßen sind. Der von ihnen entdeckte Angriff und dieser hier zeigen Ähnlichkeiten in den verwendeten Techniken.
Weiterlesen

Aufkommende Ransomware-Techniken für gezielte Angriffe

Originalartikel von Trend Micro

Wie Trend Micro im Halbjahresbericht 2020 darlegt, sagen die Zahlen zur Lösegeldforderung auf den ersten Blick nicht mehr viel aus. Zwar ist die Zahl der Infektionen, der Offenlegungen von Unternehmen und der Ransomware-Familien zurückgegangen, doch der geschätzte Geldbetrag, der für den Zugriff auf die verschlüsselte Daten ausgegeben wurde, ist stetig gestiegen. Cyberkriminelle greifen Institutionen und Unternehmen an, für die der Zugriff auf ihre Daten und die Wiederherstellung ihre Systeme sehr wichtig ist. Deshalb können die Kriminellen exorbitante Lösegeldforderungen stellen.
Weiterlesen

Untersuchung: Fehlkonfigurationen als größtes Risiko für den sicheren Cloud-Betrieb

Originalbeitrag von Morton Swimmer, Fyodor Yarochkin, Joey Costoya, Roel Reyes, Trend Micro Research

Bis 2021 werden über 75 Prozent der mittleren und großen Unternehmen eine Multi-Cloud- oder Hybrid-IT-Strategie einführen, so die Prognose der Marktforscher von Gartner. Mit zunehmender Verbreitung von Cloud-Plattformen aber sehen sich IT- und DevOps-Teams auch mit zusätzlichen Risiken und Unsicherheiten in Bezug auf die Sicherung ihrer Cloud-Instanzen konfrontiert. Es gibt viele Faktoren, die zur Gefährdung von Workloads und Anwendungen führen können, einschließlich von Fehlkonfigurationen, unsachgemäßem Einsatz von Technologie, mangelnder Erfahrung im Betrieb und in der Sicherung von Cloud-Systemen oder auch nur ein bloßes Versehen seitens der Entwickler oder Cloud-Ingenieure. Außerdem sind die Komponenten von Cloud-Systemen auf vielfältige Weise miteinander verbunden, so dass potenzielle Angriffsvektoren schwer nachzuvollziehen sind.
Weiterlesen

Aktualisiert: Coronavirus in bösartigen Kampagnen

Von Trend Micro

Cyberkriminelle nutzen die Coronakrise in verschiedenen bösartigen Kampagnen. Das Virus wird als Köder in Email Spam, für BEC, Malware, Ransomware und in bösartigen Domänen eingesetzt. Und je weiter die Zahl der vom Virus Betroffenen weltweit steigt, desto mehr solcher Malware-Kampagnen entdecken die Sicherheitsforscher, die ständig weltweit Samples zu solchen Corona-bezogenen Aktivitäten sammeln. Der Beitrag beschreibt Angriffskampagnen, zeigt Schutzmaßnahmen auf und wird immer wieder aktualisiert! Neue Kampagnen, die bösartige Domänen einsetzen und grundlegende Daten zur Verteilung der Bedrohungen.

Weiterlesen