Ghost
Ghost (auch bekannt als Cring, Crypt3r, Phantom, Strike, Hello, Wickrme, HsHarada und Rapture) ist eine aus China stammende ransomware , die veraltete Softwareschwachstellen ausnutzt, um Unternehmen weltweit anzugreifen.
Der Ursprung derransomware
Ghost ist eine finanziell motivierte Bedrohungsgruppe, die Anfang 2021 aufgetaucht ist. Es wird vermutet, dass die Gruppe von China aus operiert, und sie ist für ihre schnellen und äußerst opportunistischen Angriffe bekannt. Im Gegensatz zu anderen ransomware , die sich über einen längeren Zeitraum halten, infiltrieren die Betreiber von Ghost laut CISA in der Regel ein Netzwerk, installieren ihre ransomware und verlassen es innerhalb weniger Tage wieder. Indem sie veraltete Software-Schwachstellen ausnutzen, erweitern sie schnell ihre Privilegien, deaktivieren die Sicherheitsabwehr und verschlüsseln wichtige Dateien, so dass den Opfern nur wenig Zeit zum Reagieren bleibt. Ihr Ziel ist einfach: so schnell wie möglich den finanziellen Gewinn zu maximieren, bevor die Verteidiger den Angriff entdecken und entschärfen können.
Ziele
Ziele des Ghost
Zielländer von Ghost
Ghost hat Unternehmen in über 70 Ländern infiziert, wobei Angriffe in China und zahlreichen anderen Ländern bestätigt wurden.
Zielbranchen von Ghost
ransomware haben es auf ein breites Spektrum von Branchen abgesehen, darunter kritische Infrastrukturen, das Bildungs- und Gesundheitswesen, Regierungsnetzwerke, religiöse Einrichtungen, Technologie und Fertigung. Auch kleine und mittlere Unternehmen sind häufig betroffen.
Zielbranchen von Ghost
ransomware haben es auf ein breites Spektrum von Branchen abgesehen, darunter kritische Infrastrukturen, das Bildungs- und Gesundheitswesen, Regierungsnetzwerke, religiöse Einrichtungen, Technologie und Fertigung. Auch kleine und mittlere Unternehmen sind häufig betroffen.
Die Opfer des Ghost
Auch wenn die Namen der Opfer nicht immer bekannt gegeben werden, habenransomware Unternehmen aus verschiedenen Branchen betroffen. Da der Schwerpunkt auf finanzieller Erpressung liegt, gehören zu den Opfern oft Institutionen mit wertvollen Daten und begrenzten Cybersicherheitsmaßnahmen.
Angriffsmethode
Die Angriffsmethode des Ghost
Ghost nutzen Schwachstellen in Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint und Microsoft Exchange (ProxyShell-Schwachstellen) aus, um sich unbefugten Zugang zu verschaffen.
Angreifer verwenden Tools wie SharpZeroLogon, SharpGPPPass, BadPotato und GodPotato, um ihre Berechtigungen zu erweitern und sich als hochrangige Systembenutzer auszugeben.
Die Gruppe deaktiviert Windows Defender und andere Antivirenlösungen, modifiziert Sicherheitstools und führt Befehle aus, um unerkannt zu bleiben.
Ghost nutzen die "Hashdump"-Funktion vonCobalt Strikeund Mimikatz, um Anmeldedaten zu stehlen.
Die Angreifer führen die Erkennung von Domänenkonten, die Erkennung von Prozessen und die Aufzählung von Netzwerkfreigaben mit Tools wie SharpShares und Ladon 911 durch.
PowerShell-Befehle und Windows Management Instrumentation (WMI ) werden verwendet, um sich in Opfernetzwerken zu bewegen.
Die ransomware wird über PowerShell, Windows Command Shell und hochgeladene Web-Shellsausgeführt.
Obwohl der Datendiebstahl nicht das primäre Ziel ist, werden einige Dateien über Cobalt Strike Team Server und Mega.nz cloud gestohlen.
Die ransomware verschlüsselt Dateien mit Cring.exe, Ghost.exe, ElysiumO.exe und Locker.exe und macht die Daten des Opfers unzugänglich, solange kein Lösegeld gezahlt wird.
Erster Zugang
Ghost nutzen Schwachstellen in Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint und Microsoft Exchange (ProxyShell-Schwachstellen) aus, um sich unbefugten Zugang zu verschaffen.
Rechte-Eskalation
Angreifer verwenden Tools wie SharpZeroLogon, SharpGPPPass, BadPotato und GodPotato, um ihre Berechtigungen zu erweitern und sich als hochrangige Systembenutzer auszugeben.
Verteidigung Umgehung
Die Gruppe deaktiviert Windows Defender und andere Antivirenlösungen, modifiziert Sicherheitstools und führt Befehle aus, um unerkannt zu bleiben.
Zugang zu Anmeldeinformationen
Ghost nutzen die "Hashdump"-Funktion vonCobalt Strikeund Mimikatz, um Anmeldedaten zu stehlen.
Entdeckung
Die Angreifer führen die Erkennung von Domänenkonten, die Erkennung von Prozessen und die Aufzählung von Netzwerkfreigaben mit Tools wie SharpShares und Ladon 911 durch.
Seitliche Bewegung
PowerShell-Befehle und Windows Management Instrumentation (WMI ) werden verwendet, um sich in Opfernetzwerken zu bewegen.
Sammlung
Ausführung
Die ransomware wird über PowerShell, Windows Command Shell und hochgeladene Web-Shellsausgeführt.
Exfiltration
Obwohl der Datendiebstahl nicht das primäre Ziel ist, werden einige Dateien über Cobalt Strike Team Server und Mega.nz cloud gestohlen.
Auswirkungen
Die ransomware verschlüsselt Dateien mit Cring.exe, Ghost.exe, ElysiumO.exe und Locker.exe und macht die Daten des Opfers unzugänglich, solange kein Lösegeld gezahlt wird.
MITRE ATT&CK Kartierung
Von Ghost verwendete TTPs
TA0001: Initial Access
T1190
Exploit Public-Facing Application
TA0002: Execution
T1059
Command and Scripting Interpreter
T1047
Windows Management Instrumentation
TA0003: Persistence
T1505
Server Software Component
T1136
Create Account
T1098
Account Manipulation
TA0004: Privilege Escalation
T1134
Access Token Manipulation
T1068
Exploitation for Privilege Escalation
TA0005: Defense Evasion
T1134
Access Token Manipulation
T1564
Hide Artifacts
T1562
Impair Defenses
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
T1518
Software Discovery
T1135
Network Share Discovery
T1087
Account Discovery
T1057
Process Discovery
T1018
Remote System Discovery
TA0008: Lateral Movement
No items found.
TA0009: Collection
No items found.
TA0011: Command and Control
T1573
Encrypted Channel
T1132
Data Encoding
T1105
Ingress Tool Transfer
T1071
Application Layer Protocol
TA0010: Exfiltration
T1567
Exfiltration Over Web Service
T1041
Exfiltration Over C2 Channel
TA0040: Impact
T1486
Data Encrypted for Impact
Plattform-Detektionen
Wie man mit Vectra AI Ghost erkennt
Häufig gestellte Fragen
Wie verschafft sich die ransomware Ghost (Cring) Zugang zu einem Netzwerk?
Ghost nutzt bekannte Schwachstellen in veralteter Software aus, z. B. in Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint und Microsoft Exchange (ProxyShell-Schwachstellen).
Welche Branchen sind am stärksten vonransomware betroffen?
Kritische Infrastrukturen, Bildung, Gesundheitswesen, Regierungsnetzwerke, religiöse Einrichtungen, Technologie, Fertigung und kleine Unternehmen.
Exfiltriertransomware Daten vor der Verschlüsselung?
Ghost exfiltrieren gelegentlich begrenzte Daten, aber groß angelegter Datendiebstahl ist nicht ihr Hauptziel.
Welche Sicherheitsschwachstellen werden von Ghost häufig ausgenutzt?
Einige bemerkenswerte CVEs sind:
- CVE-2018-13379 (Fortinet FortiOS)
- CVE-2010-2861, CVE-2009-3960 (Adobe ColdFusion)
- CVE-2021-34473, CVE-2021-34523, CVE-2021-31207 (Microsoft Exchange ProxyShell).
Welche Tools verwendet dieransomware ?
Ghost verwenden Cobalt Strike, Mimikatz, SharpZeroLogon, SharpGPPPass, BadPotato, GodPotato und PowerShell-basierte Skripte.
Wie können sich Unternehmen gegenransomware schützen?
Unternehmen können sich gegenransomware schützen, indem sie Lösungen zur Erkennung von und Reaktion auf Bedrohungen implementieren, die ungewöhnliche Aktivitäten überwachen, Ausbeutungsversuche erkennen, bösartige Tools wie Cobalt Strike blockieren und eine schnelle Reaktion auf Vorfälle ermöglichen, um Angriffe einzudämmen und zu entschärfen, bevor es zu einer Verschlüsselung kommt.
Wie schnell arbeitet dieransomware ?
In vielen Fällen setzen die Angreifer ransomware nocham selben Tag ein, nachdem sie sich Zugang verschafft haben.
Wie hoch ist die typische Lösegeldforderung?
Ghost verlangen Lösegeld in Höhe von zehn- bis hunderttausenden von Dollar, zahlbar in Kryptowährung.
Wie kommuniziert dieransomware mit ihren Opfern?
Sie nutzen verschlüsselte E-Mail-Dienste (Tutanota, ProtonMail, Skiff, Mailfence und Onionmail) und seit kurzem auch TOX-IDs für sichere Nachrichtenübermittlung.
Sollten Organisationen das Lösegeld bezahlen?
Cybersicherheitsbehörden raten dringend von Lösegeldzahlungen ab, da sie keine Garantie für die Wiederherstellung von Daten bieten und weitere kriminelle Aktivitäten finanzieren können.