Cactus: Ransomware-Neuling mit ausgefeilten TTPs

Cactus ist eine ausgeklügelte Ransomware mit einzigartigen Merkmalen wie der automatischen Verschlüsselung und einer fortlaufenden Änderung der Dateierweiterungen nach der Verschlüsselung, wodurch es schwieriger wird, betroffene Dateien zu identifizieren. Die Ransomware verwendet den bekannten und leicht zu entpackenden UPX-Packer und unterteilt verschlüsselte Dateien in Mikropuffer, möglicherweise, um die Verwaltung der verschlüsselten Datenströme zu beschleunigen.

Der Newcomer tauchte erstmals im März 2023 auf und hat sich in die Top 10 der Malware-Gruppen eingereiht, die die meisten monatlichen Opfer provozierten. Im November lag die Ransomware laut den Nachforschungen der NCC Group mit 58 Opfern auf Platz 7. Die Gruppe konzentriert sich auf hohe Summen und hat es auf große Unternehmen abgesehen.

Malware verschlüsselt sich selbst

„Cactus ist ein gutes Beispiel für Ransomware-Gruppen, die bei ihren Angriffen immer ausgefeilte TTPs einsetzen. Was in diesem Fall auffällt, ist, dass die Malware sich selbst verschlüsselt, um der Erkennung zu entgehen“, erklärt Bibek Thapa Magar, Security Analytics Engineer bei Logpoint. „Die geschmeidige Art und Weise, wie die Verteidigung umgangen wird, zeigt, dass die Gruppe ihr Spiel gut beherrscht. Cactus hat sich schnell einen Namen gemacht, indem es doppelte Erpressung einsetzt, sensible Daten kompromittiert und den Opfern nur wenige Möglichkeiten zur Abwehr lässt.“

Logpoint hat einen Bericht zusammengestellt, der die von Cactus verwendeten TTPs und IoCs hervorhebt, um Warnregeln zur Erkennung der von der Gruppe verwendeten Methoden zu erstellen. Laut Kroll nutzt Cactus bekannte Schwachstellen in VPN-Appliances aus, um sich einen ersten Zugang zu verschaffen und mit SSH Befehle und Kontrolle zu erlangen. Die Gruppe versucht, LSASS und Anmeldedaten aus Webbrowsern auszulesen, um ihre Rechte zu erweitern. Schließlich verschafft sich Cactus mit Splashtop oder AnyDesk Zugang zu den Zielcomputern und erstellt mit Chisel einen Proxy zwischen den infizierten Hosts, bevor er die Dateien verschlüsselt.

Ausbreitung im Unternehmen verhindern

„Cactus ist eine gute Erinnerung daran, dass grundlegende Cyberhygiene wichtig ist, aber es zeigt auch, dass Überwachung und Erkennung der Schlüssel zum Schutz vor neuerer Ransomware sind“, warnt Bibek Thapa Magar. „Wenn eine Aktivität entdeckt wird, sollten Sicherheitsanalysten diese untersuchen und sicherstellen, dass sie sich nicht ausbreitet, indem sie virtuelle private Netzwerke (VPNs), Server für den Fernzugriff, Single-Sign-On-Ressourcen und öffentlich zugängliche Anlagen deaktivieren, bevor sie sich um die Eindämmung, Auslöschung und Wiederherstellung kümmern, um die Auswirkungen zu minimieren.“

Roger Homrich

Recent Posts

Europäischer Smartphonemarkt schrumpft 3 Prozent im vierten Quartal

Es ist allerdings der geringste Rückgang seit dem vierten Quartal 2021.Apple profitiert mehr von der…

18 Minuten ago

Deutschland in Europa am dritthäufigsten von Ransomware betroffen

Bericht "Hi-Tech Crime Trends 23/24" von Group-IB zeigt, dass Fertigung, Immobilien und Logistik im Fokus…

3 Tagen ago

Copilot for Finance

Das Add-on für Microsoft 365 bietet KI-gestützte, rollenspezifische Workflow-Automatisierung, Empfehlungen sowie geführte Aktionen im Arbeitsablauf.

3 Tagen ago

Confare #ImpactChallenge 2024 – jetzt einreichen und nominieren!

Mit der #ImpactChallenge holt die IT-Plattform Confare IT-Verantwortliche auf die Bühne, die einen besonderen Impact…

4 Tagen ago

KI-Bots und Menschen werden immer öfter verwechselt

Forscher der University of Notre Dame haben eine Studie mit KI-Bots durchgeführt.

4 Tagen ago

Qakbot lebt und bleibt gefährlich

Sophos X-Ops hat eine neue Variante der Qakbot-Malware entdeckt und analysiert.

5 Tagen ago