- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Watering-Hole- & Spear-Phishing-Kampagnen


Cyberspionage: Eset enttarnt neue Turla-Backdoor
Gazer Backdoor ist das neueste Spielzeug der bekannte Spionagegruppe Turla

- Anzeigen -





Die berüchtigte Hackergruppe Turla ist zurück: Eset hat eine neue, verbesserte Backdoor der Cyberkriminellen entdeckt. "Gazer" verbreitet sich seit 2016 und attackiert gezielt europäische Institutionen. Die ausführliche technische Analyse hat Eset auf dem Blog WeLiveSecurity sowie im zugehörigen Whitepaper veröffentlicht.

Typisch Turla
Die Turla Gruppe greift seit vielen Jahren verschiedene europäische Regierungen und Botschaften auf der ganzen Welt an und ist bekannt für ihre zielgerichteten Watering-Hole- und Spear-Phishing-Kampagnen. Eset Forscher konnten die Backdoor Gazer global nachweisen, am häufigsten jedoch auf Computern in Europa.

"Das Vorgehen, die verwendete Technik und die Abläufe sind typisch für Turla", erklärt Jean-Ian Boutin, Senior Malware Researcher bei Eset. "Nach einer erfolgreichen Spear-Phishing-Attacke wird eine First Stage Backdoor wie Skipper auf dem Computer des Opfers installiert. Anschließend wird die Second Stage Backdoor implementiert – in diesem Fall Gazer."

Entdecken, was nicht entdeckt werden will
Wie andere Second Stage Backdoors von Turla, darunter Carbon und Kazuar, erhält Gazer verschlüsselte Aufträge von einem Command-and-Control-Server. Diese können sowohl direkt auf dem infizierten Gerät, als auch auf anderen Maschinen im selben Netzwerk ausgeführt werden.

Die Autoren von Gazer bedienen sich großzügig bei ihrer eigenen, maßgeschneiderten Kryptographie sowie einer eigenen Sammlung an 3DES oder RSA. Die in der Quelle eingebetteten RSA-Schlüssel beinhalten den öffentlichen Schlüssel vom Server der Angreifer sowie einen privaten Schlüssel.

Um die Antiviren-Abwehr zu umgehen und das System weiter anzugreifen, verwendet die Turla Gruppe zudem ein virtuelles Dateisystem in der Windows-Registry.

"Turla gibt sich alle Mühe, vor dem System versteckt zu bleiben", so Boutin. "Dafür ändert die Backdoor Zeichenketten im Code, randomisiert Marker und löscht Dateien unwiederbringlich. Im jüngsten Fall haben die Entwickler von Gazer einfache Zeichenketten geändert und Zeilen aus Videospielen ergänzt, beispielsweise ‚Nur Einzelspieler-Modus erlaubt‘. Die Entdeckung dieser neuen und bisher nicht dokumentierten Backdoor durch unsere Forscher ist ein wichtiger Schritt, um der wachsenden Bedrohung durch Cyberspionage in unserer digitalisierten Welt entgegen zu treten." (Eset: ra)

eingetragen: 10.09.17
Home & Newsletterlauf: 25.09.17


Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Hauptziel: Kreditkarteninformationen

    Der europäische Security-Software-Hersteller Eset hat einen alten Bekannten im Google Play Store entdeckt: Der auf den Namen BankBot getaufte Trojaner fiel den Eset-Forschern das erste Mal Anfang 2017 in die Hände. Jetzt hat er klammheimlich seinen Weg zurück in den Google Play Store gefunden. Getarnt als Spiel "Jewels Star Classic" des Entwicklers "GameDevTony" schlich sich die Banking-Malware in den Android App-Store ein. Wie so oft nutzten die Entwickler der Malware auch hier Namen bekannter Spielereihen wie Jewels Star. Die betrügerische App wurde insgesamt über 5.000 Mal heruntergeladen, bevor sie auf Hinweis von Eset aus dem Google Play Store entfernt wurde.

  • Spear Phishing-Mails an Arbeitnehmer

    FireEye veröffentlichte Details zu einer neuen iranischen Hackergruppe mit potenziell zerstörerischen Fähigkeiten. FireEye bezeichnet die Gruppe mit dem Namen APT33 (APT = Advanced Persistent Threat). Die Analyse von FireEye zeigt, dass APT33 seit mindestens 2013 Cyberspionage betreibt und wahrscheinlich für die iranische Regierung arbeitet. Diese Informationen stammen aus aktuellen Untersuchungen von Mandiant und FireEye iSIGHT Threat Intelligence-Analysen. Folgende Informationen über die Aktivitäten, die Fähigkeiten und mögliche Beweggründe von APT33 wurden dabei aufgedeckt: APT33 nahm branchenübergreifend Organisationen ins Visier, die ihren Hauptsitz in den Vereinigten Staaten, Saudi-Arabien und Südkorea haben. Die Gruppe zeigte besonderes Interesse an Luftfahrtunternehmen, die sowohl im militärischen als auch im zivilen Bereich tätig sind, sowie an Energieversorgungsunternehmen mit Verbindungen zur petrochemischen Produktion.

  • Die Rückkehr der PBot-Malware

    Angriffe auf Webanwendungen und DDoS-Attacken (Distributed Denial of Service) sind wieder auf dem Vormarsch. Das zeigen die neu veröffentlichten Daten im "State of the Internet"-Sicherheitsbericht für das 2. Quartal 2017 von Akamai Technologies, Inc. Konkret konnten die Experten von Akamai das erneute Auftreten der PBot-DDoS-Malware nachweisen. Diese Schadsoftware verursachte die größte DDoS-Attacke im vergangenen 2. Quartal. Im Fall von PBot nutzten Cyberkriminelle einen Jahrzehnte alten PHP-Code, um den größten von Akamai gemessenen DDoS-Angriff des 2. Quartals 2017 zu erzielen. Den Angreifern gelang es dabei, ein kleines DDoS-Botnet zu erstellen, das einen DDoS-Angriff mit 75 Gigabit pro Sekunde (Gbit/s) durchführte. Obwohl das PBot-Botnet mit 400 Nodes relativ klein war, konnte es dennoch eine erhebliche Menge an Angriffs-Traffic generieren.

  • Angriffskampagne mit betrügerischen E-Mails

    Check Point Software Technologies gab die Identität des Kriminellen hinter einer Reihe scheinbar staatlich geförderter Cyber-Angriffe auf über 4.000 Unternehmen im Energie-, Bergbau- und Infrastrukturbereich bekannt. Die Kampagne startete im April 2017 und richtete sich gegen einige der größten internationalen Organisationen in der Öl- und Gasindustrie sowie in der Fertigungs-, Bank- und Baubranche. Das weltweite Ausmaß und die anvisierten Organisationen ließen vermuten, dass eine Expertengruppe oder staatlich geförderte Agentur hinter den Angriffen stehen müsste. Die Kampagne ist jedoch die Arbeit eines einzelnen Nigerianers Mitte Zwanzig, der aus der Nähe der Landeshauptstadt stammt. Sein Facebook-Account ziert das Motto: "Reich werden oder beim Versuch sterben".

  • Verbreitung über Malvertising

    Eset hat einen speziellen Fall von Krypto-Mining entdeckt, welcher das Schürfen von Krypto-Währungen direkt über das JavaScript eines Web-Browsers ermöglicht. Diese CPU-intensive Aufgabe ist in der Regel von der Mehrheit der Werbenetzwerke verboten, weil sie die Nutzererfahrung erheblich beeinträchtigt. Schon seit geraumer Zeit nutzten Cyberkriminelle den Vorteil von Krypto-Währungen, um Profite zu generieren. Allerdings verwenden sie in der Regel Malware oder potenziell unerwünschte Anwendungen, die sie auf den Computern ihrer Opfer installieren. Um mit Krypto-Mining Geld zu verdienen, müssen "Schürfer" ihre Rechnerleistung zur Verfügung stellen. Die Entwickler des nun untersuchten JavaScripts nutzen hierfür allerdings die Rechnerleistung ihrer Opfer.