Dank SentinelOne gegen die 3CXDesktopAPP-Attacke geschützt
Quickfacts
- 3CX hat laut eigenen Informationen 600.000 Kundenunternehmen mit täglich mehr als 12 Millionen Nutzern
- Die DesktopApp ist unter Windows, macOS und Linux verfügbar
- Bisher bekannte Angriffe finden unter Windows DesktopAPP und macOS statt
- Der Angriff wird gestartet, sobald das MSI-Installationsprogramm von der offiziellen 3CX-Webseite heruntergeladen wird oder ein Update auf einer bereits installierten 3CX-Installation durchgeführt wird
- Es handelt sich dabei um eine mehrstufige Angriffskette,
- SentinelOne hatte bereits am Dienstag, 28.3. Massnahmen ergriffen und bereitgestellt, um betroffene Endpoints zu schützen und das Problem einzudämmen
Aktuell laufende Kampagne
Bereits am Dienstag hat SentinelOne, dank automatisierter Detect und Response-Massnahmen, damit begonnen, den 3CX-Client in Quarantäne zu setzen und zu blockieren. Zu diesem Zeitpunkt für einige Administratoren noch als false-positiv-Massnahme, wie sich spätestens seit Donnerstagmorgen herausstellt, berechtigt und wichtige Massnahme.
Bei der immer noch laufenden Analyse stellte sich heraus, dass es sich dabei um eine mehrstufige Angriffskette handelt.
Der Angriff wird mit der 3CXDesktop-APP gestartet, welche als Shellcode-Loader dient und DLL-Dateien herunterlädt. Diese laden wiederrum Symboldateien herunter, welche decodiert dann eine nächste Stufe des Angriffs einläuten. Diese sideloaded-Dateien implementieren sogenannte Infostealer-Funktionalitäten, mit denen schlussendlich Systeminformationen gesammelt werde, sowie Daten und Anmeldeinformationen von Chrome-, Edge-, Brave- sowie Firefox-Benutzerprofilen geklaut werden können.
Anschliessend sollen die gesammelten Informationen etc. an eine der folgenden, von den Angreifern kontrollierten Domänen gesendet werden:
| URL | github[.]com/IconStorages/images |
| cliego.garcia@proton [.]me | |
| philip.je@proton [.]me | |
| SHA-1 | cad1120d91b812acafef7175f949dd1b09c6c21a |
| SHA-1 | bf939c9c261d27ee7bb92325cc588624fca75429 |
| SHA-1 | 20d554a80d759c50d6537dd7097fed84dd258b3e |
| URI | https://www.3cx[.]com/blog/event-trainings/ |
| URI | https://akamaitechcloudservices[.]com/v2/storage |
| URI | https://azureonlinestorage[.]com/azure/storage |
| URI | https://msedgepackageinfo[.]com/microsoft-edge |
| URI | https://glcloudservice[.]com/v1/console |
| URI | https://pbxsources[.]com/exchange |
| URI | https://msstorageazure[.]com/window |
| URI | https://officestoragebox[.]com/api/session |
| URI | https://visualstudiofactory[.]com/workload |
| URI | https://azuredeploystore[.]com/cloud/services |
| URI | https://msstorageboxes[.]com/office |
| URI | https://officeaddons[.]com/technologies |
| URI | https://sourceslabs[.]com/downloads |
| URI | https://zacharryblogs[.]com/feed |
| URI | https://pbxcloudeservices[.]com/phonesystem |
| URI | https://pbxphonenetwork[.]com/voip |
| URI | https://msedgeupdate[.]net/Windows |
Inzwischen veröffentlichte 3CX auch ein Statement, in welchem der Hersteller die Empfehlung ausspricht, die Desktop-Applikation zu deinstallieren und die Web-Applikation zu nutzen.
Empfehlung
Für Kunden, welche bereits SentinelOne nutzen und 3CX im Einsatz haben, sind keine weiteren Massnahmen zwingend erforderlich. Entsprechende technische Indikatoren und Massnahmen wurden bereits automatisiert von SentinelOne ergriffen und bereitgestellt.
Security Engineers von Inseya erstellten bereits am Donnerstag in den frühen Morgenstunden sogenannte Star-Rules und verteilten diese, um noch mehr Transparenz und Sicherheit auf den verwalteten SentinelOne Endpoints gewährleisten zu können.
SentinelOne – Ihr Schutzschild gegen Cyberbedrohung!
Sollten Sie ebenfalls 3CX im Einsatz haben, aber nicht wissen ob oder welche Ihrer Systeme davon möglicherweise betroffen sind, helfen wir Ihnen gerne schnell und unkompliziert weiter. Dank einer schnellen Verteilung des SentinelOne Agents, können Sie innerhalb weniger Minuten die ersten Ergebnisse erwarten und Gegenmassnahmen ergreifen.
Weitere Informationen zu SentinelOne finden Sie unter: https://www.inseya.ch/de/produkte/endpoint-security/sentinelone
Quellen
SentinelOne schützt vor SmoothOperator
https://www.3cx.com/community/threads/3cx-desktopapp-security-alert.119951/#post-558907
https://www.3cx.com/blog/news/desktopapp-security-alert/
Tobias ist Head of Engineering and Operations bei Inseya. Seine Wurzeln liegen bei EMM-, MDM-, UEM-Infrastrukturen und Architekturen, sowie dem Client-Engineering. Er verfolgt das Ziel, gemeinsam nachhaltige, sichere Mobility- und Endpoint Security-Lösungen zu etablieren. In seiner Freizeit geht er gerne Fahrradfahren oder Fotografieren, wenn er nicht gerade mit seiner Familie unterwegs ist.