VERANSTALTUNGEN

DAHO.AM
24.07.18 - 24.07.18
In München

IT-Sourcing 2018
03.09.18 - 04.09.18
In Hamburg

2. Jahrestagung Cyber Security Berlin
11.09.18 - 12.09.18
In Berlin

DILK 2018
17.09.18 - 19.09.18
In Düsseldorf

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

Trojanisches PferdDas Malware-Analyseteam von Palo Alto Networks, Unit 42, hat einen neuen OS-X-Trojaner identifiziert, den es der Sofacy-Gruppe zugeordnet hat. Die Sofacy-Gruppe, auch bekannt APT28, Pawn Storm, Fancy Bear, und Sednit, verwendet bei ihren Angriffen immer wieder neue Tools. Die Ziele des jüngsten Angriffs sind offensichtlich Akteure aus der Luft- und Raumfahrtindustrie, die das OS-X-Betriebssystem nutzen.

Während der Analyse hat Unit 42 festgestellt, dass Komplex in einer früheren Angriffskampagne bereits verwendet wurde. Dabei wurde eine Schwachstelle in der Antivirus-Anwendung MacKeeper genutzt, um Komplex als Nutzlast auszuliefern. Komplex teilt sich eine erhebliche Menge an Funktionalität und Eigenschaften mit einem anderen Tool, das von Sofacy verwendet wird: die Carberp-Variante, die Sofacy in früheren Angriffskampagnen auf Windows-Systemen verwendet hatte. Neben gemeinsamem Code und Funktionalität hat Unit 42 auch Command-and-Control (C2)-Domains von Komplex entdeckt, die identisch waren mit den zuvor identifizierten Infrastrukturen für eine Phishing-Kampagne von Sofacy.

Komplex ist ein Trojaner, den die Sofacy-Gruppe erstellt hat, um Nutzer von OS-X-Geräten zu kompromittieren. Der Trojaner hat mehrere Komponenten, deren ultimatives Ziel es ist, die Nutzlast zu installieren und auszuführen. Darunter findet sich eine Binder-Komponente, die für das Speichern einer zweiten Nutzlast und eines Köderdokuments im System verantwortlich ist. Die Binder-Komponente speichert das Köderdokument roskosmos_2015-2025.pdf auf dem System und öffnet es mittels der Vorschau-Anwendung, die in OS X integriert ist. Der Inhalt des Köderdokuments deutet darauf hin, dass die Komplex-Angriffskampagne auf Ziele ausgerichtet ist, die mit der Luftfahrtindustrie in Zusammenhang stehen.

Nach der Bestimmung, dass der Trojaner nicht in einem Debugger ausgeführt wird, führt die Nutzlast eine Anti-Analyse-/Sandbox-Prüfung mittels einer GET-Anfrage an Google durch und prüft dabei auch, ob eine Internetverbindung besteht, um mit seinem C2-Server kommunizieren zu können. Nach der Bestätigung beginnt die Komplex-Nutzlast damit, ihre Hauptfunktionen auszuführen, insbesondere Daten auf dem infizierten System zu sammeln. Die Komplex-Nutzlast sendet dabei auch Systemdaten, wie Systemversion, Benutzername und Prozessliste an den C2-Server.

Die Sofacy-Gruppe hat den Komplex-Trojaner entwickelt, um das Betriebssystem OS X ins Visier zunehmen. Dies ist ein Schritt, der die weitere Entwicklung der Gruppe hin zu Multi-Plattform-Angriffen demonstriert. Der Trojaner ist in der Lage, zusätzliche Dateien auf das System zu laden, Dateien auszuführen und zu löschen sowie direkt mit der System-Shell zu interagieren. Detaillierte Informationen zu den Zielen der Kampagne sind derzeit noch nicht verfügbar, doch deutet alles darauf hin, dass Personen in der Luftfahrtindustrie ins Visier genommen werden. Die Nutzung eines ähnlichen Designs wie beim Carberp-Trojaner könnte den Hintergrund haben, kompromittierte Windows- und OS-X-Systeme relativ leicht mit der gleichen C2-Server-Anwendung zu verwalten.

www.paloaltonetworks.com

GRID LIST
Hacker im Visir

Drittanbieter-Software im Fokus von Hackern – was können MSP tun?

Der traditionelle Ansatz der IT lautet: Wenn dein Betriebssystem gepatcht ist, dann ist…
KI Security

Falsche Abwehrstrategie zwingt die IT-Sicherheitsbranche in Aufrüstspirale

Anbieter von Sicherheitssoftware vermarkten den Einsatz von KI in ihren Produkten als…
Tb W190 H80 Crop Int E6b1eed76833e40b6dff0a1070b0694f

Cyber-Kriminelle nutzen Fake-App für Malware

Im vergangenen Monat haben Cyber-Kriminelle mithilfe einer gefälschten App des…
Tb W190 H80 Crop Int Db461ec563234e57f2cba9109df3ec5f

Kryptowährungen im Überblick

Seit 2010 ist der Vormarsch der sogenannten Kryptowährungen nicht mehr aufzuhalten. Dabei…
Ransomware Lösegeld

Ransomware: Warnung vor Lösegeldzahlung

Cyberkriminelle „kidnappen“ Daten und Computer von Organisationen und Einzelpersonen. Der…
Tb W190 H80 Crop Int C47c64413dabc5f83c8af1202d07c3d8

Vernetzung bedeutet höhere Gefährdung für KRITIS-Betreiber

Digitalisierung und die zunehmende Vernetzung aller Versorgungsbereiche stellen den…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security