Die Experten von Kaspersky haben eine Cyberspionage-Kampagne aufgedeckt, die auf Regierungsbehörden weltweit abzielt. Im Rahmen der Kampagne werden mehr als 30 Malware-Dropper-Samples eingesetzt – teils mit Textänderungen zur schlechteren Erkennung der Samples.
Neue DuneQuixote-Cyberspionagekampagne zielt weltweit auf Regierungsstellen ab Kaspersky-Forscher haben eine laufende böswillige Kampagne entdeckt, die zunächst auf eine Regierungsstelle im Nahen Osten abzielt. Weitere Untersuchungen ergaben, dass mehr als 30 Malware-Dropper-Proben aktiv in dieser Kampagne eingesetzt wurden und die Opfergruppe angeblich auf APAC, Europa und Nordamerika ausgeweitet wurde.
Getarnte Dropper als erster Angriff
Die ersten Dropper der Malware tarnen sich als Installationsdateien für das legitimes Tool Total Commander. In diese Dropper sind Auszüge aus spanischen Gedichten eingebettet, die jedoch von Sample zu Sample unterschiedlich sind. Diese Variation zielt darauf ab, die Signatur eines jeden Samples zu verändern, was die Entdeckung mit herkömmlichen Methoden erschwert.
Im Dropper selbst ist schädlicher Code integriert, der zusätzliche Payloads in Form der Backdoors CR4T herunterlädt. Diese in C/C++ und GoLang entwickelten Backdoors zielen darauf ab, Angreifern Zugriff auf den Computer des Opfers zu gewähren. Insbesondere nutzt die GoLang-Variante die Telegram-API für die C2-Kommunikation und implementiert öffentliche Golang-Telegramm-API-Bindungen.
Viele Varianten im Umlauf entdeckt
„Die Variationen der Malware zeigen die Anpassungsfähigkeit und den Einfallsreichtum der Bedrohungsakteure hinter dieser Kampagne.“ „Im Moment haben wir zwei solcher Implantate entdeckt, aber wir vermuten stark, dass noch weitere vorhanden sind“, kommentiert Sergey Lozhkin, leitender Sicherheitsforscher bei Kasperskys GReAT (Global Research and Analysis Team). Die Kaspersky-Telemetrie identifizierte ein Opfer im Nahen Osten als bereits im Februar 2024.
Darüber hinaus kam es Ende 2023 zu mehreren Uploads derselben Malware auf einen halböffentlichen Malware-Scan-Dienst mit mehr als 30 Einreichungen. Weitere Quellen, bei denen es sich vermutlich um VPN-Ausgangsknoten handelt, befinden sich in Südkorea, Luxemburg, Japan, Kanada, den Niederlanden und den USA.
Mehr bei Kaspersky.com
Über Kaspersky Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/