- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Aktivitäten der Hackergruppe Callisto


Hackergruppe Callisto sammelte mit Hilfe von für Strafverfolgungsbehörden entwickelter Spyware nachrichtendienstliche Informationen über Außen- und Sicherheitspolitik in Osteuropa
Dass sich Hacker hochwertige Spyware auf Regierungsniveau aneignen konnten, sollte niemanden überraschen

- Anzeigen -





Einem Bericht der F-Secure Labs zufolge hat eine bis dato noch unbekannte Hackergruppe in den letzten Jahren aktiv nachrichtendienstliche Informationen über die Außen- und Sicherheitspolitik in Osteuropa und dem südlichen Kaukasus gesammelt. Der Bericht beschreibt die Callisto Gruppe als hoch motivierte und ressourcenstarke Hacker und ernst zu nehmende Bedrohung, die seit mindestens 2015 Cyberattacken auf Militärpersonal, Regierungsangestellte, Journalisten und Think Tanks durchgeführt hat.

Callisto war laut dem Bericht für eine Reihe von Cyberangriffe in 2015 und 2016 verantwortlich. Und obwohl deren Opfer nicht spezifisch genannt werden, identifiziert der Bericht eine klare Gemeinsamkeit unter den Zielen der Gruppe. Die angegriffenen Personen und Organisationen standen alle in Verbindung zur Außen- und Sicherheitspolitik in Osteuropa und dem südlichen Kaukasus, was Informationsdiebstahl als Motiv der Angriffe nahelegt.

Obwohl F-Secure Labs in Callistos Infrastruktur klare Verbindungen zu Organisationen in Russland, der Ukraine und China feststellte, konnte kein definitives Urteil darüber gefällt werden, wer genau hinter der Gruppe steht. Weiterhin hebt der Bericht hervor, dass es zwar Beweise für eine Verbindung zu einem Nationalstaat gibt, die genaue Art dieser Beziehung aber unklar bleibt.

"Ihre Vorgehensweise erinnert an staatlich-sanktionierte Angreifer, aber gleichzeitig fanden wir auch Beweise, die Callisto mit kriminellen Infrastrukturen in Verbindung brachten", sagt Sean Sullivan Sicherheitsberater bei F-Secure. "Demnach könnten sie eine unabhängige Gruppe sein, die im Auftrag einer Regierung handelt, oder eigenständig mit dem Ziel agiert, die gestohlenen Informationen an Regierungen oder Nachrichtendienste zu verkaufen. Doch das sind nur zwei von vielen möglichen Erklärungen und nach der momentanen Beweislage können wir noch kein endgültiges Urteil fällen."

Neben den Zielen und Motiven der Callisto-Gruppe, erklärt der Bericht auch die Angriffsstrategie, mit der die Hacker ihre Ziele unterwandern. Demzufolge bedient sich Callisto sowohl gezielten Phishing-Angriffen, um Anmeldedaten für E-Mail-Konten zu stehlen, als auch hoch personalisierten und sehr überzeugenden Spear-Phishing-E-Mails, die ihre Ziele mit Malware infizieren sollen. Verschickt wurden diese Spear-Phishing-E-Mails dabei oft von durch vorherige Phishing-Angriffe der Gruppe kompromittierte E-Mail-Konten.

Die auf diesem Weg übertragene Malware ermöglichte es den Angreifern, Informationen zu stehlen und weitere Malware zu installieren. Laut dem Bericht handelt es sich bei dieser Malware um eine Variante des Scout Tools der italienischen Überwachungsfirma HackingTeam. Das Scout-Tool war Teil des von HackingTeam an staatliche Organisationen verkauften Spyware-Toolsets, das in 2015 von Hackern gestohlen und online veröffentlicht wurde.

"Dass sich Hacker hochwertige Spyware auf Regierungsniveau aneignen konnten, sollte niemanden überraschen," sagt Erka Koivunen, Chief Information Security Officer F-Secure, für den Callistos Verwendung der für Strafverfolgungsbehörden entwickelten Spyware deutlich daran erinnert, welche Gefahren von Überwachungstechnologien ausgehen können.

"Überwachungs-Tools wie Scout sind von Grund auf dafür entwickelt worden, es Regierungen zu erlauben, die Privatsphäre ihrer Bevölkerung zu verletzen. In einer funktionierenden Demokratie werden diese Verletzungen von Gesetzen reguliert, und die Leute vertrauen dem Staat, solche Mittel verantwortungsvoll und nur unter strengster Kontrolle zu verwenden. Doch Datenschutzverletzungen und die folgende Verbreitung von professioneller Überwachungstechnologie im Netz eröffnet dieselben invasiven Möglichkeiten auch einer Vielzahl von Bedrohungsakteuren. Regierungen dürfen nicht vergessen, dass wir kein Monopol auf diese Technologien haben, und Söldner, feindliche Staaten und andere Bedrohungsakteure werden nicht zögern, die volle Macht dieser Überwachungstechnologien auch gegen uns einzusetzen."

Der Bericht erinnert, dass die Gruppe immer noch aktiv ist, und es sei ungewiss, wie sie auf ihre Enthüllung reagieren wird. Er beinhaltet außerdem eine Reihe von Indikatoren zur Erkennung existierender Datenschutzverletzungen und Ansätze zur Risikominderung für potenzielle Ziele, die derartige Angriffe durch die Callisto-Gruppe oder ähnliche Bedrohungen befürchten. F-Secure Produkte bedienen sich momentan verhaltensbasierter, allgemeiner und weiterer Erkennungsmethoden, um Nutzer vor den Aktivitäten der Callisto-Gruppe zu schützen. (F-Secure: ra)

eingetragen: 18.04.17
Home & Newsletterlauf: 24.04.17


F-Secure: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Erfolgreiche Methoden in neuem Gewand

    Forscher von Eset haben sich eine aktuelle Malware-Kampagne der asiatischen Hacker-Gruppe OceanLotus genauer angesehen. Diese Gruppe ist auch unter den Namen APT32 oder APT C-00 bekannt und greift vor allem Ziele in Ostasien an. Laut den Forschungsergebnissen nutzen die Cyberkriminellen zwar weitgehend die gleichen bekannten Prozesse wie bei vorherigen Angriffe, aber eine neue Backdoor. Ein White Paper von Eset zeigt die verschiedenen Methoden für drei Ziele auf: Nutzer zur Ausführung der Backdoor verleiten, die Malware-Analyse verzögern und Entdeckung verhindern.

  • Cyberattacke auf unvorsichtige Nutzer

    Barracuda Networks hat eine neue Form einer Cyberattacke auf unvorsichtige Nutzer identifiziert, die von Kriminellen genutzt werden kann, um Ransomware oder andere Malware zu verbreiten. Die Angreifer nutzen eine für die Nutzer unbekannte Dateiendung innerhalb eines Links, um den bereits bekannten Trojaner Quant Loader zu starten, der in der in der Lage ist, Ransomware zu verbreiten und Passwörter abzugreifen. Die Angriffstechnik über Links in E-Mails ist zwar nicht neu, neu bei dieser Variante ist, dass der URL nicht "http://" vorangestellt ist, sondern "file://", was sie mit Samba verknüpft anstatt eines Webbrowsers.

  • Ziel, sensible Daten stehlen

    Die Experten von Kaspersky Lab haben Teile der Infrastruktur der bekannten russischsprachigen APT-Gruppe "Crouching Yeti" - auch bekannt als Energetic Bear - aufgedeckt, darunter kompromittierte Server auf der ganzen Welt. Laut den Cybersicherheitsexperten waren seit dem Jahr 2016 zahlreiche Server in verschiedenen Ländern betroffen, auch um auf andere Ressourcen Zugriff zu erhalten. Weitere Server, einschließlich derjenigen, die russische Websites hosten, wurden für Wasserloch-Attacken genutzt. Kaspersky Lab hat im Vorfeld der Hannover Messe Industrie, die vom 23. bis zum 27. April 2018 stattfindet, bereits für die zweite Jahreshälfte 2017 überwiegend viele Cyberattacken gegen Organisationen aus den Branchen Energie sowie Maschinenbau und ICS-Integration gemeldet.

  • Miner für Kryptowährungen

    Sicherheitsforscher haben erstmals einen Miner für Kryptowährungen entdeckt, der eine "Kill List"-Funktion enthält. Sie stoppt laufende Prozesse anderer Coinminer und versucht so die Rechenleistung zur Transaktionsverarbeitung eines infizierten Computers komplett für sich in Beschlag zu nehmen. Also quasi rivalisierende Miner auszuschalten. Xavier Mertens, Sicherheitsforscher beim ICS Sans, hält diesen Coinminer an sich aber für nichts Ungewöhnliches, sondern für eine der vielen neuen Malware-Varianten, die sich auf das Mining von Kryptowährungen spezialisiert haben und insbesondere seit Beginn dieses Jahres auftauchen. Seit Anfang 2018 hat sich die Cyberkrimininalität ganz offensichtlich von Ransomware verstärkt auf die Verteilung von Coinminern verlagert.

  • Die Schadsoftware ist in Skins enthalten

    Eine 30-Tage-Datenanalyse von Avast ergab, dass nahezu 50.000 Minecraft-Accounts mit Malware infiziert wurden. Die Schadsoftware kann Festplatten neu formatieren und Backups und Systemprogramme löschen. Das verseuchte Powershell-Script, das die Sicherheitsexperten des Avast Threat Labs entdeckt haben, wird mit Hilfe der Minecraft "Skins" in Form von PNG-Dateien verbreitet. Diese Skins sind beliebte Features, um das Aussehen eines Minecraft Avatars zu verändern. Sie können von diversen Online-Quellen auf die Minecraft-Website hochgeladen werden und stehen dann für die Spieler zum Download bereit.