Die APT-Gruppe GoldenJackal wurde von Kaspersky entdeckt, sie ist aber wohl seit 2019 aktiv. Wie die Untersuchung zeigt, zielt die Gruppe in erster Linie auf staatliche und diplomatische Einrichtungen ab. Als Infektionsvektor nutzt GoldenJackal die Follina-Schwachstelle aus.
Seit bereits Mitte des Jahres 2020 beobachtet Kaspersky die Aktivitäten des geschickten und moderat unauffälligen Bedrohungsakteurs. Die APT-Gruppe zeichnet sich durch ein spezielles Toolset aus, mit dem sie die Rechner ihrer Opfer kontrolliert, sich mit Hilfe von Wechsellaufwerken über Systeme verbreitet und bestimmte Dateien von dort extrahieren kann. Die Funktionalitäten deuten darauf hin, dass die Hauptmotivation des Akteurs Spionage ist.
Verseuchte Skype-Installationen und Word-Docs
Wie Untersuchungen von Kaspersky ergaben, nutzte der APT-Akteur gefälschte Skype-Installationsprogramme und schädliche Word-Dokumente als initiale Angriffsvektoren. Beim gefälschten Skype-Installationsprogramm handelte es sich um eine ausführbare Datei mit einer Größe von etwa 400 MB. Diese bestand aus einem Dropper mit zwei Ressourcen: den JackalControl-Trojaner und ein legitimes Skype-for-Business-Installationsprogramm. Der erste Einsatz dieses Tools konnte in das Jahr 2020 zurückverfolgt werden.
Als weiterer Infektionsvektor diente ein schädliches Dokument, das als Technik Remote-Template-Injection- nutzt, um eine schädliche HTML-Seite herunterzuladen; dieses wiederum nutzt die Follina-Schwachstelle gezielt aus. Dieses Dokument mit dem Namen „Gallery of Officers Who Have Received National and Foreign Awards.docx“ ähnelt auf den ersten Blick einem legitimen Rundschreiben, in dem Informationen über Offiziere angefordert werden, die von der pakistanischen Regierung ausgezeichnet wurden. Am 29. Mai 2022 wurde die erste Beschreibung der Follina-Schwachstelle veröffentlicht. Zwei Tage darauf, am 1. Juni wurde das Dokument modifiziert und am 2. Juni 2022 erstmals entdeckt.
Follina-Schwachstelle als Gehilfe
Das Dokument wurde so konfiguriert, dass es ein externes Objekt von einer legitimen und kompromittierten Website lädt. Sobald dieses heruntergeladen ist, wird die ausführbare Datei gestartet, die den JackalControl-Trojaner enthält. Dieser ermöglicht es den Angreifern, Zielcomputer über eine Reihe vordefinierter und unterstützter Befehle fernzusteuern. Über die Jahre hinweg haben die Cyberkriminellen verschiedene Varianten dieser Malware verbreitet: Einige enthalten einen Code, der die Malware lokal befällt, andere wurden so konfiguriert, dass sie ausgeführt werden, ohne das System zu infizieren. In der Regel wird der Rechner durch andere Komponenten infiziert, beispielsweise durch ein Batch-Skript.
Haben Sie kurz Zeit?
Nehmen Sie sich ein paar Minuten Zeit für unsere Nutzerumfrage 2023 und helfen Sie B2B-CYBER-SECURITY.de besser zu machen! Sie sollen nur 10 Fragen beantworten und haben sofort eine Chance auf Gewinne von Kaspersky, ESET und Bitdefender. Hier geht es direkt zur UmfrageWeitere Spionage-Tools
Das zweitwichtigste Tool der APT-Gruppe ist JackalSteal. Damit können USB-Wechsellaufwerke, Remote-Freigaben und alle Laufwerke im Zielsystem überwacht werden. Die Malware kann als Standardprozess oder als eigener Dienst ausgeführt werden. Allerdings kann sie nicht dauerhaft aktiv sein, weshalb sie von einer anderen Komponente installiert werden muss.
Darüber hinaus nutzt GoldenJackal eine Reihe zusätzlicher Tools, wie JackalWorm, JackalPerInfo und JackalScreenWatcher. Dieses Toolset wurde in bestimmten, von Kaspersky-Forschern beobachteten Fällen eingesetzt und zielt darauf ab, die Rechner der Opfer zu kontrollieren, ihre Anmeldedaten zu stehlen oder auch Screenshots des Desktops anzufertigen.
Mehr bei Kaspersky.com
Über Kaspersky Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/