Silver Sparrow Dropper fliegt durch macOS-Erkennung; kostenloses Skript für MSPs verfügbar

Nach dem Hackerangriff auf FireEye im Dezember veröffentlichte Datto einen kostenlosen „FireEye Countermeasure Scanner“ für Managed Service Provider (MSPs), um die gestohlenen Tools aufzuspüren. Als diese Woche eine neue Bedrohung in Form eines neuen Droppers namens „Silver Sparrow“ auftauchte, schritt das Entwicklerteam von „ Datto RMM “ sofort zur Tat und entwickelte ein kostenloses Skript für MSPs, das das Vorhandensein dieses Droppers erkennt.

Ein Dropper wird bei einem Angriff verwendet, um auf einem Gerät zu verharren und eine Nutzlast zu liefern, die Komponente, die dem System Schaden zufügt. Aus dieser Analyse ergeben sich vier interessante Details zu diesem Angriff, die das Bewusstsein für diese Aktivität schärfen und Ihre Wachsamkeit zum Schutz Ihrer kleinen und mittleren Unternehmen (KMU) erhöhen sollten.

Ausrichtung auf die Apple M1-Architektur

Die im November vorgestellte Apple M1-Architektur markierte die Abkehr von den Intel-basierten Prozessoren, auf die Apple bisher bei seinen Desktop- und Laptop-Produktreihen gesetzt hatte. Bis zu diesem Zeitpunkt gab es noch keine Variante, die auf die neue ARM64-basierte Architektur von Apple abzielte. Die Teams von Red Canary und Malwarebytes, denen diese Entdeckung gelang, identifizierten zwei Varianten von „Silver Sparrow“. Während die erste Variante ausschließlich für Intel x86_64 bestimmt war, enthielt das zweite Sample sowohl die x86_64- als auch die ARM64-Architektur im PKG. Dies sollte ein klares Signal an die MSP-Community sein, dass Angreifer weiterhin macOS ins Visier nehmen und ihre Techniken weiterentwickeln.

Verwendung der macOS Installer Javascript API

Bestehende Malware-Techniken nutzen Skripte vor und nach der Installation als Teil des Installationsprogramms, so dass Erkennungs-Engines die Ausführungsmuster der Prozesse identifizieren und Maßnahmen ergreifen können. Silver Sparrow nutzt den vertrauenswürdigen macOS-Installationsprozess, um bösartige JavaScript-Befehle auszuführen, die in einer im Paket enthaltenen XML-Datei versteckt sind. Dies bietet dem bösartigen Code zusätzlichen Schutz vor bestehenden Erkennungsfunktionen und solchen, die von vertrauenswürdigen Betriebssystemprozessen ausgehen, was es für viele Next-Gen-Engines schwierig macht, ihn als bösartig zu identifizieren. Dies ist ein klarer Schritt, um den Anschein einer normalen oder vertrauenswürdigen Paketinstallation zu erwecken und den Verteidigern die Möglichkeit der Erkennung zu nehmen.

Die fehlende Nutzlast

Bei der durchgeführten Analyse hatte keines der beiden Teams den wichtigsten Bestandteil eines Droppers beachtet: die Nutzlast. Nutzlasten sind das, worüber wir in den Nachrichten im Allgemeinen hören, und bei unseren Abwehrmaßnahmen (dazu gehören RYUK und Trickbot) haben sie schwerwiegende Folgen. Das Malwarebytes-Team weist darauf hin, dass auf allen Hosts, auf denen der Dropper identifiziert wurde, die Nutzlast offenbar fehlt. Darüber hinaus enthielten die Ausführungsskripte kodierte Nachrichten mit dem Standardtext „Hello World“, was darauf hindeutet, dass Silver Sparrow sich noch in der Entwicklungsphase eines Akteurs befindet. Die Beweislage deutet stark darauf hin, dass sich dieser Dropper noch in einem frühen Stadium befindet und wir in Zukunft wahrscheinlich noch mehr über Silver Sparrow hören werden.

Selbstzerstörung

Wir alle wissen es zu schätzen, wenn jemand hinter sich aufräumt, aber der Gast, von dem Sie möchten, dass er vorbeikommt und alle Spuren beseitigt, ist nicht Silver Sparrow. Der Dropper ist zwar als dauerhaft gedacht, aber Silver Sparrow verfügt über eine Art Kill-Switch, der die Entfernung von Komponenten mit dauerhaften Mechanismen erzwingt. Dies wird durch die Überwachung des Vorhandenseins der Datei ~/Library/._insu erreicht. Diese Technik ermöglicht es den Betreibern, wenn gewünscht, die Nutzlast zu entfernen und das System ohne Spuren zu verlassen.

Erkennung und Prävention von Silver Sparrow

Als die Nachricht von dieser Aktivität bekannt wurde, war dem Entwicklerteam von „ Datto RMM “ klar, dass unsere MSP-Partner und die gesamte IT-Community Unterstützung benötigen würden, da viele EDR-Produkte (Endpoint Detection and Response) Schwierigkeiten haben, diese Bedrohung abzuwehren. Heute hat das Entwicklerteam von „ Datto RMM “ das Skript „Silver Sparrow Detection and Prevention“ im Produkt veröffentlicht, das ab sofort im „ Datto RMM ComStore“ für Datto-RMM-Partner sowie auf GitHub für die breitere Community zur Nutzung in anderen RMM-Plattformen verfügbar ist. Das neue Skript hilft nicht nur bei der Erkennung der aktuellen Variante, sondern platziert auch die Selbstzerstörungsdatei, um Silver Sparrow vollständig zu entfernen und so die Auslieferung einer Payload zu verhindern. Das Skript basiert auf den Indikatoren aus dem Red Canary-Bericht, die sich weiterentwickeln können; daher ist Feedback aus der Community willkommen, um eine kontinuierliche Verbesserung zu unterstützen.

Die Informationssicherheits- und Datto RMM-Teams bei Datto engagieren sich für die Sicherheit unserer MSP-Partner und ihrer KMUs und werden weiterhin Tools zur Verbesserung der Sicherheit im großen Maßstab entwickeln und bereitstellen. Der Weg zur Cyber-Resilienz erfordert eine kontinuierliche Verbesserung, eine gemeinsame Verantwortung, die wir mit unserem Ziel, den Channel zu schützen, übernehmen.