Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Angry Birds: Toy Ghouls’ new toys
Die finanziell motivierte Hackergruppe Toy Ghouls (auch bekannt als Bearlyfy, Laboo.boo und Feral Wolf) hat russische Organisationen mit einer neuen, maßgeschneiderten Backdoor namens "bird" angegriffen. Diese Backdoor wird über Windows Remote Management (WinRM) auf kompromittierte Systeme geliefert und kann sich als Windows-Dienst etablieren. Unternehmen sollten ihre Systeme auf ungewöhnliche WinRM-Aktivitäten und die Präsenz der Backdoor-Dateien (z.B. `cplsupport.exe`, `wtass.exe` oder `config.toml` in `%PROGRAMDATA%`) überprüfen und entsprechende Gegenmaßnahmen ergreifen.
SecBoard-Einordnung
Die Gruppe Toy Ghouls setzt eine neue, maßgeschneiderte Backdoor ein, die über WinRM verbreitet wird und Persistenz als Windows-Dienst erreicht. Dies ermöglicht den Angreifern langfristigen Zugriff und die Durchführung weiterer bösartiger Aktivitäten.
Realistisch schlimmster Fall: Im schlimmsten Fall könnte die Backdoor den Angreifern vollständige Kontrolle über kompromittierte Systeme ermöglichen, was zu Datenexfiltration, Systemmanipulation oder der Bereitstellung weiterer Malware führen könnte.
Empfehlung: Überprüfen Sie Systeme auf ungewöhnliche WinRM-Aktivitäten und die Präsenz der Backdoor-Dateien (`cplsupport.exe`, `wtass.exe`, `config.toml` in `%PROGRAMDATA%`). Implementieren Sie robuste Endpoint Detection and Response (EDR) und stellen Sie starke Zugriffskontrollen sicher.
Im erfassten Bestand
- ▸5. erfasste Meldung zu Babuk innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Russische Organisationen sind betroffen.
Prüfen
3- ▸Überprüfen Sie Systemprotokolle auf ungewöhnliche oder nicht autorisierte WinRM-Verbindungen und Befehlsausführungen.
- ▸Suchen Sie auf Endpunkten nach den Dateinamen `cplsupport.exe`, `wtass.exe` oder `config.toml`, insbesondere im Verzeichnis `%PROGRAMDATA%`.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die Liste der installierten Windows-Dienste auf unbekannte oder verdächtige Einträge, die auf die Backdoor hinweisen könnten.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Methode des initialen Zugriffs, bevor WinRM genutzt wird, ist nicht spezifiziert.
- ▸Die spezifischen Kommunikationsprotokolle der Backdoor (außer der Erwähnung von HiveMQ MQTT oder Element messenger im englischen Text, was im deutschen Text nicht explizit genannt wird) sind nicht detailliert beschrieben.
- ▸Die genauen Fähigkeiten der Backdoor über die Etablierung als Dienst hinaus sind nicht vollständig aufgeführt.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Diese Backdoor wird über Windows Remote Management (WinRM) auf kompromittierte Systeme geliefert“
„not specified in the article“
„kann sich als Windows-Dienst etablieren“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.