Fog Ransomware

Das Arctic Wolf Incident Response Team bezeichnet Fog als Ransomware-Variante und nicht als Gruppe, um zwischen den für die Erstellung der Verschlüsselungssoftware verantwortlichen Entitäten und denjenigen zu unterscheiden, die die Angriffe auf die Opfer über die Tastatur durchführen. Diese Unterscheidung ist wichtig, da Ransomware-Gruppen manchmal den Eindruck erwecken, eine einzige Gruppe zu sein, obwohl sie in Wirklichkeit aus unabhängigen Tochtergruppen bestehen. Derzeit ist die Organisationsstruktur der Gruppe(n), die für die Angriffe mit Fog-Ransomware verantwortlich ist (sind), unbekannt.

In jedem der untersuchten Fälle wiesen forensische Beweise darauf hin, dass die Angreifer in der Lage waren, über kompromittierte VPN-Anmeldedaten auf die Umgebungen der Opfer zuzugreifen. Der Fernzugriff erfolgte über zwei verschiedene VPN-Gateway-Anbieter. Die letzte dokumentierte Bedrohungsaktivität fand am 23. Mai 2024 statt.

In einem Fall wurden zu Beginn Pass-the-Hash-Aktivitäten gegen Administratorkonten beobachtet, die anschließend dazu verwendet wurden, RDP-Verbindungen zu Windows-Servern mit Hyper-V und Veeam herzustellen. In einem anderen Fall wurden Hinweise auf das Ausfüllen von Anmeldeinformationen bemerkt, was vermutlich laterale Bewegungen in der gesamten Umgebung erleichtert. In allen Fällen wurde PsExec auf mehreren Hosts verwendet, und der Zugriff auf die Zielhosts erfolgte über RDP/SMB.

Auf Windows-Servern, mit denen die Bedrohungsakteure interagierten, wurde Windows Defender von den Bedrohungsakteuren deaktiviert. Die Bedrohungsakteure habenVMDK-Dateien im VM-Speicher verschlüsselt und Backups aus dem Objektspeicher von Veeam gelöscht. Die Bedrohungsakteure hinterließen Lösegeldnotizen auf den betroffenen Systemen und verwendeten in allen Fällen eine funktionell identische Ransomware-Nutzlast. Abgesehen von einem eindeutigen Chatcode waren die Erpresserbriefe identisch. Abgesehen von der .onion-Adresse, die für die Kommunikation zwischen dem Opfer und dem Bedrohungsakteur verwendet wurde, wurde keine zusätzliche Präsenz im Dark Web, wie z.B. eine Datenleck-Website, festgestellt.

The Arctic Wolf Incident Response Team refers to Fog as a ransomware variant, rather than a group, to distinguish between the entities responsible for creating the encryption software and those who execute the attacks on victims via the keyboard. This distinction is important because ransomware groups sometimes give the impression of being a single group, when in fact they are made up of independent subgroups. Currently, the organizational structure of the group(s) responsible for the Fog ransomware attacks is unknown.

In each of the cases investigated, forensic evidence indicated that the attackers were able to access the victims‘ environments via compromised VPN credentials. Remote access was gained through two different VPN gateway vendors. The last documented threat activity occurred on May 23, 2024.

In one case, pass-the-hash activity was initially observed against administrator accounts, which were then used to establish RDP connections to Windows servers running Hyper-V and Veeam. In another case, there was evidence of credential stuffing, which is believed to have facilitated lateral movement throughout the environment. In all cases, PsExec was used on multiple hosts and the target hosts were accessed via RDP/SMB.

Windows Defender was disabled by the threat actors on the Windows servers they interacted with. The threat actors encrypted VMDK files in VM memory and deleted backups from Veeam object storage. The threat actors left ransom notes on the affected systems and used a functionally identical ransomware payload in all cases. Aside from a unique chat code, the ransom notes were identical. Apart from the .onion address used for communication between the victim and the threat actor, no additional presence on the dark web, such as a data leak website, was detected.