Im Überblick
Kaspersky-Forscher haben im Herbst zwei zielgerichtete Angriffe auf Einrichtungen identifiziert, die mit der COVID-19-Forschung in Verbindung stehen. Ein Gesundheitsministerium sowie ein Pharmaunternehmen waren davon betroffen. Die Experten von Kaspersky gehen davon aus, dass hinter diesen Angriffen die berüchtigte Lazarus-Gruppe steckt. Während die Entwicklung eines geeigneten Impfstoffes gegen COVID-19 auf Hochtouren läuft, versuchen Cyberkriminelle, daraus für sich Gewinn zu schlagen. Aktuelle Kaspersky-Untersuchungen zeigen nun, dass insbesondere die Lazarus-Gruppe bereits seit einigen Monaten Unternehmen unterschiedlicher Branchen im Visier hat, die sich einer Eindämmung der Corona-Pandemie verschrieben haben. Bislang wurden zwei Angriffe identifiziert.
Im Überblick
Die Sicherheitsforscher von Bitdefender haben eine komplexe und gezielte Angriffskette durch organisierte APT-Hacker genauer unter die Lupe genommen und konnten so einen Ablauf von Cyberspionage detailliert nachzeichnen. Konkret geht es um Attacken auf Regierungsorganisationen in Südostasien, die vermutlich seit 2018 durchgeführt wurden. Die Täter wollten mutmaßlich Informationen bezüglich nationaler Sicherheitsinteressen sowie weitere sensible Daten abzweigen und Industriespionage betreiben. In einem Whitepaper legen die Bitdefender-Spezialisten eine tiefgehende Analyse der eingesetzten Techniken und ihres Zusammenspiels sowie einen zeitlichen Abriss der Angriffskette vor.
Meldungen: Hintergrund
Die Schadsoftware IceRat spioniert die Zugangsdaten von Nutzern für verschiedene Online-Dienste aus und kann bei einer Infektion ungewollt die Stromrechnung von Anwendern in die Höhe treiben – durch verdecktes illegales Coin-Mining. Technisch haben sich die Entwickler einiges ausgedacht, um eine Erkennung des Schadcodes durch Sicherheitslösungen zu verhindern. G Data Virusanalyst Karsten Hahn hat IceRat genauer unter die Lupe genommen. Gelangt das gefährliche Schadprogramm auf den Computer, späht es die Zugangsdaten für verschiedene Online-Dienste, zum Beispiel Facebook oder Amazon aus. Diese Informationen alleine reichen den Kriminellen allerdings nicht aus: Sie installieren zusätzlich einen Coin-Miner, der illegal digitale Währungen schürft. So verdienen die Täter zusätzlich Geld und die Opfer haben es mit einer erhöhten Stromrechnung zu tun.
Der Advanced-Persistent-Threat-(APT)-Akteur DeathStalker bietet jetzt vermutlich Hacking-for-Hire-Dienste an, um vertrauliche Geschäftsinformationen von Unternehmen im Finanz- und Rechtssektor zu stehlen. Die Experten von Kaspersky haben nun neue Aktivitäten des Akteurs ausmachen können und eine neue Malware-Implantations- und Bereitstellungstaktik entdeckt: Die Backdoor PowerPepper nutzt DNS über HTTPS als Kommunikationskanal, um die Kommunikation hinter legitimen Kontrollservernamenabfragen zu verstecken. Darüber hinaus verwendet PowerPepper verschiedene Verschleierungstechniken wie Steganographie.
Im Laufe des Dezember 2020 hat das Cybereason Nocturnus-Team Cybercrime-Kampagnen aufgespürt, die mit der Weihnachtszeit und insbesondere mit Online-Shopping verbunden sind. 2020 ist aus naheliegender Gründen ein Jahr, in dem Verbraucher ihre Einkaufsgewohnheiten geändert haben beziehungsweise ändern mussten und jetzt einen Großteil ihrer Einkäufe online erledigen. Endverbraucher sind schon lange ein beliebtes Ziel für Cyberkriminelle. Das durch die COVID-19-Pandemie stark gestiegene Volumen beim Online-Shopping, macht diese Art der Angriffe potenziell noch attraktiver. Laut der Daten des aktuellen IBM U.S. Retail Index, der im August dieses Jahres veröffentlicht wurde "hat die Pandemie die Verlagerung von physischen Ladengeschäften hin zu digitalen Einkäufen um eine Größenordnung von etwa fünf Jahren beschleunigt" und der "E-Commerce wird im Jahr 2020 voraussichtlich um fast 20 Prozent wachsen."
Guardicore hat eine aktuelle Ransomware-Kampagne aufgespürt, die MySQL-Datenbankserver ins Visier nimmt und mindestens seit Januar 2020 aktiv ist. Die Malwareless-Attacke "PLEASE_READ_ME" verwendet ein vergleichsweise simples Angriffsmuster, um schwache Zugangsdaten von MySQL-Servern mit direkter Internetverbindung auszunutzen. Insgesamt wurden sieben TB Daten aus mehr als 250.000 verschiedenen Datenbanken kompromittiert.Die Ransomware-Kampagne PLEASE_READ_ME verwendet keinen binären Payload – es handelt sich also um eine neuartige Malwareless-Attacke ohne Lateral Movement. Das Forscherteam von Guardicore Labs spricht von automatisierter "Fabrik-Ransomware", mit der sich ungezielte Massenangriffe durchführen lassen. Die Lösegeldforderungen pro Opfer sind zwar geringer, aber die Zahl infizierter Rechner umso höher. Die Erpresser haben mittlerweile 250.000 Datenbanken von 83.000 erfolgreich komprimittierten Unternehmen zum Kauf angeboten.
Kaspersky-Forscher haben einen neuen Banking-Trojaner gefunden, der Nutzer in Deutschland, aber auch weltweit attackiert. Der Remote Access Trojaner (RAT) ,Ghimob' wurde im Zuge der Überwachung einer gegen Windows gerichteten, maliziösen Kampagne durch die Banking-Malware Guildma entdeckt. Dabei haben die Kaspersky-Forscher URLs, die nicht nur eine schädliche .ZIP-Datei für Windows verbreiteten, sondern auch einen Downloader für Ghimob entdeckt. Nach dem Infiltrieren des Bedienungshilfe-Modus kann Ghimob Persistenz erlangen und eine manuelle Deinstallation deaktivieren, Daten erfassen, Bildschirminhalte manipulieren und den Cyberkriminellen die vollständige Remote-Steuerung ermöglichen.Guildma, einer der Bedrohungsakteure hinter der berüchtigten Tétrade-Malware-Familie - für seine skalierbaren, schädlichen Aktivitäten sowohl in Lateinamerika als auch in anderen Teilen der Welt bekannt - arbeitet aktiv an neuen Techniken, entwickelt Malware und hat neue Opfer im Visier.