- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Unklar, wer hinter den Angriffen steckt


Unsichtbare Angriffe: Im Speicher versteckte Malware greift Unternehmen in 40 Ländern an
Finanz- und Telekommunikationsbranche sowie Regierungsorganisationen betroffen - Hauptverdächtige sind die Gruppen GCMAN und Carbanak

- Anzeigen -





Die Experten von Kaspersky Lab haben eine Reihe zielgerichteter und nahezu unsichtbarer Attacken entdeckt, die ausschließlich mittels legitimer Software durchgeführt wurden. Die Angreifer nutzen weitverbreitete Tools für Penetrationstests und Administratoren sowie das PowerShell-Framework zur Aufgabenautomatisierung unter Windows. Es werden keine Malware-Dateien auf der Festplatte hinterlassen, sondern lediglich kurzeitig im Speicher versteckt. Der Ansatz verhindert eine Entdeckung durch Whitelisting-Technologien und hinterlässt Forensikern kaum analysierbare Spuren oder Malware-Muster. Die Angreifer verbleiben nur im System, solange sie Informationen sammeln. Mit dem nächsten Systemneustart sind alle Spuren beseitigt. Die Angreifer sind noch aktiv.

Ende des Jahres 2016 informierten Banken aus der GUS-Region Kaspersky Lab, dass sie eine Penetrationstest-Software, die oft für schadhafte Zwecke eingesetzt wird, unerwartet im Speicher ihrer Server gefunden haben. Anschließend entdeckten die Experten von Kaspersky Lab, dass der Penetrationstest-Code mit einer Reihe legitimer PowerShell-Skripts und anderen Hilfsmitteln verknüpft wurde. Die kombinierten Tools wurden in schafhaften Code umgearbeitet, der sich im Speicher verstecken und so unbemerkt Passwörter von Systemadministratoren sammeln konnte. Die Angreifer erlangten so die Kontrolle über ein System. Ziel war wohl der Zugriff auf Finanzprozesse.

Seither hat Kaspersky Lab eine Vielzahl solcher Attacken entdeckt: mehr als 140 Unternehmensnetzwerke in unterschiedlichen Wirtschaftsbereichen wurden angegriffen, vornehmlich Banken, Telekommunikationsunternehmen und Regierungsorganisationen. Die meisten Opfer stammen aus den USA, Frankreich, Ecuador, Kenia, Großbritannien und Russland. Auch wurden wenige deutsche und österreichische Zielobjekte ausgemacht. Insgesamt wurden Angriffe in 40 Ländern registriert.

Bisher ist unklar, wer hinter den Angriffen steckt. Der Einsatz von Open Source Exploit Code, herkömmlichen Windows-Tools und unbekannten Domains macht es fast unmöglich, die verantwortlichen Hintermänner zu bestimmen – oder herauszufinden, ob es sich um eine einzige Gruppe handelt oder um mehrere, die dieselben Werkzeuge verwenden. Bekannte Gruppen, die einen ähnlichen Ansatz verfolgen, sind GCMAN und Carbanak.

Kaspersky Lab: Einsatz legitimer und Open-Source-basierter Werkzeuge macht Zuweisung annähernd unmöglich
Die Verwendung derartiger Tools macht zudem die Entdeckung von Angriffsdetails schwierig. Für gewöhnlich folgen Experten während einer Vorfallreaktion (Incident Response) Spuren und Mustern, die im Netzwerk vom Angreifer zurückbleiben. Datenspuren können bis zu einem Jahr nach dem Vorfall auf Festplatten verbleiben, hier allerdings sind sie mit dem nächsten Neustart des Computers aus dem Speicher verschwunden. In diesem Fall konnten die Experten jedoch rechtzeitig die Spuren sichern.

"Die Entschlossenheit der Angreifer, ihre Aktivitäten zu verstecken und so die Entdeckung und eine Incident Response extrem zu erschweren, zeigt den neuesten Trend antiforensischer Techniken und speicherbasierter Malware", so Sergey Golovanov, Principal Security Researcher bei Kaspersky Lab. "Speicherforensik wird deshalb für die Analyse von Malware und deren Funktionen besonders wichtig. Bei diesen Attacken nutzten die Angreifer jede denkbare antiforensische Technik und demonstrierten, dass keine Malware-Dateien für das erfolgreiche Herausfiltern von Daten aus einem Netzwerk benötigt werden. Gleichzeitig zeigt sich, dass die Verwendung legitimer und Open-Source-basierter Werkzeuge eine Zuweisung der Attacke fast unmöglich macht."

Die Angreifer sind noch aktiv. Daher sollten IT-Sicherheitsverantwortliche darauf achten, dass ein derartiger Cyberangriff nur im RAM (Random Access Memory), Netzwerk und der Registry entdeckt werden kann. YARA-Regeln, die auf dem Scan schadhafter Dateien basieren, bieten hier keinen Schutz. Die Lösungen von Kaspersky Lab entdecken Angriffe mit den oben genannten Taktiken, Techniken und Verfahren. (Kaspersky Lab: ra)

eingetragen: 10.03.17
Home & Newsletterlauf: 15.03.17


Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Werbeanzeigen lösen Wi-Fi-Verbindungen aus

    Die Sicherheitsforscher von Check Point Software Technologies haben die neue Adware "LightsOut" in Google Play entdeckt. Die Malware wurde in 22 unterschiedlichen Flashlight- und Dienstprogramm-Anwendungen im offiziellen App-Store von Google gefunden. Dabei geht man von einer erreichten Verbreitung von 1,5 Millionen bis 7,5 Millionen Downloads aus. Ziel von LightsOut war die Generierung illegaler Werbeeinnahmen auf Kosten seiner ahnungslosen Opfer.

  • Zielrichtung E-Mail und Social Media

    Der Banking-Trojaner Terdot, der ursprünglich auf Online-Banking und Zahlungsvorgänge abzielte, feiert gerade Comeback als Instrument zum Diebstahl von Daten und Anmeldeinformationen. Ein aktuell veröffentlichtes Whitepaper von Bitdefender zeichnet detailliert nach, wie der Trojaner entstanden ist, wie er sich ausbreitet und tarnt, was er an Fähigkeiten heute besitzt und wie er sich noch entwickeln könnte. Leser erhalten mit der detaillierten technischen Analyse ein Musterbeispiel, wie Cyberkriminelle heute ihre Attacken individualisieren und perfektionieren. Seine Fähigkeiten gehen über den Primärzweck eines Banking-Trojaners weit hinaus: Terdot kann unter anderem durch einen leistungsstarken Man-in-the-Middle-Proxy sensible Daten aus dem gesamten Internetverkehr eines Users filtern und weiterleiten. Zudem ist es ihm möglich, Browser-Informationen wie Login-Daten und Kreditkarteninformationen zu stehlen und HTML-Code in besuchte Webseiten zu injizieren.

  • Selbstschutz und Zerstörung

    Die Experten von Kaspersky Lab haben mit ,Loapi' eine neue, multimodular aufgebaute mobile Malware entdeckt, die nahezu beliebig schädliche Aktionen ausführen kann - von nicht gewünschten Werbeeinblenden über SMS-Betrug bis hin zum Mining von Kryptowährungen und zur Durchführung von DDoS-Attacken (Distributed Denial-of-Service). Durch seine modulare Architektur kann der ungewöhnliche und mächtige Android-Trojaner auf einem kompromittierten Gerät um zahlreiche schädliche Funktionen nachgerüstet werden. Ein weiteres Merkmal unterscheidet ,Loapi' von der Masse üblicher Android-Malware: der Schädling kann ein mobiles Gerät durch eine zu hohe Auslastung physisch zerstören.

  • Riesiges neues Bot-Netz entdeckt

    Sicherheitsforscher haben ein riesiges neues Bot-Netz entdeckt, das auf den Namen Reaper oder auch "Io Troop" getauft wurde. Und das mit gutem Grund, denn es zielt vor allem auf schlecht gesicherte Geräte im Internet der Dinge ab und versucht aus ihnen eine Art Zombie-Armee zu machen. Das Ausmaß ist beachtlich und Forscher sprechen bereits von Größenordnungen, die potenziell das gesamte Internet lahmlegen könnten. Was die Zahlen anbelangt, wurde jüngst veröffentlicht, dass mehr als geschätzte 1 Million Unternehmen weltweit infiziert sind. Io Troop habe das Potenzial noch leistungsstärker zu sein als das bekannte Mirai-Botnet, einer der folgenschwersten Cyberangriffe überhaupt.

  • Hintergrund zum Mokes Backdoor

    Anfang Oktober 2017 wurde im Wall Street Journal ein Artikel mit dem Vorwurf veröffentlicht, dass über Software von Kaspersky Lab als vertraulich eingestufte Daten von einem privaten Rechner eines NSA-Mitarbeiters geladen wurden. Da sich Kaspersky Lab seit 20 Jahren an vorderster Front im Kampf gegen Cyberspionage und Cyberkriminalität sieht, wurden die Vorwürfe innerhalb des Unternehmens sehr ernst behandelt. Kaspersky Lab hat daher eine interne Untersuchung durchgeführt, um Fakten zu sammeln und jegliche Bedenken zu adressieren. Bereits am 25. Oktober 2017 wurden erste, vorläufige Ergebnisse der Untersuchung veröffentlicht - darunter allgemeine Erkenntnisse der unternehmensinternen Suche nach Beweisen für die in den Medien geäußerten Vorwürfe. Der veröffentlichte neue Bericht bestätigt die vorläufigen Ergebnisse und gibt zusätzliche Einblicke der telemetrischen Analyse des Vorfalls durch Kaspersky-Produkte. Demnach lassen sich auf dem betroffenen Rechner verdächtige Aktivitäten feststellen, und zwar im Zeitraum des Vorfalls im Jahr 2014.