- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Slingshot und sein ungewöhnlicher Angriffsweg


Hochentwickelte Cyberspionage: Der Spion, der aus dem Router kam
Kaspersky Lab entdeckt mit Slingshot hochentwickelte und seit 2012 aktive Cyberspionage-Malware

- Anzeigen -





Kaspersky Lab warnt vor einer hochentwickelten Form der Cyberspionage, die mindestens seit 2012 im Nahen Osten sowie in Afrika ihr Unwesen treibt. Dabei attackiert und infiziert die Malware ,Slingshot‘ ihre Opfer über kompromittierte Router. Slingshot ist in der Lage, im Kernel-Modus zu laufen und erhält somit vollständige Kontrolle über infizierte Geräte. Laut den Kaspersky-Experten nutzt der Bedrohungsakteur einige einzigartige Techniken. So werden Informationen heimlich und effektiv ausgespäht, indem der entsprechende Netzwerkverkehr in markierten Datenpaketen versteckt und ohne Spuren zu hinterlassen wieder aus dem regulären Datenstrom ausgelesen werden kann.

Die Kaspersky-Experten kamen der Operation Slingshot über den Fund eines verdächtigen Keylogger-Programms auf die Spur. Sie erzeugten eine Signatur zur Verhaltenserkennung, um eine weitere Existenz des Codes zu überprüfen. So konnte ein infizierter Rechner ausgemacht werden, der in einem Systemordner eine verdächtige Datei mit dem Namen "scesrv.dll" aufwies. Die weitere Untersuchung dieser Datei ergab, dass schädlicher Code in dieses Modul eingebettet war. Da die Bibliothek von "services.exe", einem Prozess mit Systemrechten, geladen wird, verfügt auch sie über die entsprechenden Berechtigungen. Das Resultat: Die Experten waren auf einen hochentwickelten Eindringling gestoßen, der seinen Weg in das Innerste des Rechners gefunden hatte.

Die bemerkenswerteste Eigenschaft von Slingshot ist sein ungewöhnlicher Angriffsweg. Die Kaspersky-Experten stellten bei mehreren Opfern fest, dass die Infektion in mehreren Fällen von infizierten Routern ausging. Die hinter Slingshot stehende Gruppe hatte anscheinend die Router mit einer schädlichen Dynamic Link Library (DLL) kompromittiert, die zum Download anderer schädlicher Komponenten diente. Loggt sich ein Administrator zur Konfiguration des Routers ein, lädt dessen Management-Software schädliche Module auf den Administratorrechner und bringt sie dort zur Ausführung. Der ursprüngliche Infektionsweg der Router selbst bleibt bislang allerdings unklar.

Nach der Infektion lädt Slingshot mehrere Module auf die Geräte seiner Opfer. Dazu gehören auch ,Cahnadr‘ und ,GollumApp‘. Die beiden Module sind miteinander verbunden und unterstützen sich gegenseitig bei der Sammlung von Informationen und deren Exfiltration sowie der möglichst langen Überdauerung auf den Rechnern.

Der Hauptzweck von Slingshot scheint Cyberspionage zu sein. Unter anderem werden Screenshots, Tastatureingaben, Netzwerkdaten, Passwörter, USB-Verbindungen, weitere Desktop-Aktivitäten und Clipboard-Daten gesammelt, wobei der Kernel-Zugang den Zugriff auf jede Art von Daten ermöglicht.

Die Advanced Persistent Threat (APT) verfügt über zahlreiche Techniken, um sich einer Erkennung zu widersetzen. Alle Zeichenketten in den Modulen sind verschlüsselt, und die Systemdienste werden direkt aufgerufen, um Sicherheitslösungen keine Anhaltspunkte zu bieten. Hinzu kommen etliche Anti-Debugging-Techniken; auch wird vor der Auswahl eines Prozesses zur Injizierung überprüft, welche Sicherheitslösungen installiert sind.

Slingshot arbeitet wie eine passive Backdoor. Auch wenn die Malware über keine hart codierte Command-and-Control-Adresse verfügt, erhält sie diese vom Operator, indem alle Netzwerkpakete im Kernel-Modus abgefangen werden und das Vorhandensein von zwei hart codierten ‚Magic Constants‘ in der Betreffzeile verfügbar sind. Ist das der Fall, bedeutet das, dass das Paket die C&C-Adresse enthält. Anschließend baut Slingshot einen verschlüsselten Kommunikationskanal zum C&C auf und beginnt mit der Übertragung von Daten zu deren Exfiltration.

Vermutlich besteht die Bedrohung bereits seit geraumer Zeit, denn die Kaspersky-Experten fanden schädliche Samples, die als "Version 6.x" gekennzeichnet waren. Die Entwicklungsdauer des komplexen Slingshot-Toolsets dürfte beträchtlich gewesen sein. Das gilt auch für die dafür benötigten Fähigkeiten und Kosten. Zusammengenommen lassen diese Hinweise hinter Slingshot eine organisierte, professionelle und wohl auch staatlich-gestützte Gruppe vermuten. Hinweise im Text des Codes deuten auf eine englischsprachige Organisation hin. Eine genaue Zuschreibung ist jedoch schwierig bis unmöglich; zumal das Thema Attribution zunehmend selbst manipulations- und fehleranfällig ist.

Geschädigte in Afrika und Asien
Bislang waren laut den Kaspersky-Experten rund 100 Opfer von Slingshot und seinen zugeordneten Modulen betroffen. Die Angriffe fanden vorwiegend in Kenia und im Jemen statt, aber auch in Afghanistan, Libyen, Kongo, Jordanien, Türkei, Irak, Sudan, Somalia und Tansania. Sie richteten sich scheinbar überwiegend gegen Privatpersonen und nicht gegen Organisationen; allerdings zählten auch einige Regierungseinrichtungen zu den Opfern.

"Slingshot stellt eine hochentwickelte Bedrohung mit einem breiten Spektrum an Tools und Techniken dar, wozu auch Module im Kernel-Modus zählen, die bis dato nur bei den komplexesten Angriffen zum Einsatz kamen", erklärt Alexey Shulmin, Lead Malware Analyst bei Kaspersky Lab. "Die Funktionalität ist äußerst präzise und für die Angreifer zugleich profitabel. Das erklärt, warum sich Slingshot mindestens sechs Jahre lang halten konnte."

Die Lösungen von Kaspersky Lab erkennen die Bedrohung zuverlässig und machen sie unschädlich.

Die Experten raten zu folgenden Schutzmaßnahmen:

• >> Nutzer von Mikrotik-Routern sollten so schnell wie möglich das Upgrade auf die aktuelle Software-Version durchführen. Nur so ist der Schutz gegen bekannte Schwachstellen gewährleistet, Zudem sollten keine Downloads mehr vom Router zum Rechner über die Mikrotik Winbox erfolgen.

• >> Unternehmen sollten eine geeignete Sicherheitslösung in Kombination mit Technologien zur Abwehr zielgerichteter Angriffe und Threat Intelligence einsetzen, wie sie etwa die Lösung Kaspersky Threat Management and Defense [2] bietet. Über die Analyse von Anomalien im Netzwerk werden hochentwickelte gezielte Angriffe sichtbar. Cybersicherheitsteams erhalten einen vollständigen Einblick in das Netzwerk und die automatische Vorfallreaktion.

• >> Alle Mitarbeiter der Sicherheitsteams benötigen Zugriff auf aktuelle Threat-Intelligence-Informationen. So bekommen sie Zugang zu hilfreichen Tools und Erfahrungen, die bisher bei der Abwehr gezielter Angriffe gewonnen werden konnten, wie zum Beispiel Kompromittierungsindikatoren (IOC), YARA und kundenspezifisches Advanced Threat Reporting.

• >> Werden frühzeitig Indikatoren für einen zielgerichteten Angriff gefunden, sollte die Inanspruchnahme von Managed Protection Services erwogen werden. Damit lassen sich proaktiv hochentwickelte Bedrohungen erkennen, deren Überlebensdauer reduzieren und zeitnah Maßnahmen zur Vorfallreaktion einleiten.
(Kaspersky Lab: ra)

eingetragen: 11.03.18
Newsletterlauf: 07.05.18

SentinelOne: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Sofacy ist eine sehr aktive Cyberspionagegruppe

    Die Experten von Kaspersky Lab beobachten in jüngster Zeit eine Verlagerung des Operationsgebiets von Sofacy. Der russischsprachige Bedrohungsakteur, der auch unter den Namen APT28 oder Fancy Bear bekannt ist, nimmt neben Zielen im Kontext der NATO jetzt weitere Ziele in Fernost ins Visier - mit starkem Interesse an diplomatischen, militärischen und Verteidigungs-Einrichtungen. Die Kaspersky-Experten beobachten dabei gelegentliche Übereinstimmungen mit den Zielen anderer Bedrohungsakteure, etwa mit der russischsprachigen Turla- und der chinesischsprachigen Danti-Gruppe. Besonders auffällig waren allerdings Sofacy-Backdoor-Programme, die sich auf einem Server befanden, der bereits vom englischsprachigen Bedrohungsakteur Lamberts kompromittiert war. Der Server gehörte zu einem chinesischen Mischkonzern für Rüstung und Luftfahrt.

  • Cryptomining-Kampagne mit Jenkins Server

    Check Point Software Technologies entdeckte riesige Mining-Aktivitäten mit dem XMRig-Miner. Die Verantwortlichen kommen wahrscheinlich aus China und erstellen Einheiten der Kryptowährung Monero. Zudem gibt es Anzeichen davon, dass die Hintermänner in einer großangelegten Aktion versuchen, die Rechenleistung von Jenkins CI-Servern für ihre Zwecke zu missbrauchen. Es wird angenommen, dass bisher Monero im Wert von drei Millionen US-Dollar kreiert wurden. Durch eine bekannte Schwachstelle (CVE-2017-1000353) in der Jenkins Java Deserialization-Implementierung kann sich diese Summe aber noch deutlich erhöhen. Dabei reichen zwei aufeinanderfolgende Anfragen an das CLI-Interface aus, um die Server zu kapern und den Schadcode einzuschleusen.

  • Neue Methoden, um Computer zu infizieren

    Symantec hat eine Untersuchung über die zunehmenden Aktivitäten einer Hackergruppe im Iran veröffentlicht. Die als Chafer bezeichnete Gruppe führt im Nahen Osten und darüber hinaus ambitionierte Angriffe durch. Sie setzt dabei zahlreiche neue Hacking-Tools ein. Chafer ist seit mindestens Juli 2014 aktiv und wurde erstmals von Symantec im Dezember 2015 entdeckt. Damals ging es den Angreifern hauptsächlich darum, Daten zu sammeln und ihre Angriffsziele zu überwachen.

  • Angriffstechnik: "Memcached Reflection"

    Das Security Intelligence Response Team (SIRT) von Akamai berichtet in einem Blogpost über eine neue Distributed-Denial-of-Service- (DDoS-)Angriffswelle, die auf der neuartigen Angriffstechnik "Memcached Reflection" beruht. Sie greift Memcached Server an und missbraucht diese für Attacken auf ausgewählte Ziele. Memcached Server puffern dynamische Web-Applikationen im Hauptspeicher des Servers, um den Zugriff zu beschleunigen und so das Datenbank-Backend zu entlasten. Angriffe in einer Größe wie sie durch "Memcached Reflection" verursacht werden, können nicht ohne weiteres von Rechenzentrumslösungen abgewehrt werden, sondern erfordern die Unterstützung von Upstream ISPs und/oder Cloud-basierten DDoS-Security-Services.

  • Angriffe im Terabit-Bereich

    Netscout Arbor, ein Sicherheitsspezialist für DDoS-Abwehr-Lösungen, bestätigt einen DDoS-Angriff mit 1,7 Terabit pro Sekunde (Tbps) auf ein in den USA ansässiges Unternehmen. Letzte Woche hatte das Unternehmen Akamai den ersten Terabit-Angriff mit 1,3 Terabit pro Sekunde gemessen. Beide DDoS-Angriffe haben die gleichen Techniken verwendet. Hierzu wurden falsch konfigurierte memcached Server in Internet-Data-Center (IDC)-Netzwerken als Reflektoren/Verstärker missbraucht.