- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Malware über Spear-Phishing-Dokumente


"Olympic Destroyer" ist zurück und zielt auf europäische Einrichtungen zur chemischen und biologischen Gefahrenabwehr ab
Kaspersky-Analyse: Auch Ziele in Deutschland und der Schweiz im Visier

- Anzeigen -





Die Experten von Kaspersky Lab haben herausgefunden, dass die hinter dem Bedrohungsakteur 'Olympic Destroyer' stehende Hacker-Gruppe noch aktiv ist. Olympic Destroyer wurde im Zusammenhang einer Attacke auf die Eröffnungsfeier der Olympischen Winterspiele in Pyeongchang bekannt. Scheinbar visieren die Angreifer nun Organisationen in Deutschland, Frankreich, der Schweiz, den Niederlanden, der Ukraine und Russland an, die mit dem Schutz vor chemischen und biologischen Bedrohungen zu tun haben.

Bei OIympic Destroyer handelt es sich um einen fortschrittlichen Bedrohungsakteur, der Organisationen, Lieferanten und Partner der Olympischen Winterspiele 2018 in Pyeongchang, Südkorea, mit einer Cybersabotage-Operation auf Basis eines schädlichen Netzwerkwurms getroffen hat. Hinsichtlich des Ursprungs der Attacke deuteten damals viele Hinweise in verschiedene Richtungen, was im Februar 2018 zu einigen Verwirrungen innerhalb der Security-Branche führte.

Einige von Kaspersky Lab entdeckte rare und komplexe Anzeichen deuteten darauf hin, dass die Lazarus-Gruppe, ein mit Nordkorea in Verbindung gebrachter Bedrohungsakteur, hinter der Operation steckt. Im März 2018 bestätigte Kaspersky Lab jedoch, dass die Kampagne eine aufwendige und überzeugende False-Flag-Operation beinhaltete, hinter der höchstwahrscheinlich doch nicht die Lazarus-Gruppe steckte.

Die Experten fanden nun heraus, dass Olympic Destroyer wieder aktiv ist, zum Teil das originale Tool-Set verwendet und es auf Zielobjekte in Europa abgesehen hat.

Spear-Phishing mit Bezug auf Schweizer Konferenz zu biochemischen Bedrohungen
Der Bedrohungsakteur verbreitet die Malware über Spear-Phishing-Dokumente, die den bei der Operation gegen die olympischen Winterspiele als Angriffswaffe verwendeten Dokumenten sehr ähnlich sind. Eines der Dokumente, mit denen potentielle Opfer angelockt werden sollen, nimmt auf die ,Spiez Convergence‘ Bezug. Dabei handelt es sich um eine Konferenz zu biochemischen Bedrohungen, die im Herbst 2018 in der Schweiz stattfindet und vom Labor Spiez veranstaltet wird, einer Organisation, die bei den Untersuchungen zum Salisbury-Fall (Skripal-Fall) eine Schlüsselrolle gespielt hat. Ein weiteres Dokument hatte es auf eine Gesundheits- und Veterinär-Einheit in der Ukraine abgesehen. Einige der von Sicherheitsexperten entdeckten Spear-Phishing-Dokumente enthielten Wörter in Russisch und Deutsch.

Die aus den gefährlichen Dokumenten extrahierte finale Nutzlast (Payload) wurde für den generischen Zugriff auf kompromittierte Computer entwickelt. Für die zweite Stufe des Angriffs wurde das Open-Source-basierte und freie Framework ,Powershell Empire‘ verwendet.

Die Angreifer scheinen kompromittierte legitimen Webserver zu nutzen, auf denen sie die Malware hosten und kontrollieren. Diese Server nutzen das beliebte Open-Source-Content-Management-System (CMS) Joomla. Die Experten fanden heraus, dass es sich bei einem der Server, der die gefährliche Payload hostet, um eine Version von Joomla (v1.7.3) handelt, die im November 2011 veröffentlicht wurde. Das deutet darauf hin, dass die Hacker eine längst veraltete Version des CMS-Systems für das Hacken der Server ausgenutzt haben.

Auf Basis der Telemetrie von Kaspersky Lab sowie Daten, die bei verschiedenen Viren-Scanner-Services hochgeladen wurden, scheint sich die Olympic-Destroyer-Kampagne für Einheiten in Deutschland, Frankreich, der Schweiz, die Niederlande, der Ukraine und Russland zu interessieren.

"Als Anfang des Jahres Olympic Destroyer mit seinen ausgefeilten Täuschungsmanövern auftauchte, wurde offensichtlich, dass sich das Spiel mit der Attribuierung – also der Zuschreibung – von Angriffen für immer verändern wird. Es zeigte sich, wie einfach sich Fehler einschleichen, wenn man nur mit den Fragmenten eines Bildes, die für die Forscher sichtbar sind, arbeitet", sagt Vitaly Kamlyuk, Sicherheitsforscher bei Kaspersky Lab. "Die Analyse und Abschreckung derartiger Bedrohungen sollte auf der Kooperation zwischen dem Privatsektor und den Regierungen sowie über nationale Grenzen hinaus basieren. Wir hoffen, dass mit dem Publizieren unserer Ergebnisse die Sicherheitsbeauftragten und die Sicherheitsforscher zukünftig besser in der Lage sind, einen solchen Angriff in jedem Stadium zu erkennen und zu verhindern."

Bei der vorangegangenen Attacke während der Olympischen Winterspiele begann die Aufklärung einige Monate vor der Epidemie des sich selbst verändernden destruktiven Netzwerkwurms. Es ist sehr gut möglich, dass Olympic Destroyer einen ähnlichen Angriff mit neuer Ausrichtung vorbereitet. Aus diesem Grund rät Kaspersky Lab biologischen und chemischen Bedrohungsforschungseinrichtungen, sich der Gefahr bewusst zu sein und außerplanmäßige Sicherheitsaudits durchzuführen.
(Kaspersky Lab: ra)

eingetragen: 22.06.18
Newsletterlauf: 27.06.18

Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Stromausfall durch eine Cyberattacke

    Die Sicherheitsforscher von Eset haben ein neues Malware-Framework enttarnt. Dabei handelt es sich um eine Art Toolsammlung, die aus mehreren Komponenten besteht. Das Framework mit der Bezeichnung GreyEnergy wird höchstwahrscheinlich von der gleichen Gruppe Cyberkrimineller betrieben, die hinter BlackEnergy, Telebots und vermutlich auch NotPeya stecken. Vergangene Woche deckte Eset auf, dass auch die Malware Industroyer auf das Konto von Telebots geht.

  • G Data entdeckt Cybercrime-Hotspot in der Ukraine

    Eine neue Version der GandCrab-Ransomware erregte die Aufmerksamkeit unserer Analysten. Bei genauerem Hinschauen fanden sie Hinweise auf ein ganzes kriminelles Netzwerk in der Ukraine. Bei der Analyse einer neuen Version der GandCrab-Ransomware haben G Data-Sicherheitsforscher ein ganzes Netzwerk krimineller Aktivitäten entdeckt, die aus einem zusammenhängenden IP-Bereich aus der Ukraine heraus betrieben werden. Die vermutlich unter falscher Adresse registrierten IP-Adressen zeigen Hinweise auf illegales Cryptojacking, Phishing-Seiten und Dating-Portale. Zuletzt wurde GandCrab in Version 4 gegen Personalabteilungen eingesetzt. Ransomware wird in Untergrundforen an Kriminelle verkauft oder vermietet. Das ist wohl auch im Falle von GandCrab v5 so. Allerdings will die Person hinter der IP-Adresse sich offenbar nicht auf nur eine kriminelle Aktivität verlassen, um Einnahmen zu generieren.

  • Trojaner-App extrem gefährlich

    Manche Entwickler mobiler Anwendungen meiden die traditionellen App-Stores. Das kommt Cyber-Kriminellen sehr entgegen, wie der neue Trojaner GPlayed beispielhaft zeigt. Diese als App getarnte Malware verwendet ein Symbol, das dem Logo des Google Play Store zum Verwechseln ähnlich sieht. Zudem nutzt sie den Namen "Google Play Marketplace", um sich zu tarnen. Was diese Malware unberechenbar macht, ist die Fähigkeit, sich nach der Bereitstellung zu verändern. Dazu hat der Entwickler die Möglichkeit eingerichtet, aus der Ferne Plugins zu laden, Skripte einzuspeisen und sogar einen neuen ausführbaren .NET-Code zu generieren.

  • Neue Backdoor-Variante

    Der aktuelle BSI Lagebericht verdeutlicht, dass Cyber-Angriffe an der Tagesordnung sind. Immer stärker in den Fokus rücken dabei Infrastrukturanbieter. Bereits im vergangenen Jahr war es Angreifern gelungen, in der Ukraine mit dem Schadprogramm Industroyer und Blackenergy Energieversoger und Kraftwerke anzugreifen. Das Resultat: In Teilen der Ukraine brach die Stromversorgung für mehrere Stunden komplett zusammen. Neueste Eset Analysen zeigen, dass diese Cybercrime-Gruppierung jetzt mit den Online-Kriminellen zusammenarbeitet, die für die Entwicklung von Wannacry und NotPetya verantwortlich waren. Das daraus resultierende Cyber-Attacker Know-how hebt das Gefahrenpotential für KRITIS-Betreiber auf ein vollkommen neues Niveau. Deutschland und andere europäische Staaten könnten nach Einschätzung von Eset zukünftig stärker als bisher in den Fokus von Cyber-Terroristen geraten.

  • Wandlungsfähigkeit & Experimentierfreude

    Es gibt eine neue Entwicklung bei der Verbreitung der Malware ,KopiLuwak' des russischsprachigen Bedrohungsakteurs Turla (auch bekannt als Snake oder Uroburos): Experten von Kaspersky Lab berichten, dass das Schadprogramm einen nahezu identischen Code nutzt, der erst vor einem Monat im Zuge der Zebrocy-Operation, als Teilgruppe von Sofacy (ebenfalls russischsprachig, auch bekannt als Fancy Bear und ATP28), verwendet wurde. Die Kaspersky-Analyse über vier derzeit aktive Turla-Cluster zeigt zudem, dass es bei Sofacy und Turla Überschneidungen der anvisierten Ziele gab: geopolitische Hotspots in Zentralasien sowie sensible Regierungs- und Militäreinheiten. KopiLuwak (benannt nach einer seltenen Kaffeesorte) wurde erstmalig im November 2016 entdeckt und verbreitet Dokumente mit Malware und aktivierten Makros, die neue, schwer analysierbare Javascript-Malware hinterlassen, über die die Angreifer bei den anvisierten Opfern System- und Netzwerkaufklärung betreiben konnten.