- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Bösartiges Update installiert Fallchill-Trojaner


AppleJeus: Die Lazarus-Gruppe zielt auf Kryptowährungsbörsen mittels macOS-Malware
Gemäß der Analyse von Kaspersky Lab konnten die Angreifer in die Infrastruktur der Börse eindringen, als ein ahnungsloser Mitarbeiter eine Drittanwendung einer legitim scheinenden Webseite eines Unternehmens herunterlud, das Software für Kryptowährungshandel entwickelt

- Anzeigen -





Experten von Kaspersky Lab haben mit "AppleJeus" eine neue gefährliche Operation der berüchtigten Lazarus-Gruppe identifiziert. Den Angreifern gelang es, in das Netzwerk einer Kryptowährungsbörse in Asien einzudringen, indem sie Trojaner-Software zum Kryptowährungshandel einsetzten. Das Ziel war der Diebstahl von Kryptowährungen. Neben Windows-basierter Malware identifizierten die Cybersicherheitsexperten zudem eine bisher unbekannte Version für macOS.

Zum ersten Mal konnten Kaspersky-Experten beobachten, dass die Lazarus-Gruppe Malware verbreitet, die es auf macOS-Nutzer abgesehen hat – ein Weckruf für alle, die das Betriebssystem für Kryptowährungsaktivitäten nutzen. Gemäß der Analyse von Kaspersky Lab konnten die Angreifer in die Infrastruktur der Börse eindringen, als ein ahnungsloser Mitarbeiter eine Drittanwendung einer legitim scheinenden Webseite eines Unternehmens herunterlud, das Software für Kryptowährungshandel entwickelt.

Der Code der Anwendung ist zunächst nicht verdächtig, mit Ausnahme einer Komponente: einem Updater. Solche Komponenten werden in legitimer Software eingesetzt, um neue Programm-Versionen herunterzuladen. Im Fall von AppleJeus verhält es sich wie ein Ausspähmodul. Zuerst werden grundlegende Informationen über den Computer gesammelt, auf dem es installiert wurde, dann sendet es diese Informationen zurück an den Command-and-Control-Server. Entscheiden die Angreifer, dass der Computer ein lohnenswertes Ziel ist, wird der Schadcode in Form eines Software-Updates injiziert. Das bösartige Update installiert einen Trojaner namens "Fallchill", ein altbekanntes Tool, das die Lazarus-Gruppe nun wieder im Einsatz hat.

Aufgrund dessen war den Kaspersky-Experten eine erste Attribuierung möglich. Nach der Installation bietet der Fallchill-Trojaner den Angreifern nahezu unbegrenzten Zugriff auf den attackierten Computer, so dass sie wertvolle Finanzinformationen stehlen oder zusätzliche Tools für diesen Zweck einsetzen können.

Die Situation verschärfte sich dadurch, dass die Kriminellen Software sowohl für die Windows- als auch für die macOS-Plattform entwickelt haben. Letztere ist in der Regel weniger anfällig für Cyberbedrohungen als Windows. Die Funktionalität beider Plattformversionen der Malware ist identisch.

Ein weiteres ungewöhnliches Merkmal der AppleJeus-Operation: der Anschein eines Supply-Chain-Angriffs trügt. Der Anbieter der verwendeten Software für Kryptowährungshandel, die den gefährlichen Payload an die Computer der Opfer liefert, verfügt über ein gültiges digitales Zertifikat zur Signierung seiner Software und legitim aussehende Registrierungsdatensätze für die Domain. Allerdings konnten die Experten von Kaspersky Lab – zumindest auf der Grundlage öffentlich verfügbarer Informationen – kein seriöses Unternehmen ermitteln, das sich an der in den Zertifikatsinformationen aufgeführten Adresse befindet.

"Anfang des Jahres 2017 fiel uns bei der Lazarus-Gruppe ein wachsendes Interesse an Kryptowährungsmärkten auf, als ein Lazarus-Mitglied die Monero-Mining-Software auf einem ihrer Server installierte", berichtet Vitaly Kamluk, leitender IT Sicherheitsexperte bei Kaspersky Lab. "Seither hatte es die Gruppe – neben regulären Finanzorganisationen – mehrmals auf Kryptowährungsbörsen abgesehen. Die Tatsache, dass sie Malware entwickelt haben, um neben Windows- auch macOS-Nutzer zu infizieren, und höchstwahrscheinlich ein gefälschtes Software-Unternehmen und -Produkt geschaffen haben, um von Sicherheitslösungen unerkannte Malware zu verbreiten, zeigt, dass sie potenziell große Gewinne bei der gesamten Operation sehen. In naher Zukunft müssen wir deshalb mit mehr derartiger Fälle rechnen. Für macOS-Nutzer ist dieser Fall eine Warnung, insbesondere, wenn sie Macs für Kryptowährungsaktivitäten einsetzen."

Die Lazarus-Gruppe ist für ihre ausgeklügelten Operationen und Verbindungen nach Nordkorea bekannt. Sie ist nicht nur für Cyberspionage und Cyberattacken berüchtigt, sondern auch für finanziell motivierte Angriffe.

Kaspersky Lab empfiehlt Sicherheitsmaßnahmen
Um sich vor komplexen Cyberattacken von Gruppen wie Lazarus zu schützen, rät Kaspersky Lab Sicherheitsexperten zu folgenden Maßnahmen:

• >> Code, der auf Systemen ausgeführt wird, sollte nicht automatisch vertraut werden. Weder eine authentisch aussehende Webseite, noch ein starkes Unternehmensprofil oder digitale Zertifikate sind eine Garantie dafür, dass es keine Hintertüren gibt.

• >> Es sollte eine robuste Sicherheitslösung verwendet werden, die mit Technologie zur Erkennung schädlicher Verhaltensweisen ausgestattet ist, mit denen auch bisher unbekannte Bedrohungen abgefangen werden können.

• >> Das Sicherheitsteam eines Unternehmens sollte qualitativ hochwertige Threat-Intelligence-Reporting-Services nutzen, um frühzeitig auf Informationen über die neuesten Entwicklungen bezüglich Taktiken, Methoden und Verfahren hochentwickelter Bedrohungsakteure zugreifen zu können.

• >> Zudem sollten Multi-Faktor-Authentifizierung und Hardware-Wallets eingesetzt werden, wenn wichtige finanzielle Transaktionen anstehen: vorzugsweise ein eigenständiger, isolierter Computer, der nicht zum Surfen oder zum Lesen von E-Mails verwendet wird.
(Kaspersky Lab: ra)

eingetragen: 10.09.18
Newsletterlauf: 10.10.18

Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Stromausfall durch eine Cyberattacke

    Die Sicherheitsforscher von Eset haben ein neues Malware-Framework enttarnt. Dabei handelt es sich um eine Art Toolsammlung, die aus mehreren Komponenten besteht. Das Framework mit der Bezeichnung GreyEnergy wird höchstwahrscheinlich von der gleichen Gruppe Cyberkrimineller betrieben, die hinter BlackEnergy, Telebots und vermutlich auch NotPeya stecken. Vergangene Woche deckte Eset auf, dass auch die Malware Industroyer auf das Konto von Telebots geht.

  • G Data entdeckt Cybercrime-Hotspot in der Ukraine

    Eine neue Version der GandCrab-Ransomware erregte die Aufmerksamkeit unserer Analysten. Bei genauerem Hinschauen fanden sie Hinweise auf ein ganzes kriminelles Netzwerk in der Ukraine. Bei der Analyse einer neuen Version der GandCrab-Ransomware haben G Data-Sicherheitsforscher ein ganzes Netzwerk krimineller Aktivitäten entdeckt, die aus einem zusammenhängenden IP-Bereich aus der Ukraine heraus betrieben werden. Die vermutlich unter falscher Adresse registrierten IP-Adressen zeigen Hinweise auf illegales Cryptojacking, Phishing-Seiten und Dating-Portale. Zuletzt wurde GandCrab in Version 4 gegen Personalabteilungen eingesetzt. Ransomware wird in Untergrundforen an Kriminelle verkauft oder vermietet. Das ist wohl auch im Falle von GandCrab v5 so. Allerdings will die Person hinter der IP-Adresse sich offenbar nicht auf nur eine kriminelle Aktivität verlassen, um Einnahmen zu generieren.

  • Trojaner-App extrem gefährlich

    Manche Entwickler mobiler Anwendungen meiden die traditionellen App-Stores. Das kommt Cyber-Kriminellen sehr entgegen, wie der neue Trojaner GPlayed beispielhaft zeigt. Diese als App getarnte Malware verwendet ein Symbol, das dem Logo des Google Play Store zum Verwechseln ähnlich sieht. Zudem nutzt sie den Namen "Google Play Marketplace", um sich zu tarnen. Was diese Malware unberechenbar macht, ist die Fähigkeit, sich nach der Bereitstellung zu verändern. Dazu hat der Entwickler die Möglichkeit eingerichtet, aus der Ferne Plugins zu laden, Skripte einzuspeisen und sogar einen neuen ausführbaren .NET-Code zu generieren.

  • Neue Backdoor-Variante

    Der aktuelle BSI Lagebericht verdeutlicht, dass Cyber-Angriffe an der Tagesordnung sind. Immer stärker in den Fokus rücken dabei Infrastrukturanbieter. Bereits im vergangenen Jahr war es Angreifern gelungen, in der Ukraine mit dem Schadprogramm Industroyer und Blackenergy Energieversoger und Kraftwerke anzugreifen. Das Resultat: In Teilen der Ukraine brach die Stromversorgung für mehrere Stunden komplett zusammen. Neueste Eset Analysen zeigen, dass diese Cybercrime-Gruppierung jetzt mit den Online-Kriminellen zusammenarbeitet, die für die Entwicklung von Wannacry und NotPetya verantwortlich waren. Das daraus resultierende Cyber-Attacker Know-how hebt das Gefahrenpotential für KRITIS-Betreiber auf ein vollkommen neues Niveau. Deutschland und andere europäische Staaten könnten nach Einschätzung von Eset zukünftig stärker als bisher in den Fokus von Cyber-Terroristen geraten.

  • Wandlungsfähigkeit & Experimentierfreude

    Es gibt eine neue Entwicklung bei der Verbreitung der Malware ,KopiLuwak' des russischsprachigen Bedrohungsakteurs Turla (auch bekannt als Snake oder Uroburos): Experten von Kaspersky Lab berichten, dass das Schadprogramm einen nahezu identischen Code nutzt, der erst vor einem Monat im Zuge der Zebrocy-Operation, als Teilgruppe von Sofacy (ebenfalls russischsprachig, auch bekannt als Fancy Bear und ATP28), verwendet wurde. Die Kaspersky-Analyse über vier derzeit aktive Turla-Cluster zeigt zudem, dass es bei Sofacy und Turla Überschneidungen der anvisierten Ziele gab: geopolitische Hotspots in Zentralasien sowie sensible Regierungs- und Militäreinheiten. KopiLuwak (benannt nach einer seltenen Kaffeesorte) wurde erstmalig im November 2016 entdeckt und verbreitet Dokumente mit Malware und aktivierten Makros, die neue, schwer analysierbare Javascript-Malware hinterlassen, über die die Angreifer bei den anvisierten Opfern System- und Netzwerkaufklärung betreiben konnten.