Russland-Ukraine: APT-Kampagne im Konfliktgebiet

Kaspersky_news

Beitrag teilen

Eine bisher unbekannte Malware in einer APT-Kampagne stielt Daten von Verwaltungs-, Landwirtschafts- und Transportunternehmen in den Regionen Donezk, Luhansk und der Krim. Die neue Backdoor PowerMagic und das modulare Framework CommonMagic sind dabei im Einsatz.

Im Oktober 2022 entdeckten Kaspersky-Forscher eine laufende APT-Kampagne (Advanced Persistent Threat), die auf Organisationen im russisch-ukrainischen Kriegsgebiet abzielt. Die von Kaspersky als ‚CommonMagic‘ bezeichnete Spionagekampagne ist seit mindestens September 2021 aktiv und nutzt eine bisher unbekannte Malware, um Daten von ihren Angriffszielen zu sammeln. Zu den Zielen gehören Verwaltungs-, Landwirtschafts- und Transportunternehmen in den Regionen Donezk, Luhansk und Krim.

Backdoor PowerMagic greift an

Die APT-Angriffe werden mit einer PowerShell-basierten Backdoor namens ‚PowerMagic‘ und dem neuen schädlichen Framework ‚CommonMagic‘ ausgeführt. Letzteres ermöglicht es, Dateien von USB-Geräten zu stehlen, Daten zu sammeln und sie an den Angreifer weiterzuleiten. Zusätzlich ermöglicht die modulare Struktur des Frameworks schädliche Aktivitäten über neue Schad-Module hinzuzufügen.

Vermutlich erfolgte der Angriff zunächst über Spear-Phishing oder ähnliche Methoden. Die Zielpersonen wurden zu einer URL geleitet, die wiederum zu einem ZIP-Archiv führte, das auf einem schädlichen Server gehostet wurde. Dieses Archiv enthielt zum einen eine schädliche Datei, die die PowerMagic-Backdoor bereitstellte und zum anderen ein harmloses Dokument zur Täuschung, das die Betroffenen in dem Glauben lassen sollte, der Inhalt sei legitim. Die Kaspersky-Experten entdeckten eine Reihe solcher Köder-Archive mit Titeln, die sich auf verschiedene Dekrete von in der Region relevanten Organisationen beziehen.

Spear-Phishing leitete Aktionen ein

Sobald ein Nutzer das Archiv herunterlädt und auf die Verknüpfungsdatei im Archiv klickt, erfolgt die Infektion mit der PowerMagic-Backdoor. Die Backdoor empfängt Befehle von einem Remote-Ordner auf einem öffentlichen Cloud-Speicherdienst, führt die vom Server gesendeten Befehle aus und lädt dann die Ergebnisse der Ausführung zurück in die Cloud. Außerdem nistet sich PowerMagic so im System ein, dass sie bei jedem Hochfahren des infizierten Geräts gestartet wird.

Derzeit lässt sich kein direkter Zusammenhang zwischen dem in dieser Kampagne verwendeten Code und Daten aus bereits bekannten Fällen herstellen. Allerdings ist die Kampagne nach wie vor aktiv und die Analysen dauern weiter an. Angesichts der begrenzten Viktimologie und den thematischen Ködern ist es plausibel, dass die Angreifer ein besonderes Interesse an der geopolitischen Lage in der Konfliktregion haben.

Mehr bei Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

Bitterfeld: Ransomware-Attacke kostete 2,5 Millionen Euro

Der Cyberangriff mit Ransomware auf den Landkreis Bitterfeld vor drei Jahren zeigt die unbequeme Wahrheit: es dauerte Jahre die IT ➡ Weiterlesen

Neue Ransomware-Variante Fog entdeckt

Über die Bedrohungsakteure der neuen Ransomware-Variante namens Fog ist noch nicht viel bekannt. Bisher sind nur US-Amerikanische Organisationen davon betroffen ➡ Weiterlesen

Europol: Fast 600 kriminelle Cobalt Strike-Server ausgeschaltet

Alte und unlizenzierte Versionen von Cobalt Strike, das eigentlich legitime Testtool von Pentestern und Red-Teams, sind in den Händen von ➡ Weiterlesen

Kinsing-Malware – Millionen Angriffe täglich

Seit 2019 ist Kinsing-Malware, die insbesondere Cloud-Native-Infrastrukturen angreift, ständig auf dem Vormarsch. Eine neue Studie stellt Angriffstechniken und -taktiken der ➡ Weiterlesen

Komplexe IT-Sicherheit: 450 Endgeräte – 3 IT-Mitarbeiter

Viele Unternehmen verwenden mehrere Sicherheitslösungen gleichzeitig. Das führt zu einer hohen Komplexität. Malwarebytes hat in einer internationalen Umfrage 50 Unternehmen ➡ Weiterlesen

Microsoft schickt Kunden Warnung per E-Mail die wie Spam aussieht

Nach der Attacke von Midnight Blizzard im Januar warnte nun Microsoft seine Kunden im Juni per Erklärungs-E-Mail. Dumm nur, dass ➡ Weiterlesen

Telegram: 361 Millionen Nutzerdaten geleakt

Cyberkriminelle haben Millionen von E-Mail-Adressen sowie Benutzernamen und Passwörter von Online-Konten in Kanälen des Messenger-Dienstes Telegram veröffentlicht, so der Betreiber ➡ Weiterlesen

EU ATM Malware greift Geldautomaten an

Geldautomaten sind ein beliebtes Angriffsziel für Cyberkriminelle. Die neue EU ATM Malware hat es auf europäische Bankomaten abgesehen. Kriminelle können ➡ Weiterlesen