Berichten zufolge verwenden Bedrohungsakteure ein neues Command-and-Control-Framework (C2) namens Havoc ist Open Source und bietet eine hervorragende webbasierte Verwaltung gefährdeter Geräte.
Dieses neue Tool verfügt nicht nur über alle üblichen Funktionen, sondern gilt aufgrund seiner zusätzlichen Funktionen wie Schlafverschleierung, Spoofing des Absenderadressstapels und indirekte Systemaufrufe auch als bessere Alternative zu den aktuellen Optionen. Zusätzlich kommt es mit einem Dämonenratte standardmäßig, um Hackern die Durchführung weiterer böswilliger Operationen zu ermöglichen.
Ein besseres Post-Exploitation-Tool
Da Antivirensoftware gängige Tools wie Cobalt Strike Beacons problemlos erkennt, greifen Hacker auf neuere Alternativen wie Brute Ratel und Sliver zurück. Da sie jedoch kostenpflichtig sind und von verschiedenen Bedrohungsakteuren ausgiebig getestet wurden, werden auch Sicherheitslösungen aktualisiert, um sie abzufangen.
Daher versammeln sich Bedrohungsakteure nun um ein neues C2-Framework namens „ Chaos – wie Forscher von Zscaler ThreatLabz berichten. Das Team entdeckte eine unbekannte Bedrohungsgruppe, die dieses Post-Exploitation-Kit Anfang Januar bei ihrem Angriff gegen eine nicht genannte Regierungsorganisation einsetzte.
Man sieht, wie sie diesen Shellcode-Loader auf kompromittierten Systemen ablegen und Event Tracing for Windows (ETW) ohne DOS- und NT-Header deaktivieren, wodurch sie der Erkennung durch beide entgehen. Darüber hinaus stellen die Forscher fest, dass dieses Framework manchmal durch ein bösartiges NPM-Paket (Aabquerys) mithilfe der Typosquatting-Technik implementiert wurde.
Allerdings gilt Havoc mittlerweile als viel praktikablere Option für Hacker, da in den letzten Wochen immer mehr Bedrohungsakteure auf dieses Open-Source-C2-Framework umgestiegen sind. Es soll Microsoft Defender auf aktualisierten Windows 11-Geräten mithilfe von Techniken wie Schlafverschleierung, Spoofing des Absenderadressstapels und indirekten Systemaufrufen umgehen.
Darüber hinaus würde es mit einem Remote-Access-Trojaner namens „ Daemon.bin – sowie die Unterstützung der Erstellung anderer bösartiger Agenten in Form von ausführbaren Windows PE-Dateien, PE-DLLs und Shellcodes.
Mit einer Weboberfläche, die alle kompromittierten Geräte anzeigt, ermöglicht dieses neue Framework Bedrohungsakteuren die Durchführung verschiedener Module wie das Ausführen von Befehlen, das Verwalten von Prozessen, das Herunterladen zusätzlicher Payloads, das Manipulieren von Windows-Tokens und das Ausführen von Shellcode.
