3CX: Ergebnisse zu Sicherheitsvorfall mit 3CX Desktop App

B2B Cyber Security ShortNews
Anzeige

Beitrag teilen

3XC, der Anbieter der beliebten Telefonsystem VOIP/PBX-Software, hatte ein Problem mit einer trojanisierten Version der 3CX Desktop App. Da 600.000 Kunden in 190 Ländern auf Antworten warten, hat 3CX den Spezialist Mandiant als Untersuchungsteam für die forensische Analyse eingesetzt. Nun liegen die ersten Erkenntnisse vor, dass es sich wahrscheinlich um eine nordkoreanische APT-Gruppe handelt.

Basierend auf der bisherigen Untersuchung von Mandiant zum 3CX-Intrusions- und Lieferkettenangriff ordnen sie die Aktivität einem Cluster namens UNC4736 zu. Mandiant geht mit großer Sicherheit davon aus, dass UNC4736 eine nordkoreanische Verbindung hat.

Anzeige

Windows-basierte Malware

Mandiant stellte fest, dass der Angreifer gezielte 3CX-Systeme mit TAXHAUL-Malware (alias „TxRLoader“) infiziert hatte. Bei der Ausführung auf Windows-Systemen entschlüsselt und führt TAXHAUL Shellcode aus, der sich in einer Datei mit dem Namen <machine hardware profile GUID>.TxR.0.regtrans-ms befindet, die sich im Verzeichnis C:\Windows\System32\config\TxR\ befindet. Der Angreifer hat wahrscheinlich diesen Dateinamen und Speicherort gewählt, um zu versuchen, sich in Standard-Windows-Installationen einzufügen.

Die Malware verwendet die Windows CryptUnprotectData-API, um den Shellcode mit einem kryptografischen Schlüssel zu entschlüsseln, der für jeden kompromittierten Host eindeutig ist, was bedeutet, dass die Daten nur auf dem infizierten System entschlüsselt werden können. Der Angreifer hat diese Designentscheidung wahrscheinlich getroffen, um die Kosten und den Aufwand einer erfolgreichen Analyse durch Sicherheitsforscher und Untersuchungskräfte zu erhöhen.

Anzeige

In diesem Fall war nach dem Entschlüsseln und Laden des in der Datei <machine hardware profile GUID>.TxR.0.regtrans-ms enthaltenen Shellcodes ein komplexer Downloader, den Mandiant COLDCAT nannte. Es ist jedoch erwähnenswert, dass sich diese Malware von GOPURAM unterscheidet, auf das in Kasperskys Bericht (Not just an infostealer: Gopuram backdoor deployed through 3CX supply chain attack) verwiesen wird.

MacOS-basierte Malware

Mandiant hat auch eine MacOS-Hintertür mit dem aktuellen Namen SIMPLESEA identifiziert, die sich unter /Library/Graphics/Quartz (MD5: d9d19abffc2c7dac11a16745f4aea44f) befindet. Mandiant analysiert immer noch SIMPLESEA, um festzustellen, ob es sich mit einer anderen bekannten Malware-Familie überschneidet.

Die in C geschriebene Hintertür kommuniziert über HTTP. Zu den unterstützten Backdoor-Befehlen gehören Shell-Befehlsausführung, Dateiübertragung, Dateiausführung, Dateiverwaltung und Konfigurationsaktualisierung. Es kann auch beauftragt werden, die Konnektivität einer bereitgestellten IP- und Portnummer zu testen.

Die Hintertür prüft die Existenz ihrer Konfigurationsdatei unter /private/etc/apdl.cf. Wenn es nicht vorhanden ist, wird es mit fest codierten Werten erstellt. Die Konfigurationsdatei ist Single-Byte-XOR-codiert mit dem Schlüssel 0x5e. Die C2-Kommunikation wird über HTTP-Anforderungen gesendet. Bei der ersten Ausführung wird eine Bot-ID zufällig mit der PID der Malware generiert. Die ID wird mit C2-Verbindungen gesendet. Ein kurzer Host Survey Report ist in Beacon Requests enthalten. Nachrichteninhalte werden mit der A5 Stream Cipher gemäß den Funktionsnamen in der Binärdatei verschlüsselt.

Weitere Auswertung für Experten

3CX bietet eine noch informellere Auswertung der Ergebnisse auf seiner Webseite an. Dort sind auch weitere Informationen zu den einzelnen Protokollen und YARA-Regeln, die man verwenden werden, um nach TAXHAUL (TxRLoader) zu suchen.

Mehr bei 3CX.com

 


Über 3CX

Gegründet im Jahr 2005, als VoIP noch eine aufstrebende Technologie war, hat sich 3CX seither zu einem weltweit führenden Anbieter für Business VoIP-Kommunikation etabliert. Durch die Nutzung des offenen SIP-Standards und WebRTC-Technologie ist 3CX seinen Wurzeln Telefonsystem entwachsen und hat sich zu einer kompletten Kommunikationsplattform weiterentwickelt.


 

Passende Artikel zum Thema

PLAY-Gruppe: IT-Service der schweizer Polizei gehackt und Daten erbeutet

Stimmen die Informationen der PLAY-Gruppe, dann will sie 900 GByte Daten erbeutet haben bei Xplain, einem schweizer IT- und Software-Service, ➡ Weiterlesen

Attackierte Schwachstelle bei Samsung-Smartphones mit Android 12, 13

Eine der Schwachstellen, die das Mai-Update von Samsung schließt, wird sogar von der CISA  - Cybersecurity and Infrastructure Security Agency ➡ Weiterlesen

Bitmarck & Krankenkassen: Immer noch Ausfälle vorhanden

Vor über 2 Monaten wurde der IT-Versorger dutzender Krankenkassen und Betriebskrankenkassen Bitmarck von einer Cyberattacke getroffen. Dabei mussten sogar ganze ➡ Weiterlesen

AOK: Software-Schwachstelle – BSI bestätigt Datenabfluss

Die AOK und viele ihrer bundesweiten Geschäftsstellen nutzen das Softwareprodukt MOVEit Transfer. Dort gibt es nun die gefährliche Schwachstelle CVE-2023-34362, ➡ Weiterlesen

COSMICENERGY: OT-Malware soll Stromausfälle verursachen

Mandiant berichtet über eine neue spezialisierte Malware für Operational Technology (OT), die unter dem Namen COSMICENERGY beobachtet wird. Die Malware ➡ Weiterlesen

Lockbit erbeutet 700 GByte Daten bei MCNA mit 9 Mio. Kunden

MCNA Dental, der größte nordamerikanische Versicherer für Zahnpflege musste alle seine fast 9 Millionen Kunden über einen Verlust von 700 ➡ Weiterlesen

Zero Trust: Advanced User Intelligence

Ein Unternehmen für Zero Trust Data Security stellt seine Advanced User Intelligence vor. Die neuen Funktionen unterstützen Unternehmen dabei, Cyberangriffe ➡ Weiterlesen

Angriffe mit Web3-IPFS-Technik

IPFS ist eine Web3-Technologie, die die Speicherung von Dateien und anderen Daten in einem Peer-to-Peer-Netzwerk dezentralisiert und verteilt. Wie jede ➡ Weiterlesen