Unter dem Mikroskop: Eset untersucht neue Turla-Malware
Eset-Forscher analysieren neue Version der Carbon Backdoor
Seit geraumer Zeit attackiert die Cyberspionage-Gruppe, die hinter der Turla-Kampagne steckt, immer wieder hochrangige Institutionen in Europa und den USA. Malware-Forscher von Eset haben jetzt eine neue Version der Backdoor Carbon entdeckt, die zur Grundausrüstung der Turla-Gruppe gehört. Die Ergebnisse der Analyse präsentiert Eset in einem ausführlichen Bericht.
Die Turla-Gruppe entwickelt ihre Malware konstant weiter: In den drei Jahren Entwicklungszeit von Carbon konnten Eset-Forscher bis dato acht aktive Versionen identifizieren. Zudem geht die Gruppe bei ihren Angriffen sehr umsichtig vor. Zunächst werden die Systeme potenzieller Opfer ausspioniert, bevor ausgefeilte Tools wie Carbon zum Einsatz kommen.
Die Kompromittierung erfolgt entweder über eine Spear-Phishing-E-Mail oder den Besuch einer zuvor kompromittierten Webseite, welche die Nutzer normalerweise häufiger aufrufen (sogenannte "Watering-Hole-Attacken"). Nach einer erfolgreichen Attacke wird eine First Stage Backdoor wie Tavdig oder Skipper auf dem Computer des Opfers installiert. Sobald die Aufklärungsphase abgeschlossen ist, wird die Second Stage Backdoor Carbon implementiert.
Parallelen zu anderen Turla Tools
"Carbon zeigt einige Parallelen zu einem anderen Tool der Turla-Malware, dem Rootkit Uroburos. Die größte Ähnlichkeit liegt im Kommunikations-Framework. Die Implementierung der Kommunikationsobjekte findet ähnlich statt, die Struktur und die virtuellen Tabellen sehen identisch aus. Einzige Ausnahme: Carbon verfügt über weniger Kommunikationskanäle", so die Analyse.
(Eset: ra)
eingetragen: 14.05.17
Home & Newsletterlauf: 06.06.17
Eset: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
Meldungen: Hintergrund
Cyberkriminelle werden in 2024 verstärkt mit opportunistischer Ransomware und koordinierten Manövern Unternehmen attackieren: Einen Hinweis für die Gültigkeit dieses Trends liefert die in einer aktuellen forensischen Analyse von den Bitdefender Labs untersuchte Attacke auf zwei Unternehmen einer Unternehmensgruppe durch die Ransomware-Bande CACTUS.
Hewlett-Packard (HP) stellt die Ergebnisse ihres neuen, vierteljährlich erscheinenden "HP Wolf Security Threat Insights Report" vor. Dabei zeigte sich, dass Cyber-Kriminelle weiterhin innovative Wege finden, um Endgeräte zu infizieren. Das HP Wolf Security Threat Research-Team deckte eine Reihe interessanter Kampagnen auf, darunter: Die DarkGate-Kampagne nutzt Werbe-Tools, um Angriffe zu verstärken: Bösartige PDF-Anhänge, die sich als OneDrive-Fehlermeldungen ausgeben, leiten Benutzer und gesponserten Inhalten weiter. Diese Seiten werden in einem beliebten Werbenetzwerk gehostet und führen zu DarkGate-Malware. Durch die Nutzung von Anzeigendiensten können Bedrohungsakteure analysieren, welche Köder Klicks generieren, und die meisten Benutzer infizieren. Damit sind sie in der Lage, ihre Kampagnen für eine maximale Wirkung zu verfeinern.
Check Point Software Technologies warnt vor Raspberry Robin. Die Malware wurde erstmals im Jahr 2021 entdeckt und fällt durch eine bemerkenswerte Anpassungsfähigkeit und Raffinesse bei ihren Operationen auf. Schnelle Entwicklung von Exploits: Raspberry Robin macht sich neue 1-day Local Privilege Escalation (LPE)-Exploits zunutze, die vor den Augen der Öffentlichkeit entwickelt wurden.
Sophos X-Ops hat eine neue Variante der Qakbot-Malware entdeckt und analysiert. Erstmals traten diese Fälle Mitte Dezember auf und sie zeigen, dass sich die Qakbot-Malware trotz der erfolgreichen Zerschlagung der Botnet-Infrastruktur durch die Strafverfolgungsbehörden im vergangenen August weiterentwickelt hat. Dabei setzen die Angreifer noch bessere Methoden ein, ihre Spuren zu verwischen.