Russland-Ukraine: APT-Kampagne im Konfliktgebiet

Kaspersky_news

Beitrag teilen

Eine bisher unbekannte Malware in einer APT-Kampagne stielt Daten von Verwaltungs-, Landwirtschafts- und Transportunternehmen in den Regionen Donezk, Luhansk und der Krim. Die neue Backdoor PowerMagic und das modulare Framework CommonMagic sind dabei im Einsatz.

Im Oktober 2022 entdeckten Kaspersky-Forscher eine laufende APT-Kampagne (Advanced Persistent Threat), die auf Organisationen im russisch-ukrainischen Kriegsgebiet abzielt. Die von Kaspersky als ‚CommonMagic‘ bezeichnete Spionagekampagne ist seit mindestens September 2021 aktiv und nutzt eine bisher unbekannte Malware, um Daten von ihren Angriffszielen zu sammeln. Zu den Zielen gehören Verwaltungs-, Landwirtschafts- und Transportunternehmen in den Regionen Donezk, Luhansk und Krim.

Backdoor PowerMagic greift an

Die APT-Angriffe werden mit einer PowerShell-basierten Backdoor namens ‚PowerMagic‘ und dem neuen schädlichen Framework ‚CommonMagic‘ ausgeführt. Letzteres ermöglicht es, Dateien von USB-Geräten zu stehlen, Daten zu sammeln und sie an den Angreifer weiterzuleiten. Zusätzlich ermöglicht die modulare Struktur des Frameworks schädliche Aktivitäten über neue Schad-Module hinzuzufügen.

Vermutlich erfolgte der Angriff zunächst über Spear-Phishing oder ähnliche Methoden. Die Zielpersonen wurden zu einer URL geleitet, die wiederum zu einem ZIP-Archiv führte, das auf einem schädlichen Server gehostet wurde. Dieses Archiv enthielt zum einen eine schädliche Datei, die die PowerMagic-Backdoor bereitstellte und zum anderen ein harmloses Dokument zur Täuschung, das die Betroffenen in dem Glauben lassen sollte, der Inhalt sei legitim. Die Kaspersky-Experten entdeckten eine Reihe solcher Köder-Archive mit Titeln, die sich auf verschiedene Dekrete von in der Region relevanten Organisationen beziehen.

Spear-Phishing leitete Aktionen ein

Sobald ein Nutzer das Archiv herunterlädt und auf die Verknüpfungsdatei im Archiv klickt, erfolgt die Infektion mit der PowerMagic-Backdoor. Die Backdoor empfängt Befehle von einem Remote-Ordner auf einem öffentlichen Cloud-Speicherdienst, führt die vom Server gesendeten Befehle aus und lädt dann die Ergebnisse der Ausführung zurück in die Cloud. Außerdem nistet sich PowerMagic so im System ein, dass sie bei jedem Hochfahren des infizierten Geräts gestartet wird.

Derzeit lässt sich kein direkter Zusammenhang zwischen dem in dieser Kampagne verwendeten Code und Daten aus bereits bekannten Fällen herstellen. Allerdings ist die Kampagne nach wie vor aktiv und die Analysen dauern weiter an. Angesichts der begrenzten Viktimologie und den thematischen Ködern ist es plausibel, dass die Angreifer ein besonderes Interesse an der geopolitischen Lage in der Konfliktregion haben.

Mehr bei Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

Bösartiges Site Hopping

In letzter Zeit wird vermehrt eine neue Technik zur Umgehung von Sicherheitsscannern eingesetzt, nämlich das „Site Hopping“. Diese Technik ist ➡ Weiterlesen

Neue Ransomware-Gruppe Money Message entdeckt

Bereits im April dieses Jahres wurde eine neue Ransomware-Gruppe namens „Money Message“ aktiv. Während die Cyberkriminellen bislang unter dem Radar ➡ Weiterlesen

Wardriving mit künstlicher Intelligenz

Mittlerweile werden KI-Tools millionenfach eingesetzt, um Themen zu recherchieren, Briefe zu schreiben und Bilder zu erstellen. Doch auch im Bereich ➡ Weiterlesen

LockBit veröffentlich 43 GByte gestohlene Boeing-Daten

Bereits im Oktober vermeldete die APT-Gruppe LockBit, dass man bei Boeing in die Systeme eingedrungen sei und viele Daten gestohlen ➡ Weiterlesen

Veeam ONE: Hotfix für kritische Schwachstellen steht bereit 

Veeam informiert seine Nutzer über zwei kritische und zwei mittlere Schwachstellen in Veeam One für die bereits Patches bereitstehen. Die ➡ Weiterlesen

Cyberattacke auf Deutsche Energie-Agentur – dena

Die Deutsche Energie-Agentur vermeldet nach eigenen Angaben eine Cyberattacke am Wochenende vom 11. auf den 12. November. Die Server sind ➡ Weiterlesen

LockBit: Gestohlene Shimano-Daten wohl veröffentlicht

Der japanische Hersteller für Fahrradteile Shimano wurde Ziel laut LockBit Opfer eines Ransomware-Angriffs und zeigte sich offenbar nicht bereit, Lösegeld ➡ Weiterlesen

IoT-Geräte: Bedrohung aus dem Darknet

IoT-Geräte sind ein beliebtes Angriffsziel für Cyberkriminelle. Im Darknet werden diese Angriffe als Dienstleistung angeboten. Insbesondere Services für DDoS-Angriffe die ➡ Weiterlesen