- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Mit noch komplexeren Methoden


Trotz Festnahme der Anführer: Fin7-Hacking-Gruppe griff über 130 Unternehmen an
Analyse offenbart hochkomplexe Angriffsmethodik – inklusive Gründung eines Fake-Unternehmens

- Anzeigen -





Nach der Verhaftung mehrerer mutmaßlicher Anführer der berüchtigten Fin7– beziehungsweise Carbanak-Cybergang im Jahr 2018 galt die Gruppe als aufgelöst. Die Experten von Kaspersky Lab haben jedoch eine Reihe neuer Angriffe derselben Akteure entdeckt, die GRIFFON-Malware einsetzt. Demnach könnte Fin7 die Anzahl der Gruppen, die unter demselben Schirm operieren, ausgeweitet haben – mit noch komplexeren Methoden. So gründete FIN7 eigens ein Fake-Unternehmen, das offiziell wie ein legitimer Sicherheitsanbieter auf der Suche nach Fachkräften auftrat, die dann beim Diebstahl finanzieller Vermögenswerte helfen sollten.

Es wird angenommen, dass Fin7 seit Mitte 2015 hinter Angriffen auf den US-amerikanischen Einzelhandels-, Restaurant- und Gastgewerbesektor steckt. Die Gruppe arbeitete eng mit der berüchtigten Carbanak-Gang zusammen, mit der sie auch Tools und Methoden teilte.

Während sich Carbanak vor allem auf Banken konzentrierte, hatte Fin7 hauptsächlich Unternehmen im Visier und entwendete vermutlich Millionenbeträge aus den finanziellen Vermögenswerten der Opfer darunter Zugangsdaten für Kartenzahlungen oder Kontoinformationen auf Computern der Finanzabteilungen.; Sobald die Bedrohungsakteure die gewünschten Informationen in ihre Hände bekamen, überwiesen sie Geld auf Offshore-Konten.

Eine Analyse von Kaspersky Lab zeigt nun, dass die Gruppe ihre Aktivitäten – trotz der Festnahme der angeblichen Anführer – fortgesetzt hat. So führte sie im Laufe des Jahres 2018 ausgefeilte Spear-Phishing-Kampagnen durch und verbreitete zielgerichtet über maßgeschneiderte E-Mails Malware an die anvisierten Opfer. In verschiedenen Fällen tauschten die Angreifer über einen Zeitraum von mehreren Wochen Nachrichten mit den Opfern aus, bevor sie die schädlichen Dokumente schließlich im Anhang versendeten. Kaspersky Lab schätzt, dass bis Ende 2018 möglicherweise mehr als 130 Unternehmen auf diese Weise attackiert wurden.

Die Sicherheitsexperten stellten zudem fest, dass auch andere kriminelle Gruppen unter dem Dach von Fin7 operierten. Aufgrund der Verwendung gemeinsamer Infrastruktur sowie derselben Taktiken, Techniken und Verfahren (TTPs) scheint eine Zusammenarbeit von Fin7 mit dem AveMaria-Botnetz und der CobaltGoblin-Gruppe (aka EmpireMonkey), die vermutlich hinter Banküberfällen in Europa und Zentralamerika stecken, wahrscheinlich.

Gemäß der Analyse von Kaspersky Lab hat Fin7 sogar ein falsches Unternehmen gegründet, das sich als legitimer Cybersicherheitsanbieter mit russlandweiten Niederlassungen ausgibt. Die Unternehmens-Website ist auf demselben Server registriert, den Fin7 als Command and Control Center (C&C) verwendet. Ahnungslose freiberufliche Sicherheitsforscher, Programmentwickler und weitere IT-Experten sollten über legitime Online-Job-Seiten rekrutiert werden. Einige, die in den Niederlassungen des Fake-Unternehmens arbeiteten, wussten wohl nicht, dass sie in Cybercrime-Geschäfte verwickelt waren, da sie ihre dortige Anstellung
sogar in ihren Lebensläufen aufführten.

"Moderne Cyberbedrohungen kann man mit dem vielköpfigen schlangenähnlichen Ungeheuer aus der griechischen Mythologie ‚Hydra von Lerna‘ vergleichen: schneidet man einen Kopf ab, entstehen zwei neue Köpfe. Organisationen schützen sich am besten vor solchen Bedrohungsakteuren, indem sie fortschrittlichen, mehrschichtigen IT-Schutz implementieren. Auch sollten Software-Patches sofort nach Veröffentlichung installiert und regelmäßige Sicherheitsanalysen in allen Netzwerken, Systemen und Geräten durchgeführt werden", sagt Yury Namestnikov, Sicherheitsforscher bei Kaspersky Lab. (Kaspersky Lab: ra)

eingetragen: 09.05.19
Newsletterlauf: 13.06.19

Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Schwachstelle in beliebter Datenbank-Format SQLite

    Check Point Research, die Threat Intelligence-Abteilung von Check Point Software Technologies, wies auf der BlackHat Conference auf eine gefährliche Schwachstelle in dem beliebten Datenbank-Format SQLite hin. Es handelt sich um das weltweit am stärksten verbreite Datenbank-System und betrifft daher eine große Gruppe von Nutzern. Aufgrund der niedrigen Systemanforderungen befindet sich SQLite in Browsern wie Google Chrome, Safari und Firefox, aber vor allem in Betriebssystemen, wie Windows 10, Android und den Apple-Systemen, MacOS und iOS. Die Sicherheitsforscher von Check Point demonstrierten die Sicherheitslücke anhand eines Iphones und hoben daher die Bedrohung besonders für iOS hervor. Dort kann nämlich die harmlose App ‚Kontakte' zum Einfallstor werden. Doch das ist nicht der einzige Grund, warum sich die Forscher auf das Iphone konzentrierten.

  • Viren: Digitale Spiegelreflex-Kameras anfällig

    Check Point Research, die Threat Intelligence-Abteilung von Check Point Software Technologies Ltd., einem weltweit führenden Anbieter von Cyber-Sicherheitslösungen, fand heraus, dass einige digitale Spiegelreflex-Kameras über den USB-Anschluss und die WLAN-Verbindung anfällig für Ransomware- und Malware-Angriffe sind. Mit dem Aufkommen von Digitalkameras hatte die International Imaging Industry Association ein standardisiertes Protokoll entwickelt, das als Picture Transfer Protocol (PTP) bekannt ist, um digitale Bilder von der Kamera auf einen Computer zu übertragen. Inzwischen hat sich dieses Protokoll weiterentwickelt und umfasst Dutzende verschiedener Befehle und Funktionen, vom Aufnehmen eines Live-Bildes bis zum Aktualisieren der Firmware des Gerätes.

  • "Norman" versteckt sich vor dem Task-Manager

    Sicherheitsforscher von Varonis Systems haben einen neuen leistungsstarken XMRig-basierten Cryptominer identifiziert, der Monero schürft. Dabei wendet "Norman" verschiedene Techniken an, um unerkannt zu bleiben. So unterbricht er etwa seine Aktivität, wenn ein Benutzer den Task-Manager öffnet. Darüber hinaus wurde bei der ursprünglichen Infektion auch eine interaktive PHP-Shell entdeckt, wobei es für einen direkten Zusammenhang zwar Hinweise, aber keine Belege gibt. Im Rahmen einer Evaluierung der Varonis-Datensicherheitsplattform bei einem mittelständischen Unternehmen wurden innerhalb kürzester Zeit mehrere netzwerkbezogene Warnmeldungen für abnormale Webaktivitäten sowie korrelierte abnormale Dateiaktivitäten ausgelöst. Diese bezogen sich auf Konten, deren Nutzer kürzlich auch instabile Anwendungen und langsame Netzwerkverbindungen gemeldet hatten. Eine weitergehende Untersuchung des Varonis Incident Response Teams ergab, dass nahezu jeder Rechner und Server des Unternehmens von unterschiedlicher Malware betroffen waren, wobei die Infektionen teilweise schon Jahre zurück lagen. Mit den gesammelten Informationen konnten die Schadprogramme sicher entfernt und die Infektion gestoppt werden.

  • Attacke mit fast 21 Tagen Laufzeit

    Im zweiten Quartal 2019 ist die Anzahl der DDoS (Distributed-Denial-of-Service)-Angriffe gegenüber dem gleichen Vorjahreszeitraum um 18 Prozent angestiegen. Auch Attacken auf Anwendungsebene - deren Organisation komplexer ist, so dass sich Schutzmaßnahmen schwieriger gestalten - zeigten ein deutliches Wachstum. Sie stiegen im Vergleich zum zweiten Quartal 2018 um nahezu ein Drittel (32 Prozent). Damit machen DDoS-Angriffe heute fast die Hälfte (46 Prozent) aller Angriffe aus, die durch "Kaspersky DDoS Protection" verhindert werden.Im zweiten Quartal dieses Jahres war die Zahl der DDoS-Angriffe um 44 Prozent geringer als im vorhergehenden Quartal. Im Vergleich zum Vorjahreszeitraum hingegen stieg die Anzahl der Angriffe im zweiten Quartal um 18 Prozent und im Vergleich zum gleichen Referenzzeitraum 2017 um 25 Prozent an.

  • Komplexes Spionage-Tool in neuem Gewand

    Der russischsprachige Bedrohungsakteur ,Turla' hat sein Portfolio an Bedrohungswerkzeugen umfassend modifiziert, wie Kaspersky-Forscher jetzt herausfanden. Die Gruppe erweiterte ihre bekannte JavaScript-KopiLuwak-Malware um einen neuen Dropper namens ,Topinambour', der von den Cybersecurity-Experten in zwei ähnlichen Versionen und in anderen Sprachen identifiziert wurde. Die Malware wird jetzt unter anderem über infizierte Software-Installationspakete zur Umgehung von Internetzensur verbreitet. Die Sicherheitsexperten glauben, dass diese Maßnahmen darauf abzielen, das Erkennungsrisiko ihrer Schadprogramme zu minimieren und die Auswahl idealer Zielopfer zu präzisieren. Topinambour wurde Anfang 2019 bei einer Kompromittierungsaktion gegen Regierungsstellen entdeckt.