- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Stromausfall durch eine Cyberattacke


Eset enttarnt Malware-Framework GreyEnergy
Nachfolger von BlackEnergy ist auch verwandt mit Industroyer

- Anzeigen -





Eine neue Version der GandCrab-Ransomware erregte die Aufmerksamkeit unserer Analysten. Bei genauerem Hinschauen fanden sie Hinweise auf ein ganzes kriminelles Netzwerk in der Ukraine. Bei der Analyse einer neuen Version der GandCrab-Ransomware haben G Data-Sicherheitsforscher ein ganzes Netzwerk krimineller Aktivitäten entdeckt, die aus einem zusammenhängenden IP-Bereich aus der Ukraine heraus betrieben werden. Die vermutlich unter falscher Adresse registrierten IP-Adressen zeigen Hinweise auf illegales Cryptojacking, Phishing-Seiten und Dating-Portale. Zuletzt wurde GandCrab in Version 4 gegen Personalabteilungen eingesetzt.

Ransomware wird in Untergrundforen an Kriminelle verkauft oder vermietet. Das ist wohl auch im Falle von GandCrab v5 so. Allerdings will die Person hinter der IP-Adresse sich offenbar nicht auf nur eine kriminelle Aktivität verlassen, um Einnahmen zu generieren.

Analyse des Cybercrime-Bauchladens
Das Installationsprogramm für die Malware kommuniziert durchgängig mit der IP-Adresse 92.63.197.48. Aus dem IP-Bereich heraus werden verschiedene Daten abgerufen und Anweisungen an die Malware gesendet. Eine Analyse der benachbarten IP-Adressen zeigt allerdings, dass hier neben der Ransomware noch zahlreiche andere Dienste gehostet sind, die allesamt auf den Namen "Fop Horban Vitalii Anatoliyovich" registriert sind. Darunter sind zahlreiche inaktive Dating-Domains, aber auch betrügerische Angebote wie Frim0ney.info.

Unter der Domain wex.ac wurde zudem ein Klon der Bitcoin-Börse wex.nz aufgesetzt. Hier sollen, vermutlich per Phishing, Zugangsdaten erbeutet werden. Im Forum Bitcointalk berichtet ein Nutzer, dass er von der Seite eine Aufforderung bekommen habe zahlreiche persönliche Daten in ein Webformular einzutragen, darunter Kopien seines Personalausweises. Begründet wurde die Neueingabe der persönlichen Daten mit einem angeblich notwendigen Umzug der Plattform auf eine neue Domain. Seriöse Anbieter würden Nutzer allerdings nicht auf solche Weise zur Neueingabe persönlicher Daten auffordern.

Außerdem kann unter der IP-Adresse eine JSON-Datei abgerufen werden, die darauf hindeutet, dass der Inhaber auch auf zahlreichen Computern Cryptojacking betreibt, also illegales und geheimes Mining von Kryptowährungen. Cryptojacking wurde von den G Data SecurityLabs im ersten Halbjahr 2018 als eine der größten und aufsteigenden Gefahren identifiziert. Unklar ist, ob der GandCrab-Installer selbst in einigen Fällen auch Kryptomining-Malware herunterlädt. Alternativ können die Miner auch im Hintergrund anderer Webseiten laufen. Die Datei zeigt aktuell bis zu 4000 infizierte Systeme an.

Ethereum-Scam
In der IP-Range findet sich ein weiterer betrügerischer Dienst. Der Hype um Kryptowährungen seit 2017 hat dazu geführt, dass Kriminelle sich in Kryptowährungs-Scams versuchen. Dabei wird Nutzern suggeriert, dass sie Einheiten von Währungen wie Monero, Bitcoin oder Ethereum an eine Wallet überweisen sollen und dafür als Belohnung eine deutlich größere Menge an Kryptowährungen zurückbekommen. Ein solcher Scam findet sich unter der IP-Adresse 92.63.197.127. Nutzer sollen für Überweisungen zwischen 0,5 und 20 Ether (ETH) eine Belohnung in Höhe von 5-200 ETH bekommen.

Andere Unterseiten in der IP-Range versuchen sich eher im klassischen Scammer-Business. So werden auf Foren zahlreiche Backlinks generiert, um das Google-Ranking verschiedener Angebote zu verbessern. Weitere Domains in dem Umfeld erhalten einer Untersuchung mit dem Trafficanalyse-Tool Similarwerb zufolge einen großen Teil ihrer Zugriffe vor allem über Verlinkungen in E-Mails. Es ist daher anzunehmen, dass sie als Landingpages für Spam-Aussendungen dienen.

Der Fall zeigt exemplarisch, dass Cyberkriminelle sich zunehmend nicht nur auf eine einzige Malware oder Vorgehensweise spezialisieren, sondern einen ganzen Bauchladen an verschiedenen Angriffen und Betrugsmethoden aufbauen. Mit proaktiven Next-Gen Technologien von G Data können Nutzer auch gegen solche Bedrohungen abgesichert werden. (G Data Software: ra)

eingetragen: 25.10.18
Newsletterlauf: 14.11.18

Eset: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Warnung vor vor RTM-Banking-Trojanern

    Experten von Kaspersky Lab warnen vor dem "RTM-Banking-Trojaner": Der Schädling hat es speziell auf die Finanzressourcen kleiner und mittelständischer Unternehmen abgesehen und im Jahr 2018 insgesamt über 130.000 Nutzer angegriffen - ein immenser Anstieg, wenn man bedenkt, dass im Jahr 2017 lediglich 2.376 Opfer attackiert wurden. Das Tempo der Attacken scheint sich 2019 fortzusetzen. Bereits mehr als 30.000 Nutzer wurden bisher im Jahresverlauf attackiert. Damit zählt RTM zu den derzeit aktivsten Bank-Trojanern in der IT-Bedrohungslandschaft. Auch wenn die meisten Angriffsziele bisher in Russland lagen, ist weltweit gerade für Mitarbeiter mit Zugang zu firmeninternen Bankkonten und Finanzressourcen höchste Cybervorsicht geboten.

  • Trend zu gezielter Ransomware hält an

    Sophos hat in einem umfangreichen Forschungsprojekt die Ransomware-Familie "Matrix" unter die Lupe genommen. Die Malware ist seit 2016 im Umlauf und Sophos hat 96 Proben intensiv verfolgt. Wie frühere gezielte Ransomware, darunter BitPaymer, Dharma und SamSam, brechen die Matrix-Angreifer in Unternehmensnetzwerke ein und infizieren Computer über das Remote Desktop Protocol (RDP), ein integriertes Remote Access Tool für Windows-Computer. Der Unterschied zu anderen Ransomware-Varianten: Matrix zielt "nur" auf einen einzelnen Computer im Netzwerk ab, anstatt sich unternehmensweit zu verbreiten.

  • Aktualisierte Remexi-Backdoor gefunden

    Die Experten von Kaspersky Lab haben mehrere Kompromittierungsversuche gegen ausländische diplomatische Einrichtungen im Iran mittels einer selbst entwickelten Spyware identifiziert. Bei den Angriffen kamen wohl eine aktualisierte Version des Remexi-Backdoor-Programms sowie verschiedene legitime Tools zum Einsatz. Hinter der Remexi-Backdoor wird eine verdächtige Farsi sprechende Cyberspionagegruppe namens ,Chafer' vermutet, die zuvor mit digitalen Observationen von Einzelpersonen im Nahen Osten in Verbindung gebracht wurde. Der Fokus auf Botschaften könnte eine Neuorientierung der Gruppe sein.

  • Emotet: Allzweckwaffe des Cybercrime

    Die Emotet-Schadsoftware wird derzeit über gefälschte Amazon-Versandbestätigungen verteilt. G Data erklärt, was hinter der Malware steckt und warum sie so gefährlich ist. Emotet ist eine der langlebigsten und professionellsten Cybercrime-Kampagnen der vergangenen Jahre. Erstmals im Jahr 2014 als Banking-Trojaner entdeckt hat die Malware sich über die Jahre zu einer umfassenden Lösung für das Cybercrime entwickelt. Die Schadsoftware nimmt dabei in der Regel nur die Funktion des Türöffners ein, der dann weiteren Schadcode auf dem Rechner installiert. Aktuell wird Emotet über sehr gut gefälschte Amazon-E-Mails verteilt, die Nutzer zum Herunterladen eines Word-Dokuments nötigen wollen. Nach einem Klick auf den angeblichen Tracking-Link öffnet sich das Word-Dokument, das Nutzer auffordert, aktive Inhalte zuzulassen und dann die Infektion des PCs veranlasst.

  • Überwachungs- & Verfolgungsoperationen

    Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.