DeathStalker attackiert deutsche Nutzer

Kaspersky_news
Anzeige

Beitrag teilen

APT-Akteur DeathStalker attackiert Nutzer in Deutschland und auch der Schweiz. Ziel des Akteurs: Unternehmen im Finanz- und Rechtssektor. Neue Backdoor „PowerPepper“ nutzt diverse Verschleierungstechniken.

Der Advanced-Persistent-Threat-(APT)-Akteur DeathStalker bietet jetzt vermutlich Hacking-for-Hire-Dienste an, um vertrauliche Geschäftsinformationen von Unternehmen im Finanz- und Rechtssektor zu stehlen. Die Experten von Kaspersky haben nun neue Aktivitäten des Akteurs ausmachen können und eine neue Malware-Implantations- und Bereitstellungstaktik entdeckt: Die Backdoor PowerPepper nutzt DNS über HTTPS als Kommunikationskanal, um die Kommunikation hinter legitimen Kontrollservernamenabfragen zu verstecken. Darüber hinaus verwendet PowerPepper verschiedene Verschleierungstechniken wie Steganographie.

Anzeige

Besonders KMU im Visier

Bei DeathStalker handelt es sich um einen sehr ungewöhnlichen APT-Akteur. Die seit mindestens 2012 aktive Gruppe führt Spionagekampagnen gegen kleine und mittlere Unternehmen wie Anwaltskanzleien oder Vertretungen des Finanzsektors durch. Im Gegensatz zu anderen APT-Gruppen scheint DeathStalker nicht politisch motiviert zu sein oder finanziellen Gewinn durch die angegriffenen Unternehmen erzielen zu wollen. Die Hintermänner agieren vielmehr als Söldner und bieten ihre Hacking-Dienste gegen Bezahlung an.

Kaspersky-Forscher haben nun eine neue schädliche Kampagne der Gruppe, mit der Backdoor PowerPepper, aufgedeckt. Wie andere Malware von DeathStalker wird PowerPepper üblicherweise über Spear-Phishing-Mails verbreitet, wobei die schädlichen Dateien über den E-Mail-Text oder innerhalb eines maliziösen Links übermittelt werden. Dazu hat die Gruppe internationale Ereignisse, Vorschriften zu CO2-Emissionen oder auch die Corona-Pandemie genutzt, um ihre Opfer dazu zu bringen, die schädlichen Dokumente zu öffnen.

Anzeige

Steganografie als Tarnung

Die schädliche Haupt-Payload wird mithilfe von Steganografie getarnt, womit die Angreifer Daten inmitten legitimer Inhalte verstecken können. Im Fall von PowerPepper wird der Schadcode in scheinbar normalen Bildern von Farnen oder Paprika (vgl. English „pepper“ zur Namensgebung) eingebettet und dann von einem Loader-Skript extrahiert. Danach beginnt PowerPepper mit der Ausführung von Remote-Shell-Befehlen, die sie von den DeathStalker-Akteuren erhält und die darauf abzielen, vertrauliche Geschäftsinformationen zu entwenden. Die Malware kann jeden Shell-Befehl auf dem Zielsystem ausführen, einschließlich solcher für die standardisierte Data Reconnaissance, wie das Sammeln von Nutzer- und Dateiinformationen des Computers, das Durchsuchen von Netzwerkdateifreigaben und das Herunterladen zusätzlicher Binärdateien oder das Kopieren von Inhalten an remote Speicherorte. Die Befehle werden vom Kontrollserver mittels DNS über HTTPS-Kommunikation abgerufen – eine effektive Methode, um schädliche Kommunikation hinter legitimen Servernamenabfragen zu verstecken.

Mehr dazu auf SecureList von Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

Entspannung beim Fachkräftemangel in der IT-Sicherheit

Die Welt steht still, so scheint es, doch der Schein trügt. Wie für so viele IT-Themen gehören auch Managed Security ➡ Weiterlesen

Forscher decken Angriffe auf europäische Luftfahrt- und Rüstungskonzerne auf

ESET-Forscher decken gezielte Angriffe gegen hochkarätige europäische Luftfahrt- und Rüstungskonzerne auf. Gemeinsame Untersuchung in Zusammenarbeit mit zwei der betroffenen europäischen Unternehmen ➡ Weiterlesen

Trends und Tipps zur Weiterentwicklung moderner CISOs

Kudelski Security, die Cybersicherheitsabteilung der Kudelski-Gruppe, veröffentlicht ihr neues Forschungspapier zum Cybergeschäft "Building the Future of Security Leadership"(Aufbau künftiger Sicherheitsexperten). ➡ Weiterlesen

Java-Malware kopiert Passwörter

G Data-Forscher decken auf: Java-Malware kopiert Passwörter und ermöglicht auch noch die Fernsteuerung via RDP. Eine in Java entwickelte neu ➡ Weiterlesen

Vertrauen auf VPN für den sicheren Zugriff

SANS Institute, ein Anbieter von Cybersicherheitsschulungen und -zertifizierungen, stellt die Untersuchung „Remote Worker Poll“ zur Verbreitung von Home Office Security ➡ Weiterlesen

Kaspersky Endpoint Security for Business mit EDR Optimum & Sandbox

Zukunftsweisender 3-in-1-Lösungsansatz für erweiterte Cybersicherheit für mittelständische und große Unternehmen Die neueste Version der Kaspersky-Flaggschifflösung Endpoint Security for Business [1] ➡ Weiterlesen

Hackergruppe gibt auf und veröffentlicht Schlüssel

Manchmal beschleicht wohl auch Hacker so etwas wie Reue oder ein schlechtes Gewissen und sie geben ihre schwarzen Hüte an ➡ Weiterlesen

Bösartige Chrome Extensions führen zum Datendiebstahl

Google Chrome Extensions und Communigal Communication Ltd. (Galcomm)-Domänen sind in einer Kampagne ausgenutzt worden, die darauf abzielt, Aktivitäten und Daten ➡ Weiterlesen