APT GoldenJackal: Spionage bei diplomatischen Einrichtungen

Kaspersky_news

Beitrag teilen

Die APT-Gruppe GoldenJackal wurde von Kaspersky entdeckt, sie ist aber wohl seit 2019 aktiv. Wie die Untersuchung zeigt, zielt die Gruppe in erster Linie auf staatliche und diplomatische Einrichtungen ab. Als Infektionsvektor nutzt GoldenJackal die Follina-Schwachstelle aus.

Seit bereits Mitte des Jahres 2020 beobachtet Kaspersky die Aktivitäten des geschickten und moderat unauffälligen Bedrohungsakteurs. Die APT-Gruppe zeichnet sich durch ein spezielles Toolset aus, mit dem sie die Rechner ihrer Opfer kontrolliert, sich mit Hilfe von Wechsellaufwerken über Systeme verbreitet und bestimmte Dateien von dort extrahieren kann. Die Funktionalitäten deuten darauf hin, dass die Hauptmotivation des Akteurs Spionage ist.

Anzeige

Verseuchte Skype-Installationen und Word-Docs

Wie Untersuchungen von Kaspersky ergaben, nutzte der APT-Akteur gefälschte Skype-Installationsprogramme und schädliche Word-Dokumente als initiale Angriffsvektoren. Beim gefälschten Skype-Installationsprogramm handelte es sich um eine ausführbare Datei mit einer Größe von etwa 400 MB. Diese bestand aus einem Dropper mit zwei Ressourcen: den JackalControl-Trojaner und ein legitimes Skype-for-Business-Installationsprogramm. Der erste Einsatz dieses Tools konnte in das Jahr 2020 zurückverfolgt werden.

Als weiterer Infektionsvektor diente ein schädliches Dokument, das als Technik Remote-Template-Injection- nutzt, um eine schädliche HTML-Seite herunterzuladen; dieses wiederum nutzt die Follina-Schwachstelle gezielt aus. Dieses Dokument mit dem Namen „Gallery of Officers Who Have Received National and Foreign Awards.docx“ ähnelt auf den ersten Blick einem legitimen Rundschreiben, in dem Informationen über Offiziere angefordert werden, die von der pakistanischen Regierung ausgezeichnet wurden. Am 29. Mai 2022 wurde die erste Beschreibung der Follina-Schwachstelle veröffentlicht. Zwei Tage darauf, am 1. Juni wurde das Dokument modifiziert und am 2. Juni 2022 erstmals entdeckt.

Follina-Schwachstelle als Gehilfe

Das Dokument wurde so konfiguriert, dass es ein externes Objekt von einer legitimen und kompromittierten Website lädt. Sobald dieses heruntergeladen ist, wird die ausführbare Datei gestartet, die den JackalControl-Trojaner enthält. Dieser ermöglicht es den Angreifern, Zielcomputer über eine Reihe vordefinierter und unterstützter Befehle fernzusteuern. Über die Jahre hinweg haben die Cyberkriminellen verschiedene Varianten dieser Malware verbreitet: Einige enthalten einen Code, der die Malware lokal befällt, andere wurden so konfiguriert, dass sie ausgeführt werden, ohne das System zu infizieren. In der Regel wird der Rechner durch andere Komponenten infiziert, beispielsweise durch ein Batch-Skript.

Haben Sie kurz Zeit?

Nehmen Sie sich ein paar Minuten Zeit für unsere Nutzerumfrage 2023 und helfen Sie B2B-CYBER-SECURITY.de besser zu machen!

Sie sollen nur 10 Fragen beantworten und haben sofort eine Chance auf Gewinne von Kaspersky, ESET und Bitdefender.

Hier geht es direkt zur Umfrage
 

Weitere Spionage-Tools

Das zweitwichtigste Tool der APT-Gruppe ist JackalSteal. Damit können USB-Wechsellaufwerke, Remote-Freigaben und alle Laufwerke im Zielsystem überwacht werden. Die Malware kann als Standardprozess oder als eigener Dienst ausgeführt werden. Allerdings kann sie nicht dauerhaft aktiv sein, weshalb sie von einer anderen Komponente installiert werden muss.

Darüber hinaus nutzt GoldenJackal eine Reihe zusätzlicher Tools, wie JackalWorm, JackalPerInfo und JackalScreenWatcher. Dieses Toolset wurde in bestimmten, von Kaspersky-Forschern beobachteten Fällen eingesetzt und zielt darauf ab, die Rechner der Opfer zu kontrollieren, ihre Anmeldedaten zu stehlen oder auch Screenshots des Desktops anzufertigen.

Mehr bei Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

Testergebnisse: Endpoint-Schutz für MacOS

Das Labor des AV-TEST Instituts hat Ende 2024 bekannte Sicherheitslösungen für MacOS untersucht. Die Produkte für Unternehmen und Einzelplatz-Macs wurden ➡ Weiterlesen

Whitepaper: Threat Intelligence verhindert Cyberangriffe

[wpcode id="17192"] Kaspersky-Studie: 66 Prozent der Unternehmen in Deutschland verhindern Cyberangriffe durch Threat Intelligence / Data Feeds In 75 Prozent ➡ Weiterlesen

Verschlüsselung gegen Datenhunger

Die Wirtschaft, Staaten und die KI fordern immer mehr Daten von allem und jedem. Unerheblich welcher Initiator dahinter steckt - ➡ Weiterlesen

Eine Einschätzung zu DeepSeek

Da DeepSeek auf Open-Source aufbaut, kann es sowohl von kriminell motivierten Personen als auch neutralen Enthusiasten sondiert und erforscht werden. ➡ Weiterlesen

Endpoint-Security für Office-PCs mit Windows 10

Noch sind sie massenhaft in Unternehmen zu finden: Office-PCs mit Windows 10. Das AV-TEST Institut hat in seiner Windows-Testreihe nun ➡ Weiterlesen

Microsoft Patchday: Über 1.000 Sicherheitsupdates im Februar 2025  

Vom 6. bis 11. Februar hat Microsoft zum Patchday 1.212 Hinweise und Sicherheitsupdates für seine Services und Systeme bereitgestellt. Darunter ➡ Weiterlesen

Backdoor in Überwachungsmonitor als Schwachstelle eingestuft

Am 30. Januar veröffentlichte die US-amerikanische Cybersicherheitsbehörde CISA eine Warnung zu einer Backdoor in medizinischen Überwachungsmonitoren, die durch eine Benachrichtigung ➡ Weiterlesen

ENISA-Bericht: DoS-und DDoS-Angriffe auf Platz eins

ENISA, die Agentur für Cybersicherheit der EU, hat Cybervorfälle von 2023 bis 2024 analysiert. DDoS-Angriffe gehören mit über 40 Prozent ➡ Weiterlesen