Verseuchte Version von VoIP-Programm 3CX liefert Backdoor

Kaspersky_news

Beitrag teilen

Kaspersky-Experten haben den Lieferkettenangriff analysiert, der über das beliebte VoIP-Programm 3CXDesktopApp durchgeführt wurde und einen Infostealer bzw. Backdoor installiert. Im Zuge der Analyse fanden sie auf einem Computer eine verdächtige Dynamic Link Library (DLL), die in den infizierten 3CXDesktopApp.exe-Prozess geladen wurde.

Die Kaspersky-Experten leiteten am 21. März, etwa eine Woche vor der Entdeckung des Angriffs auf die Lieferkette, eine Untersuchung zu einem Fall ein, der mit dieser DLL in Verbindung steht. Diese DLL wurde bei Bereitstellungen der Backdoor „Gopuram“ verwendet und wird bereits seit dem Jahr 2020 von Kaspersky beobachtet. Weiterhin zeigt die Analyse, dass Gopuram auf Computern, die mit AppleJeus angegriffen wurden, koexistiert. Bei AppleJeus handelt es sich um eine Backdoor, die dem koreanischsprachigen Bedrohungsakteur Lazarus zugeschrieben wird.

Auch das BSI – Bundesamt für Sicherheit in der Informationstechnik, hat inzwischen eine Warnung zu der App für das VoIP-Programm 3CX Desktop herausgegeben. Das Amt hat auch registriert, dass nach erfolgreicher Installation eine Verbindung zu einem Command and Control-Server (C&C-Server) aufbaut und weitere Schadsoftware nachgeladen wird.

Deutschland in der größten Gruppe

Installationen der infizierten 3CX-Software finden sich weltweit, allerdings weisen Brasilien, Deutschland, Italien und Frankreich die meisten Fälle auf. Gopuram wurde dagegen auf weniger als zehn Computern beobachtet, was darauf hindeutet, dass Angreifer die Backdoor extrem gezielt einsetzen. Die Angreifer scheinen dabei ein besonderes Interesse an Kryptowährungsunternehmen zu haben.

„Der Infostealer ist nicht der einzige schädliche Payload, der während des Angriffs eingesetzt wird“, erklärt Georgy Kucherin, Sicherheitsexperte im Global Research and Analysis Team (GReAT) bei Kaspersky. „Der Bedrohungsakteur hinter Gopuram infiziert Zielcomputer zusätzlich mit der vollwertigen, modularen Gopuram-Backdoor. Wir glauben, dass Gopuram das Hauptimplantat und die letzte Payload in der Angriffskette ist. Unsere Untersuchungen dauern noch an und wir werden die eingesetzten Implantate genauer analysieren, um weitere Details über das bei dem Angriff auf die Lieferkette verwendete Toolset herauszufinden.“

Mehr bei Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


 

Passende Artikel zum Thema

Bösartiges Site Hopping

In letzter Zeit wird vermehrt eine neue Technik zur Umgehung von Sicherheitsscannern eingesetzt, nämlich das „Site Hopping“. Diese Technik ist ➡ Weiterlesen

Neue Ransomware-Gruppe Money Message entdeckt

Bereits im April dieses Jahres wurde eine neue Ransomware-Gruppe namens „Money Message“ aktiv. Während die Cyberkriminellen bislang unter dem Radar ➡ Weiterlesen

Wardriving mit künstlicher Intelligenz

Mittlerweile werden KI-Tools millionenfach eingesetzt, um Themen zu recherchieren, Briefe zu schreiben und Bilder zu erstellen. Doch auch im Bereich ➡ Weiterlesen

LockBit veröffentlich 43 GByte gestohlene Boeing-Daten

Bereits im Oktober vermeldete die APT-Gruppe LockBit, dass man bei Boeing in die Systeme eingedrungen sei und viele Daten gestohlen ➡ Weiterlesen

Veeam ONE: Hotfix für kritische Schwachstellen steht bereit 

Veeam informiert seine Nutzer über zwei kritische und zwei mittlere Schwachstellen in Veeam One für die bereits Patches bereitstehen. Die ➡ Weiterlesen

Cyberattacke auf Deutsche Energie-Agentur – dena

Die Deutsche Energie-Agentur vermeldet nach eigenen Angaben eine Cyberattacke am Wochenende vom 11. auf den 12. November. Die Server sind ➡ Weiterlesen

LockBit: Gestohlene Shimano-Daten wohl veröffentlicht

Der japanische Hersteller für Fahrradteile Shimano wurde Ziel laut LockBit Opfer eines Ransomware-Angriffs und zeigte sich offenbar nicht bereit, Lösegeld ➡ Weiterlesen

IoT-Geräte: Bedrohung aus dem Darknet

IoT-Geräte sind ein beliebtes Angriffsziel für Cyberkriminelle. Im Darknet werden diese Angriffe als Dienstleistung angeboten. Insbesondere Services für DDoS-Angriffe die ➡ Weiterlesen