GooseEgg-malware gekoppeld aan Russian Fancy Bear APT
APT28, een aan Rusland gelieerde bedreigingsacteur, maakte gebruik van een beveiligingsprobleem in de Microsoft Windows Print Spooler-component om een nieuwe aangepaste malware met de naam GooseEgg te implementeren. Deze post-compromis-tool, operationeel sinds ten minste juni 2020 en mogelijk al in april 2019, maakte gebruik van een inmiddels gepatchte fout die escalatie van privileges mogelijk maakte (CVE-2022-38028, CVSS-score: 7,8). Microsoft heeft dit probleem aangepakt in updates die in oktober 2022 zijn uitgebracht, met dank aan de Amerikaanse National Security Agency (NSA) voor de eerste melding ervan.
Fancy Bear zette GooseEgg in tegen verschillende doelen
Volgens recente bevindingen van het Microsoft-dreigingsinformatieteam heeft APT28 (ook bekend als Fancy Bear en Forest Blizzard) deze kwetsbaarheid gebruikt bij aanvallen gericht op overheids-, niet-gouvernementele organisaties, onderwijs- en transportsectororganisaties in Oekraïne, West-Europa en Noord-Amerika.
Forest Blizzard, vermoedelijk geassocieerd met eenheid 26165 van de Russische militaire inlichtingendienst GRU, is al ongeveer 15 jaar actief en richt zich voornamelijk op het verzamelen van inlichtingen ter ondersteuning van de doelstellingen van het Russische buitenlandse beleid.
Eerdere aanvallen van Fancy Bear
Naast GooseEgg heeft APT28 misbruik gemaakt van andere kwetsbaarheden, zoals een escalatiefout van bevoegdheden in Microsoft Outlook (CVE-2023-23397, CVSS-score: 9,8) en een code-uitvoeringsfout in WinRAR (CVE-2023-38831, CVSS-score: 7,8). ), wat blijk geeft van hun behendigheid bij het integreren van publieke exploits in hun tactieken.
Het doel van de inzet van GooseEgg is volgens Microsoft het verkrijgen van verhoogde toegang tot doelsystemen en het stelen van inloggegevens en informatie. De malware wordt doorgaans samen met een batchscript ingezet en maakt het mogelijk opdrachten uit te voeren om de exploit te activeren en specifieke applicaties met verhoogde rechten te starten, waarbij het succes wordt geverifieerd via opdrachten als whoami.
