VERANSTALTUNGEN
USU World 2018
06.06.18 - 07.06.18
In World Conference Center Bonn

CEBIT 2018
11.06.18 - 15.06.18
In Hannover

ERP Tage Aachen
19.06.18 - 21.06.18
In Aachen

next IT Con
25.06.18 - 25.06.18
In Nürnberg

XaaS Evolution 2018
01.07.18 - 03.07.18
In H4 Hotel Berlin Alexanderplatz

Trojanisches PferdDas Malware-Analyseteam von Palo Alto Networks, Unit 42, hat einen neuen OS-X-Trojaner identifiziert, den es der Sofacy-Gruppe zugeordnet hat. Die Sofacy-Gruppe, auch bekannt APT28, Pawn Storm, Fancy Bear, und Sednit, verwendet bei ihren Angriffen immer wieder neue Tools. Die Ziele des jüngsten Angriffs sind offensichtlich Akteure aus der Luft- und Raumfahrtindustrie, die das OS-X-Betriebssystem nutzen.

Während der Analyse hat Unit 42 festgestellt, dass Komplex in einer früheren Angriffskampagne bereits verwendet wurde. Dabei wurde eine Schwachstelle in der Antivirus-Anwendung MacKeeper genutzt, um Komplex als Nutzlast auszuliefern. Komplex teilt sich eine erhebliche Menge an Funktionalität und Eigenschaften mit einem anderen Tool, das von Sofacy verwendet wird: die Carberp-Variante, die Sofacy in früheren Angriffskampagnen auf Windows-Systemen verwendet hatte. Neben gemeinsamem Code und Funktionalität hat Unit 42 auch Command-and-Control (C2)-Domains von Komplex entdeckt, die identisch waren mit den zuvor identifizierten Infrastrukturen für eine Phishing-Kampagne von Sofacy.

Komplex ist ein Trojaner, den die Sofacy-Gruppe erstellt hat, um Nutzer von OS-X-Geräten zu kompromittieren. Der Trojaner hat mehrere Komponenten, deren ultimatives Ziel es ist, die Nutzlast zu installieren und auszuführen. Darunter findet sich eine Binder-Komponente, die für das Speichern einer zweiten Nutzlast und eines Köderdokuments im System verantwortlich ist. Die Binder-Komponente speichert das Köderdokument roskosmos_2015-2025.pdf auf dem System und öffnet es mittels der Vorschau-Anwendung, die in OS X integriert ist. Der Inhalt des Köderdokuments deutet darauf hin, dass die Komplex-Angriffskampagne auf Ziele ausgerichtet ist, die mit der Luftfahrtindustrie in Zusammenhang stehen.

Nach der Bestimmung, dass der Trojaner nicht in einem Debugger ausgeführt wird, führt die Nutzlast eine Anti-Analyse-/Sandbox-Prüfung mittels einer GET-Anfrage an Google durch und prüft dabei auch, ob eine Internetverbindung besteht, um mit seinem C2-Server kommunizieren zu können. Nach der Bestätigung beginnt die Komplex-Nutzlast damit, ihre Hauptfunktionen auszuführen, insbesondere Daten auf dem infizierten System zu sammeln. Die Komplex-Nutzlast sendet dabei auch Systemdaten, wie Systemversion, Benutzername und Prozessliste an den C2-Server.

Die Sofacy-Gruppe hat den Komplex-Trojaner entwickelt, um das Betriebssystem OS X ins Visier zunehmen. Dies ist ein Schritt, der die weitere Entwicklung der Gruppe hin zu Multi-Plattform-Angriffen demonstriert. Der Trojaner ist in der Lage, zusätzliche Dateien auf das System zu laden, Dateien auszuführen und zu löschen sowie direkt mit der System-Shell zu interagieren. Detaillierte Informationen zu den Zielen der Kampagne sind derzeit noch nicht verfügbar, doch deutet alles darauf hin, dass Personen in der Luftfahrtindustrie ins Visier genommen werden. Die Nutzung eines ähnlichen Designs wie beim Carberp-Trojaner könnte den Hintergrund haben, kompromittierte Windows- und OS-X-Systeme relativ leicht mit der gleichen C2-Server-Anwendung zu verwalten.

www.paloaltonetworks.com

GRID LIST
Tb W190 H80 Crop Int 33e73b25261b4f94d72c7793df32609a

Neuer Trojaner: Dateien können nicht wieder entschlüsselt werden

Die Malwareanalysten von Doctor Web haben einen neuen Encoder unter die Lupe genommen.…
Ransomware

Ransomware findet neuen Infektionsweg

Dass durch das unbedachte Klicken auf Links oder Dateien in E-Mails und im Internet…
Tb W190 H80 Crop Int 3d92b16f38ec40420417ec6e95879516

Versteckte Malware lauert häufig im Verborgenen

Der erschienene Verizon Data Breach Investigations Report 2018 offenbart das Ausmaß der…
Gérard Bauer

Vermeintlich russische Cyberattacken auf westliche IT-Infrastrukturen

Am Montag erklärten das US-Heimatschutzministerium, das FBI und das britische National…
Paul Parker

Cybersecurity im Gesundheitswesen

Nach Ansicht von Paul Parker, Cheftechnologe des Geschäftsbereichs für Regierungsbehörden…
Tb W190 H80 Crop Int 0a77a97abba355a6171f9e666819821a

Minecraft: Spieler sind von Schadsoftware in modifizierten „Skins“ bedroht

Eine Datenanalyse der vergangenen 30 Tage von Avast ergab, dass nahezu 50.000…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security