Spionage gegen Finanzinstitute und Militärs

Spionage Industrie Unternehmen

Beitrag teilen

Die Experten von Kaspersky haben jüngst zielgerichtete Spionage-Kampagne gegen Finanz- und Militärorganisationen entdeckt. 

Mithilfe der Kaspersky Threat Attribution Engine konnten Kaspersky-Forscher mehr als 300 Samples der Backdoor Bisonal mit einer Kampagne der Cyberspionage-Gruppe CactusPete in Verbindung bringen. Diese jüngste Kampagne der APT-Gruppe konzentriert sich auf militärische und finanzielle Ziele in Osteuropa. Wie die verwendete Backdoor auf die Geräte der Opfer kommt, ist noch unklar.

Anzeige

Bei CactusPete, auch bekannt als Karma Panda oder Tonto Teaь, handelt es sich um eine Cyberspionage-Gruppe, die seit mindestens 2012 aktiv ist. Ihre derzeit eingesetzte Backdoor hat Vertreter des Militär- und Finanzsektors in Osteuropa im Visier, um wahrscheinlich Zugang zu vertraulichen Informationen zu erhalten.

Erste Spionage-Attacken im Februar 2020

Diese jüngsten Aktivitäten der Gruppe wurden von Kaspersky-Forschern erstmals im Februar 2020 bemerkt, als sie eine aktualisierte Version der Bisonal-Backdoor entdeckten. Mithilfe der Kaspersky Threat Attribution Engine – einem Analyse-Tool, um Ähnlichkeiten in Schadcodes von bekannten Bedrohungsakteuren zu finden – konnte die Backdoor mit mehr als 300 weiteren, „in the wild“ gefundenen Samples in Verbindung gebracht werden. Alle Samples wurden zwischen März 2019 und April 2020 entdeckt, etwa 20 Samples pro Monat. Das lässt darauf schließen, dass sich CactusPete schnell entwickelt. So hat die Gruppe auch ihre Fähigkeiten weiter verfeinert und dieses Jahr sich Zugang zu komplexerem Code wie ShadowPad verschafft.

Die Funktionalität des schädlichen Payloads lässt darauf schließen, dass die Gruppe auf der Suche nach hochsensiblen Informationen ist. Nach der Backdoor-Installation auf dem Gerät des Opfers kann die Gruppe über Bisonal verschiedene Programme unbemerkt starten, Prozesse beenden, Dateien hochladen, herunterladen oder löschen und eine Liste der verfügbaren Laufwerke abrufen. Sobald die Angreifer tiefer in das infizierte System vorgedrungen sind, kommt ein Keylogger zum Einsatz, um Anmeldeinformationen zu sammeln und Malware herunterzuladen, die Berechtigungen und somit schrittweise mehr Kontrolle über das System ermöglicht.

CactusPete nutzt Spear-Phishing-Mails

Es ist noch unklar, wie die Backdoor in dieser Kampagne auf das Gerät gelangt. In der Vergangenheit hat CactusPete jedoch überwiegend auf Spear-Phishing-Mails gesetzt, die schädliche Anhänge enthalten, um Geräte zu infizieren.

„CactusPete ist eine interessante APT-Gruppe, weil sie eigentlich nicht so fortgeschritten ist, auch nicht ihre Bisonal-Backdoor,“ sagt Konstantin Zykov, Sicherheitsexperte bei Kaspersky. „Ihr Erfolg beruht nicht auf komplexer Technologie oder ausgeklügelten Verteilungs- und Verschleierungstaktiken, sondern auf erfolgreichem Social-Engineering. Sie schaffen es, hochrangige Ziele zu infizieren, indem ihre Opfer schädliche Anhänge in Phishing-Mails öffnen. Dies ist ein gutes Beispiel dafür, warum Phishing weiterhin eine so effektive Methode zum Starten von Cyber-Angriffen ist und warum es für Unternehmen so wichtig ist, ihre Mitarbeiter darin zu schulen, wie sie solche E-Mails erkennen und wie sie mittels Threat Intelligence über die neueste Bedrohung auf dem Laufenden bleiben können.“

Kaspersky-Empfehlungen zum Schutz vor APTs

  • Das Security Operations Center (SOC)-Team sollte stets Zugriff auf die neuesten Bedrohungsinformationen haben, um über neue und zukünftige Tools, Techniken und Taktiken, die von Bedrohungsakteuren und Cyberkriminellen verwendet werden, auf dem Laufenden zu bleiben.
  • Unternehmen sollten eine EDR-Lösung wie Kaspersky Endpoint Detection and Response implementieren, um Vorfälle rechtzeitig erkennen, untersuchen und darauf reagieren zu können.
  • Mitarbeiter sollten regelmäßig zum Thema Cybersicherheit geschult werden [6], da viele zielgerichtete Angriffe mit Phishing oder anderen Social-Engineering-Techniken beginnen. Simulierte Phishing-Angriff können dabei helfen, die Mitarbeiter zu testen, zu trainieren und auf das Vorgehen von Cyberkriminellen aufmerksam zu machen.
  • Mit Kaspersky Threat Attribution Engine können schädliche Samples schnell mit bekannten Angriffsakteuren verknüpft werden.

 

Mehr dazu bei SecureList von Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

ROC – Risk Operations Center in der Cloud

Branchenweit ist es das erste seiner Art: Das Risk Operations Center (ROC) mit Enterprise TruRisk Management (ETM). Die Qualys-Lösung ermöglicht ➡ Weiterlesen

Report: Vertrauenswürdige Windows Anwendungen missbraucht

In seinem neuen Active Adversary Report 2024 belegt Sophos den Wolf im Schafspelz: Cyberkriminelle setzten vermehrt auf vertrauenswürdige Windows-Anwendungen für ➡ Weiterlesen

XDR: Schutz von Daten in Atlassian-Cloud-Applikationen

Mit einer neuen XDR-Erweiterung kann Bitdefender nun auch Daten in Atlassian-Cloud-Applikationen schützen. Somit ist das Überwachen, Erkennen und eine Reaktion auf ➡ Weiterlesen

Ausblick 2025: Lösungen für veränderte Angriffsflächen durch KI, IoT & Co

Die Angriffsfläche von Unternehmen wird sich im Jahr 2025 unweigerlich weiter vergrößern. Die datengetriebene Beschleunigung, einschließlich der zunehmenden Integration von ➡ Weiterlesen

Cloud Rewind für Wiederaufbau nach einer Cyberattacke

Eine neue Lösung für Cyber Recovery und zum Rebuild cloudzentrierter IT-Infrastrukturen. Commvault Cloud Rewind mit neuen Funktionen zum Auffinden von ➡ Weiterlesen

Medusa-Ransomware-Gruppe betreibt offenen Opfer-Blog im Web

Auch Cyberkriminelle pflegen neben der direkten Kommunikation mit dem Opfer ihre Außendarstellung. Denn Reputation ist ein wichtiger Erfolgsfaktor für Ransomware-as-a-Service-Unternehmen. Der ➡ Weiterlesen

Lokale Backups: Rückkehr zum sicheren Hafen

Warum Unternehmen lokale Backup-Strategien wiederentdecken: In den letzten Jahren haben sich Unternehmen zunehmend in die Abhängigkeit von Cloud-Lösungen manövriert - ➡ Weiterlesen

Gefährliche Lücken: Studie zu ICS und OT Cybersecurity

Das SANS Institute hat die Ergebnisse seiner Studie 2024 State of ICS/OT Cybersecurity veröffentlicht. Sie zeigt erhebliche Fortschritte bei der ➡ Weiterlesen