Attacke auf deutsche Militär- und Regierungseinrichtungen

Kaspersky_news
Anzeige

Beitrag teilen

Aktuelle Cyber-Spionage-Kampagne: Transparent Tribe zielt auf Militär- und Regierungseinrichtungen weltweit ab. Deutschland ist dabei unter den am stärksten betroffenen Ländern. 

Seit Januar 2019 untersucht Kaspersky eine laufende Kampagne der APT-Gruppe Transparent Tribe, die den Remote Access Trojaner (RAT) Crimson verbreitet. Die Angriffe begannen damit, dass schädliche Microsoft Office-Dokumente mit Hilfe von Spear-Phishing-E-Mails an die Opfer verschickt wurden. Innerhalb eines Jahres konnten die Forscher mehr als 1.000 Ziele in fast 30 Ländern identifizieren. Die Analyse des Trojaners Crimson offenbarte zudem neue, bisher unbekannte Bestandteile, was darauf hindeutet, dass dessen Entwicklungsprozess noch nicht abgeschlossen ist.

Anzeige

Transparent Tribe, auch bekannt als PROJECTM und MYTHIC LEOPARD, ist eine für ihre massiven Spionagekampagnen bekannte Gruppe. Ihre Aktivitäten lassen sich bis ins Jahr 2013 zurückverfolgen; Kaspersky beobachtet die Gruppe seit 2016.

APT-Gruppe Transparent Tribe aktiv seit 2016

Transparent Tribe ist dafür bekannt, über schädliche Dokumente mit einem eingebetteten Makro Geräte zu infizieren. Hierfür verwendet sie die benutzerdefinierte Malware.NET RAT – allgemein als Crimson RAT bekannt. Diese setzt sich aus verschiedenen Komponenten zusammen, die es dem Angreifer ermöglichen, auf infizierten Rechnern mehrere Aktivitäten durchzuführen – von der Verwaltung von Remote-Dateisystemen und der Aufnahme von Screenshots über die Audioüberwachung mit Mikrofongeräten, die Aufzeichnung von Video-Streams durch Webcams bis hin zum Diebstahl von Wechseldatenträger-Informationen.

Anzeige

Entwicklung neuer Programme für Kampagnen

Während die Taktiken und Techniken der Gruppe über die Jahre hinweg gleichgeblieben sind, zeigen Kaspersky-Analysen, dass Transparent Tribe dennoch ständig neue Programme für bestimmte Kampagnen entwickelt hat. Im Rahmen der Untersuchung ihrer Aktivitäten im vergangenen Jahr entdeckten die Experten eine .NET-Datei, die von den Kaspersky-Lösungen als Crimson RAT erkannt wurde. Eine genauere Prüfung hat jedoch gezeigt, dass es sich um etwas anderes handelte – eine neue server-seitige Crimson RAT-Komponente, die von den Angreifern zur Verwaltung infizierter Computer verwendet wird. Sie ist in zwei Versionen erhältlich und wurde in den Jahren 2017, 2018 und 2019 kompiliert. Dies weist darauf hin, dass sich diese Software noch in der Entwicklung befindet und die APT-Gruppe an Möglichkeiten für deren Optimierung arbeitet.

Mit einer aktualisierten Liste der von Transparent Tribe verwendeten Komponenten konnte Kaspersky die Entwicklung der Gruppe nachvollziehen und beobachten, wie sie ihre Aktivitäten intensivierte, massive Infektionskampagnen startete, neue Instrumente entwickelte und ihren Fokus auf Afghanistan verstärkte.

Top-5-Zielländer: Deutschland verstärkt im Visier

Insgesamt haben die Kaspersky-Forscher unter Berücksichtigung aller Komponenten, die zwischen Juni 2019 und Juni 2020 entdeckt wurden, 1.093 Ziele in 27 Ländern identifiziert. Neben Afghanistan, Pakistan, Indien und dem Iran gehört auch Deutschland zu den am stärksten betroffenen Ländern.

„Unsere Ergebnisse deuten darauf hin, dass Transparent Tribe weiterhin ein hohes Maß an Aktivitäten gegen mehrere Ziele betreibt“, kommentiert Giampaolo Dedola, Sicherheitsexperte bei Kaspersky. „Während der vergangenen zwölf Monate haben wir eine sehr breit angelegte Kampagne gegen militärische und diplomatische Ziele beobachtet. Dabei wurde eine weitreichende Infrastruktur zur Unterstützung der Operationen und kontinuierliche Verbesserung des eigenen technologischen Arsenals genutzt. Die Gruppe investiert weiterhin in Crimson, ihr wichtigste RAT, um nachrichtendienstliche Aktivitäten durchzuführen und sensible Ziele auszuspionieren. Wir erwarten in naher Zukunft keine Verlangsamung der Aktivitäten dieser Gruppe und werden diese weiterhin überwachen.“

Ausführliche Informationen über Indicators of Compromise (IoC) im Zusammenhang mit dieser Gruppe, einschließlich Datei-Hashes und C2-Server, sind auf dem Kaspersky Threat Intelligence Portal abrufbar.

Mehr dazu bei SecureList von Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

Spionage gegen Finanzinstitute und Militärs

Die Experten von Kaspersky haben jüngst zielgerichtete Spionage-Kampagne gegen Finanz- und Militärorganisationen entdeckt.  Mithilfe der Kaspersky Threat Attribution Engine konnten ➡ Weiterlesen

DeathStalker attackiert deutsche Nutzer

APT-Akteur DeathStalker attackiert Nutzer in Deutschland und auch der Schweiz. Ziel des Akteurs: Unternehmen im Finanz- und Rechtssektor. Neue Backdoor ➡ Weiterlesen

AV-TEST: neue Testverfahren für ATP-Angriffe

Strategische Angriffe erfordern neue Testverfahren: das ist ein Teil des neuen Testkonzepts, welches AV-Test, das unabhängige Antivirus-Testlabor mit Sitz in ➡ Weiterlesen

APT-Prognosen 2021: veränderte Angriffsstrategien

APT-Prognosen 2021: Experten von Kaspersky erwarten veränderte Angriffsstrategien und neue Schwachstellen. Im Fokus von APT-Akteuren: 5G, Netzwerkanwendungen und mehrstufige Angriffe. Die ➡ Weiterlesen