Manch Hacker ist die Zerstörung digitaler Daten wichtiger als der Diebstahl oder eine Erpressung. Die APT-Gruppe Agrius hat eine Reihe von Cyberangriffen mit der Malware „Fantasy“ einem Wiper ausgeführt, so die ESET-Experten.
Für Diamantengroßhändler zählen Diebstähle, Betrug und Lösegeldforderungen zu ihren täglichen Businessgefahren. Dass aber Cyberkriminelle lediglich auf die Zerstörung von digitalen Informationen aus sind und keinen finanziellen Profit schlagen wollen, überraschte die betroffenen Edelsteinhändler in Israel ebenso wie die Security-Experten von ESET. Diese konnten der APT-Gruppe Agrius eine Reihe von Cyberangriffen mit der Malware „Fantasy“ nachweisen, die ebenfalls ein israelisches Personalunternehmen und eine IT-Firma betrafen. Auch in Südafrika und Hongkong wurden Opfer beobachtet.
Wiper ist auf Daten-shreddern aus
Die dem Iran nahestehenden Angreifer nutzten mit Fantasy einen sogenannten Wiper, der rein zerstörerisch agiert und nicht wie Ransomware auf das Erpressen von Geld aus ist. Um aber überhaupt in die Netzwerke der Opfer gelangen zu können, führte Agrius eine Supply-Chain-Attacke durch. Dabei wurde eine israelische Software-Suite missbraucht, die in der Diamantenindustrie sehr geläufig ist.
Bereits im Februar 2022 setzte Agrius bei einer Organisation der südafrikanischen Diamantenindustrie Tools zum Sammeln von Anmeldeinformationen ein. Experten werten dies als Vorbereitung für die spätere Kampagne. Den eigentlichen Löschangriff startete Agrius im März 2022, indem sie Fantasy und dessen Verbreitungstool „Sandals“ zuerst bei dem Opfer in Südafrika, dann bei weiteren in Israel und schließlich in Hongkong einsetzte.
Fantasy Wiper löschte entweder alle Dateien auf der Festplatte oder alle Dateien mit einer von 682 vordefinierten Erweiterungen, einschließlich Dateinamenerweiterungen für Microsoft 365-Anwendungen (zum Beispiel Microsoft Word, Microsoft PowerPoint und Microsoft Excel) sowie für gängige Video-, Audio- und Bilddateiformate. Auch wenn die Malware Maßnahmen ergriff, um die Wiederherstellung und forensische Analyse zu erschweren, ist es durchaus wahrscheinlich, dass eine Wiederherstellung des Windows-Betriebssystemlaufwerks möglich war. Es wurde beobachtet, dass die Opfer innerhalb weniger Stunden wieder einsatzbereit waren.
Iran-nahe APT Gruppe Agrius fokussiert Israel
Agrius ist eine neuere, mit dem Iran verbundene Gruppe, die seit 2020 Ziele in Israel und den Vereinigten Arabischen Emiraten angreift. Die Gruppe setzte ursprünglich den Wiper „Apostle“ ein, der sich als angebliche Ransomware tarnte. Später wurde sie tatsächlich zu einer vollwertigen Ransomware weiterentwickelt. Die APT-Gruppe nutzt bekannte Schwachstellen in Internetanwendungen aus, um Webshells zu installieren. Dann führt sie interne Erkundungen durch, bevor der Wiper sich ausbreitet und seine bösartigen Fähigkeiten einsetzt.
Seit seiner Entdeckung im Jahr 2021 hat sich Agrius ausschließlich auf zerstörerische Operationen konzentriert. Fantasy ähnelt in vielerlei Hinsicht dem vorherigen Wiper Apostle. Es gibt nur ein paar kleine Änderungen zwischen vielen der ursprünglichen Funktionen in Apostle und der Implementierung von Fantasy.
Mehr bei ESET.com
Über ESET ESET ist ein europäisches Unternehmen mit Hauptsitz in Bratislava (Slowakei). Seit 1987 entwickelt ESET preisgekrönte Sicherheits-Software, die bereits über 100 Millionen Benutzern hilft, sichere Technologien zu genießen. Das breite Portfolio an Sicherheitsprodukten deckt alle gängigen Plattformen ab und bietet Unternehmen und Verbrauchern weltweit die perfekte Balance zwischen Leistung und proaktivem Schutz. Das Unternehmen verfügt über ein globales Vertriebsnetz in über 180 Ländern und Niederlassungen in Jena, San Diego, Singapur und Buenos Aires. Für weitere Informationen besuchen Sie www.eset.de oder folgen uns auf LinkedIn, Facebook und Twitter.