Die Experten von Kaspersky haben jüngst zielgerichtete Spionage-Kampagne gegen Finanz- und Militärorganisationen entdeckt.
Mithilfe der Kaspersky Threat Attribution Engine konnten Kaspersky-Forscher mehr als 300 Samples der Backdoor Bisonal mit einer Kampagne der Cyberspionage-Gruppe CactusPete in Verbindung bringen. Diese jüngste Kampagne der APT-Gruppe konzentriert sich auf militärische und finanzielle Ziele in Osteuropa. Wie die verwendete Backdoor auf die Geräte der Opfer kommt, ist noch unklar.
Bei CactusPete, auch bekannt als Karma Panda oder Tonto Teaь, handelt es sich um eine Cyberspionage-Gruppe, die seit mindestens 2012 aktiv ist. Ihre derzeit eingesetzte Backdoor hat Vertreter des Militär- und Finanzsektors in Osteuropa im Visier, um wahrscheinlich Zugang zu vertraulichen Informationen zu erhalten.
Erste Spionage-Attacken im Februar 2020
Diese jüngsten Aktivitäten der Gruppe wurden von Kaspersky-Forschern erstmals im Februar 2020 bemerkt, als sie eine aktualisierte Version der Bisonal-Backdoor entdeckten. Mithilfe der Kaspersky Threat Attribution Engine – einem Analyse-Tool, um Ähnlichkeiten in Schadcodes von bekannten Bedrohungsakteuren zu finden – konnte die Backdoor mit mehr als 300 weiteren, „in the wild“ gefundenen Samples in Verbindung gebracht werden. Alle Samples wurden zwischen März 2019 und April 2020 entdeckt, etwa 20 Samples pro Monat. Das lässt darauf schließen, dass sich CactusPete schnell entwickelt. So hat die Gruppe auch ihre Fähigkeiten weiter verfeinert und dieses Jahr sich Zugang zu komplexerem Code wie ShadowPad verschafft.
Die Funktionalität des schädlichen Payloads lässt darauf schließen, dass die Gruppe auf der Suche nach hochsensiblen Informationen ist. Nach der Backdoor-Installation auf dem Gerät des Opfers kann die Gruppe über Bisonal verschiedene Programme unbemerkt starten, Prozesse beenden, Dateien hochladen, herunterladen oder löschen und eine Liste der verfügbaren Laufwerke abrufen. Sobald die Angreifer tiefer in das infizierte System vorgedrungen sind, kommt ein Keylogger zum Einsatz, um Anmeldeinformationen zu sammeln und Malware herunterzuladen, die Berechtigungen und somit schrittweise mehr Kontrolle über das System ermöglicht.
CactusPete nutzt Spear-Phishing-Mails
Es ist noch unklar, wie die Backdoor in dieser Kampagne auf das Gerät gelangt. In der Vergangenheit hat CactusPete jedoch überwiegend auf Spear-Phishing-Mails gesetzt, die schädliche Anhänge enthalten, um Geräte zu infizieren.
„CactusPete ist eine interessante APT-Gruppe, weil sie eigentlich nicht so fortgeschritten ist, auch nicht ihre Bisonal-Backdoor,“ sagt Konstantin Zykov, Sicherheitsexperte bei Kaspersky. „Ihr Erfolg beruht nicht auf komplexer Technologie oder ausgeklügelten Verteilungs- und Verschleierungstaktiken, sondern auf erfolgreichem Social-Engineering. Sie schaffen es, hochrangige Ziele zu infizieren, indem ihre Opfer schädliche Anhänge in Phishing-Mails öffnen. Dies ist ein gutes Beispiel dafür, warum Phishing weiterhin eine so effektive Methode zum Starten von Cyber-Angriffen ist und warum es für Unternehmen so wichtig ist, ihre Mitarbeiter darin zu schulen, wie sie solche E-Mails erkennen und wie sie mittels Threat Intelligence über die neueste Bedrohung auf dem Laufenden bleiben können.“
Kaspersky-Empfehlungen zum Schutz vor APTs
- Das Security Operations Center (SOC)-Team sollte stets Zugriff auf die neuesten Bedrohungsinformationen haben, um über neue und zukünftige Tools, Techniken und Taktiken, die von Bedrohungsakteuren und Cyberkriminellen verwendet werden, auf dem Laufenden zu bleiben.
- Unternehmen sollten eine EDR-Lösung wie Kaspersky Endpoint Detection and Response implementieren, um Vorfälle rechtzeitig erkennen, untersuchen und darauf reagieren zu können.
- Mitarbeiter sollten regelmäßig zum Thema Cybersicherheit geschult werden [6], da viele zielgerichtete Angriffe mit Phishing oder anderen Social-Engineering-Techniken beginnen. Simulierte Phishing-Angriff können dabei helfen, die Mitarbeiter zu testen, zu trainieren und auf das Vorgehen von Cyberkriminellen aufmerksam zu machen.
- Mit Kaspersky Threat Attribution Engine können schädliche Samples schnell mit bekannten Angriffsakteuren verknüpft werden.
Mehr dazu bei SecureList von Kaspersky.com
Über Kaspersky Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/