Eine bisher unbekannte Malware in einer APT-Kampagne stielt Daten von Verwaltungs-, Landwirtschafts- und Transportunternehmen in den Regionen Donezk, Luhansk und der Krim. Die neue Backdoor PowerMagic und das modulare Framework CommonMagic sind dabei im Einsatz.
Im Oktober 2022 entdeckten Kaspersky-Forscher eine laufende APT-Kampagne (Advanced Persistent Threat), die auf Organisationen im russisch-ukrainischen Kriegsgebiet abzielt. Die von Kaspersky als ‚CommonMagic‘ bezeichnete Spionagekampagne ist seit mindestens September 2021 aktiv und nutzt eine bisher unbekannte Malware, um Daten von ihren Angriffszielen zu sammeln. Zu den Zielen gehören Verwaltungs-, Landwirtschafts- und Transportunternehmen in den Regionen Donezk, Luhansk und Krim.
Backdoor PowerMagic greift an
Die APT-Angriffe werden mit einer PowerShell-basierten Backdoor namens ‚PowerMagic‘ und dem neuen schädlichen Framework ‚CommonMagic‘ ausgeführt. Letzteres ermöglicht es, Dateien von USB-Geräten zu stehlen, Daten zu sammeln und sie an den Angreifer weiterzuleiten. Zusätzlich ermöglicht die modulare Struktur des Frameworks schädliche Aktivitäten über neue Schad-Module hinzuzufügen.
Vermutlich erfolgte der Angriff zunächst über Spear-Phishing oder ähnliche Methoden. Die Zielpersonen wurden zu einer URL geleitet, die wiederum zu einem ZIP-Archiv führte, das auf einem schädlichen Server gehostet wurde. Dieses Archiv enthielt zum einen eine schädliche Datei, die die PowerMagic-Backdoor bereitstellte und zum anderen ein harmloses Dokument zur Täuschung, das die Betroffenen in dem Glauben lassen sollte, der Inhalt sei legitim. Die Kaspersky-Experten entdeckten eine Reihe solcher Köder-Archive mit Titeln, die sich auf verschiedene Dekrete von in der Region relevanten Organisationen beziehen.
Spear-Phishing leitete Aktionen ein
Sobald ein Nutzer das Archiv herunterlädt und auf die Verknüpfungsdatei im Archiv klickt, erfolgt die Infektion mit der PowerMagic-Backdoor. Die Backdoor empfängt Befehle von einem Remote-Ordner auf einem öffentlichen Cloud-Speicherdienst, führt die vom Server gesendeten Befehle aus und lädt dann die Ergebnisse der Ausführung zurück in die Cloud. Außerdem nistet sich PowerMagic so im System ein, dass sie bei jedem Hochfahren des infizierten Geräts gestartet wird.
Derzeit lässt sich kein direkter Zusammenhang zwischen dem in dieser Kampagne verwendeten Code und Daten aus bereits bekannten Fällen herstellen. Allerdings ist die Kampagne nach wie vor aktiv und die Analysen dauern weiter an. Angesichts der begrenzten Viktimologie und den thematischen Ködern ist es plausibel, dass die Angreifer ein besonderes Interesse an der geopolitischen Lage in der Konfliktregion haben.
Mehr bei Kaspersky.com
Über Kaspersky Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/