Proofpoint: Als Regierungsstellen getarnte Cyberbetrüger verteilen Malware an deutsche Unternehmen und Behörden
Um seine E-Mail-Angriffe effizienter zu gestalten, verwendet dieser neue Akteur Social-Engineering-Methoden
Proofpoint deckt einen neuen Akteur (TA 2101, Threat Actor 2101) auf, der E-Mails an deutsche Unternehmen und Organisationen versendet, um Backdoor-Malware zu verteilen. Dabei tarnten sich die Cyberkriminellen als "Bundeszentralamt für Steuern", eine Behörde, die zwar eher unbekannt ist, aber dennoch existiert. Zum Einsatz kommt Cobalt Strike, ein normalerweise kommerziell lizenziertes Software-Tool, das für Penetrationstests verwendet wird. Es ahmt dabei die Funktionsweise des Backdoor-Frameworks von Metasploit, einem ähnlichen Penetrationstest-Werkzeug, nach.
Dieses Programm ist eigentlich für den Einsatz durch Unternehmen für die Sicherung der eigenen IT gedacht. Jedoch haben verschiedene Akteure, beispielsweise Cobalt Group, APT32 und APT19 dieses Werkzeug bereits zweckentfremdet.
Um seine E-Mail-Angriffe effizienter zu gestalten, verwendet dieser neue Akteur Social-Engineering-Methoden. Außer in Deutschland ist er auch in Italien unter dem Absender "Agenzia Delle Entrate" (italienische Finanzbehörde) und in den Vereinigten Staaten als United States Postal Service (USPS) aktiv. Die Experten von Proofpoint haben die Aktivitäten zwischen dem 16. und 23. Oktober festgestellt, wobei sich die Cyberkriminellen nicht nur nicht auf eine bestimmte Branche konzentrierten, sondern Empfänger in Fertigungsunternehmen, im Gesundheitswesen sowie für Business- und IT-Dienstleistungen gleichermaßen angriffen. (Proofpoint: ra)
eingetragen: 19.12.19
Newsletterlauf: 03.03.20
Proofpoint: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
- Anzeigen -
Meldungen: Hintergrund
Die Experten von Kaspersky haben spezifische Code-Ähnlichkeiten zwischen Sunburst und bekannten Versionen der Kazuar-Backdoor gefunden. Diese Art von Malware ermöglicht einen Fernzugriff auf den Computer eines Opfers. Die neuen Erkenntnisse können IT-Sicherheitsforscher bei ihren Analysen des Angriffs weiterbringen. Mitte Dezember 2020 gaben FireEye, Microsoft und SolarWinds die Entdeckung eines großen, hoch komplexen Supply-Chain-Angriffs bekannt, bei dem die bisher unbekannte Malware ,Sunburst' gegen Kunden von SolarWinds Orion eingesetzt wurde.
Sicherheitsexperten für Threat Intelligence bei Avast identifizieren Malware im Zusammenhang mit einigen der beliebtesten Plattformen, die sich in mindestens 28 Browser-Erweiterungen von Drittanbietern für Google Chrome und Microsoft Edge versteckt. Die Schadsoftware kann den Datenverkehr der Nutzer auf Werbung und Phishing-Seiten umleiten sowie persönliche Daten wie Geburtsdatum, E-Mail-Adressen und Geräteinformationen extrahieren. Laut den Download-Zahlen in den App-Stores könnten weltweit bereits etwa drei Millionen Anwender betroffen sein. Zu den Erweiterungen, die Nutzern helfen, Videos von Plattformen herunterzuladen, gehören Video Downloader for Facebook, Vimeo Video Downloader, Instagram Story Downloader, VK Unblock und andere Browser-Erweiterungen für Google Chrome sowie einige Add-ons für Microsoft Edge. Die Sicherheitsexperten konnten in den Erweiterungen, die auf JavaScript basieren, bösartige Codezeilen identifizieren. Diese ermöglichen den Add-ons, weitere Malware auf den PC eines Benutzers herunterzuladen.
Vor kurzem veröffentlichte Sicherheitsforscher Alex Birsan einen neuen Lieferketten-Angriff. Darin beschreibt er, wie sich "Dependency Confusion" (auch "Namesquatting" genannt) bei der Paketverwaltung missbrauchen lässt, um bösartigen Code auf Produktions- und Entwicklungssystemen auszuführen. Kurz gesagt, die meisten Paketverwaltungen wie pip (Python) und npm (Software) unterscheiden nicht zwischen internen Paketen (die auf internen-Unternehmensservern gehostet werden) und externen Paketen (die auf öffentlichen Servern gehostet werden). Dementsprechend reicht ein einfacher Befehl wie pip "install my-package", um sich ein Paket entweder von einem internen oder öffentlichen Server zu schnappen.
Kaspersky-Forscher haben im Herbst zwei zielgerichtete Angriffe auf Einrichtungen identifiziert, die mit der COVID-19-Forschung in Verbindung stehen. Ein Gesundheitsministerium sowie ein Pharmaunternehmen waren davon betroffen. Die Experten von Kaspersky gehen davon aus, dass hinter diesen Angriffen die berüchtigte Lazarus-Gruppe steckt. Während die Entwicklung eines geeigneten Impfstoffes gegen COVID-19 auf Hochtouren läuft, versuchen Cyberkriminelle, daraus für sich Gewinn zu schlagen. Aktuelle Kaspersky-Untersuchungen zeigen nun, dass insbesondere die Lazarus-Gruppe bereits seit einigen Monaten Unternehmen unterschiedlicher Branchen im Visier hat, die sich einer Eindämmung der Corona-Pandemie verschrieben haben. Bislang wurden zwei Angriffe identifiziert.
Die Sicherheitsforscher von Bitdefender haben eine komplexe und gezielte Angriffskette durch organisierte APT-Hacker genauer unter die Lupe genommen und konnten so einen Ablauf von Cyberspionage detailliert nachzeichnen. Konkret geht es um Attacken auf Regierungsorganisationen in Südostasien, die vermutlich seit 2018 durchgeführt wurden. Die Täter wollten mutmaßlich Informationen bezüglich nationaler Sicherheitsinteressen sowie weitere sensible Daten abzweigen und Industriespionage betreiben. In einem Whitepaper legen die Bitdefender-Spezialisten eine tiefgehende Analyse der eingesetzten Techniken und ihres Zusammenspiels sowie einen zeitlichen Abriss der Angriffskette vor.