Cybersecurity-Bedrohungshinweis: Updates zu Angriffen auf die 3CX-Lieferkette

Hinweis: Dieser Artikel wurde ursprünglich auf SmarterMSP veröffentlicht.

Dies ist eine Fortsetzung des Bedrohungshinweises zum 3CX-Lieferkettenangriff. In der 3CX VoIP Desktop-Anwendung wurde eine Malware gefunden, die den Benutzern über legitime 3CX-Updates bereitgestellt wurde. 3CX hat inzwischen Sicherheitsupdates veröffentlicht. Nachfolgend finden Sie Indikatoren für eine Kompromittierung (IoC) und Empfehlungen, um die Auswirkungen des Angriffs auf die 3CX-Lieferkette zu begrenzen.

Betroffene Versionen

Am 28. März 2023 veröffentlichte 3CX eine Sicherheitsempfehlung, die besagt, dass ihre Electron Windows App, die in Update 7, Versionsnummern 18.12.407 und 18.12.416, bereitgestellt wurde, ein Sicherheitsproblem beinhaltete. Endpoint Detection & Response und Antivirus-Anbieter haben die 3CXDesktopApp.exe gemeldet und in vielen Fällen deinstalliert. Zusätzlich betroffen sind die Electron Mac App Versionsnummern 18.11.1213, 18.12.402, 18.12.407 und 18.12.416.

Es wird allen Kunden empfohlen, die Desktop-App zu deinstallieren und stattdessen zum PWA-Client zu wechseln. Die mit der 3CXDesktopApp.exe ausgelieferte Malware kann eine von Kriminellen kontrollierte Infrastruktur anpeilen, in der zweiten Phase Payloads bereitstellen und in einigen wenigen Fällen Aktivitäten über die Tastatur durchführen. Die bisher nach dem Exploit am häufigsten beobachtete Aktivität ist das Erzeugen einer interaktiven Kommando-Shell. 3CX hat seitdem ein Sicherheits-Update für das Problem veröffentlicht und arbeitet mit den Strafverfolgungsbehörden zusammen, um dem Vorfall nachzugehen. Das Barracuda SOC-Team hat spezielle Erkennungen für diesen Sicherheitsvorfall erstellt und wird die Situation weiterhin überwachen.

Indikatoren für eine Kompromittierung

Durch öffentliche Bedrohungsforschung sind wir zu dem Schluss gekommen, dass es folgende Indikatoren für eine Kompromittierung gibt:

Hashes:

• dde03348075512796241389dfea5560c20a3d2a2eac95c894e7bbed5e85a0acc
• aa124a4b4df12b34e74ee7f6c683b2ebec4ce9a8edcf9be345823b4fdcf5d868
• fad482ded2e25ce9e1dd3d3ecc3227af714bdfbbde04347dbc1b21d6a3670405
• 59e1edf4d82fae4978e97512b0331b7eb21dd4b838b850ba46794d9c7a2c0983
• c485674ee63ec8d4e8fde9800788175a8b02d3f9416d0e763360fff7f8eb4e02
• 7986bbaee8940da11ce089383521ab420c443ab7b15ed42aed91fd31ce833896
• 11be1803e2e307b647a8a7e02d128335c448ff741bf06bf52b332e0bbf423b03
• 4e08e4ffc699e0a1de4a5225a0b4920933fbb9cf123cde33e1674fde6d61444f
• 5a017652531eebfcef7011c37a04f11621d89084f8f9507201f071ce359bea3f
• 5407cda7d3a75e7b1e030b1f33337a56f293578ffa8b3ae19c671051ed314290
• fee4f9dabc094df24d83ec1a8c4e4ff573e5d9973caa676f58086c99561382d7
• 5009c7d1590c1f8c05827122172583ddf924c53b55a46826abf66da46725505a
• a64fa9f1c76457ecc58402142a8728ce34ccba378c17318b3340083eeb7acc67
• 87c5d0c93b80acf61d24e7aaf0faae231ab507ca45483ad3d441b5d1acebc43c

Domains:

• akamaicontainer[.]com
• akamaitechcloudservices[.]com
• azuredeploystore[.]com
• azureonlinecloud[.]com
• azureonlinestorage[.]com
• dunamistrd[.]com
• glcloudservice[.]com
• journalide[.]org
• msedgepackageinfo[.]com
• msstorageazure[.]com
• msstorageboxes[.]com
• officeaddons[.]com
• officestoragebox[.]com
• pbxcloudeservices[.]com
• pbxphonenetwork[.]com
• pbxsources[.]com
• qwepoi123098[.]com
• sbmsa[.]wiki
• sourceslabs[.]com
• visualstudiofactory[.]com
• zacharryblogs[.]com

Welche Empfehlungen haben Sie?

Barracuda SOC empfiehlt die folgenden Maßnahmen, um die Auswirkungen dieses Lieferkettenangriffs einzuschränken:

• Deaktivieren oder deinstallieren Sie die 3CXDesktopApp: Wenn Sie die 3CXDesktopApp verwenden, sollten Sie sie deaktivieren oder deinstallieren, bis das Problem behoben ist. Dadurch sind Sie weniger potenziellen Risiken ausgesetzt, die mit der kompromittierten Software verbunden sind.
• Identifizieren und isolieren Sie alle Systeme, die die 3CXDesktopApp bereitgestellt haben. Sicherheitsforscher haben mehrere Indikatoren für eine Kompromittierung (IOCs) veröffentlicht, um Netzwerkverteidigern bei der Erkennung bösartiger Aktivitäten zu helfen.
• Aktualisieren Sie Ihre Sicherheitssoftware: Stellen Sie sicher, dass Ihre Virenschutzsoftware und andere Sicherheitstools auf dem neuesten Stand sind und konfiguriert sind, um bösartige Aktivitäten im Zusammenhang mit der 3CXDesktopApp zu erkennen und zu blockieren.
• Überwachen Sie Ihre Konten und Systeme: Behalten Sie Ihre Konten und Systeme im Auge und achten Sie auf Anzeichen von unbefugtem Zugriff oder verdächtigen Aktivitäten. Wenn Sie etwas Ungewöhnliches bemerken, melden Sie es sofort Ihrer IT-Abteilung oder Ihrem Sicherheitsteam.
• Halten Sie sich auf dem Laufenden: Verfolgen Sie die neuesten Entwicklungen in Bezug auf kompromittierte Lieferketten und den Status der 3CXDesktopApp. Folgen Sie den offiziellen Kommunikationskanälen des Anbieters, um Updates und Anleitungen zum weiteren Vorgehen zu erhalten.
• Verwenden Sie die Herstellerdokumentation: Bitte stellen Sie sicher, dass Sie alle verfügbaren Sicherheitspatches anwenden. Informationen darüber, wie Sie das tun können, erhalten Sie hier: https://www.3cx.com/blog/news/desktopapp-security-alert-updates/
• Ziehen Sie alternative Lösungen in Betracht: Während die 3CXDesktopApp gefährdet ist, sollten Sie alternative Lösungen in Betracht ziehen, die ähnliche Funktionen ohne die damit verbundenen Risiken bieten können. Ihre IT-Abteilung oder Ihr Sicherheitsteam kann möglicherweise alternative Software empfehlen, die sicherer ist.

Referenzen

Ausführlichere Informationen zu den Empfehlungen finden Sie unter den folgenden Links:

• https://www.3cx.com/community/threads/3cx-desktopapp-security-alert-mandiant-appointed-to-investigate.119973/
• https://www.3cx.com/blog/news/desktopapp-security-alert-updates/
• https://www.3cx.com/blog/news/desktopapp-security-alert/

Hinweis: Dieser Artikel wurde ursprünglich auf SmarterMSP veröffentlicht.