Das erste Access-Geschäft TA584 und Tsundere Bot ebnen den Weg zur Ransomware

Ein Schauspieler spezialisiert auf den Verkauf des ersten Netzwerkzugangs, bekannt durch Analysten als TA584, hat das Niveau seiner Tätigkeit wiedererhöht und tut dies durch die Kombination neuer Werkzeuge, die das Risiko erhöhen, dass ein Eindringen in einen Ransomware-Angriff endet. Diese von Proofpoint-Forschern dokumentierte Kampagne zeigt eine Reihe von Engagements, die sorgfältig darauf ausgerichtet sind, statische Erkennungen zu vermeiden und legitime Konten in Eingangstüren in die Unternehmensinfrastruktur umzuwandeln.

Das auffälligste Stück in diesem Puzzle ist die Einarbeitung von Tsundere Bot, eine Malware-Plattform als Dienst, der über Node.js arbeitet und die von Kaspersky Letztes Jahr. Tsundere fungiert nicht nur als Hintertür und Ladegerät; es verwendet auch eine unkonventionelle Technik, um die Adresse seines Kontrollservers zu erhalten: es extrahiert Informationen aus der Etherium-Blockchain (eine Variation dessen, was einige Forscher als "Betonung" Techniken in Blockketten genannt). Diese Flexibilität und Raffinesse passt zu der Rolle, die TA584 im Cybercrime-Ökosystem spielt: einen wertvollen Zugang zu anderen Erpressungsgruppen bietet.

Laut dem Bericht von Proofpoint ist die aktuelle Operation Teil von Hunderten von alten Konten, die verwendet werden, um schädliche E-Mails durch legitime Massenversand-Dienste zu senden, wie SendGrid oder Amazon Simple Email Service. Es handelt sich nicht um eine einfache Anhaftung oder einen generischen Link: Jeder Empfänger erhält eine einzelne URL und den Infrastrukturfilterverkehr nach geographischer Lage und IP; außerdem werden Umleitungsketten verwendet, die häufig durch Drittverkehrsmanagementsysteme ("TDS") wie Keitaro durchlaufen. Ziel ist es, dass nur bestimmte Opfer den nächsten Schritt erreichen.

Wenn der Besucher die Filter übergibt, findet er zunächst eine CAPTCHA und dann eine Seite, die als Reparaturservice (bekannt als ClickFix in den Analysen) erscheint. Diese Seite fordert Sie auf, einen PowerShell-Befehl auszuführen: indem Sie dies tun, die Maschine herunterlädt und läuft ein osfuscated Skript im Speicher, dass es lädt, ohne offensichtliche Dateien auf Festplatte zu verlassen, entweder XWorm - ein bekannter Remote Access Trojan - oder Tsundere Bot. Nach der Ausführung wird der Browser auf eine sichere Website umgeleitet, um die Intrusion zu verkleiden. Diese Betriebsart reduziert die Oberfläche, die Sicherheitswerkzeuge überprüfen und die Signatur-basierte Erkennung komplizieren.

Die Flugbahn von TA584 ist nicht statisch: Proofpoint hat diesen Schauspieler mit einer Vielzahl von Malware-Familien im Laufe der Jahre beobachtet, von Infostealern wie Ursnif zu Post-Exploitation Frameworks wie Cobalt Strike. Das Volumen der gemeldeten Kampagnen stieg bis Ende 2025 im ersten Quartal, und die Geographie der Ziele erweiterte sich über Nordamerika und Großbritannien / Irland und erreichte Deutschland, andere europäische Länder und Australien. Diese Erweiterung schlägt eine klare Absicht vor, die Märkte zu diversifizieren und den Zugang in mehreren Regionen zu monetarisieren.

Tsundere Bot enthält zum Teil Funktionen, die es besonders attraktiv für Betreiber, die Beharrlichkeit und laterale Exploration suchen: es sammelt Systeminformationen, um potenzielle Opfer zu profilieren, kann beliebigen JavaScript-Code von seinem Kommandozentrum gesendet führen, ermöglicht es, engagierte Maschinen wie SOCKS-Proxies zu verwenden und hat sogar einen Binnenmarkt, in dem "bots" gekauft und verkauft werden können. Darüber hinaus umfasst der Installer eine alternative Kontrolladresse, die als Backup kodiert ist, falls die Wiederherstellung aus der Blockkette ausfällt und verhindert, dass sie in Systemen implementiert wird, die mit typischen Sprachen des Commonwealth of Independent States konfiguriert sind, was auf eine bewusste Anstrengung für Zielbetreiber oder Opfer der CIS-Region verweist.

All dies erklärt, warum Proofpoint-Forscher denken, dass Tsundere Bot-Infektionen, wenn sie Teil von TA584 Operationen sind, haben ein hohes Potenzial, zu Ransomware Vorfälle führen. In der Praxis erleichtert der anfängliche Zugriffsverkauf für andere spezialisierte Gruppen - sogenannte Ransomware-Operatoren - zu mieten oder bereits authentifizierte Eingabe zu kaufen und müssen nur ihre Verschlüsselung oder Exfiltrationslast bereitstellen, um den Schaden zu maximieren.

Für Sicherheitsorganisationen und Profis ist die Lektion zweifach: Es reicht nicht aus, sich auf die Validierung von Sender- oder Basis-Mail-Kontrollen zu verlassen; es ist auch notwendig, feinere Muster zu überwachen, wie die Verwendung von legitimen Versandlieferanten, einzigartige URLs pro Empfänger, Umleitungsketten und Lasten, die ausschließlich im Speicher ausgeführt werden. Die beste Praxis Anleitungen zu Ransomware und Erstzugriff empfehlen, die Authentifizierung zu stärken, Privilegien zu segregieren, Überwachungsprozesse im Gedächtnis zu überwachen und Mitarbeiter zu erziehen, keine Befehle auszuführen, die sie für unzuverlässige Webseiten verlangen. Offizielle Ressourcen wie die US-Agentur CISA sammeln Maßnahmen und Empfehlungen, die helfen können, Verteidigung zu verhärten: CISA - Ransomware Informationen.

In einem Ökosystem, in dem der Zugang zu Anbietern und Malware-Plattformen als Service professionalisiert sind, erfordert Prävention die Kombination von Richtlinien, Technologie und Training. Offensive Innovation hört nicht auf und Verteidiger können es auch nicht tun.: Überwachung von Verlobungsketten, Aktualisierungsregeln zur Erkennung von Lebewesen (wie PowerShell-Missbrauch) und Analyse von Speicherverhalten sind Maßnahmen, die heute den Unterschied zwischen einem frustrierten Versuch und einem kostengünstigen Eindringen von Angreifern machen.

Wenn Sie die technischen Erkenntnisse und Beispiele der Angriffskette vertiefen möchten, ist der Proofpoint-Bericht eine detaillierte und empfohlene Lesung für seine Sicht auf TA584 und die beobachteten Taktiken: Nachweis - TA584 Analyse. Um die technische Komponente von Tsundere Bot und seine Verwendung der Blockchain als Resilienzvektor zu verstehen, bietet der Kaspersky-Bericht wertvollen Kontext: Kaspersky - Tsundere Bot.