Sourcing von Application Management Services
21.02.18 - 21.02.18
In Frankfurt

Next Generation SharePoint
22.02.18 - 22.02.18
In München

BIG DATA Marketing Day
22.02.18 - 22.02.18
In München

SAMS 2018
26.02.18 - 27.02.18
In Berlin, Maritim proArte

EuroCIS 2018
27.02.18 - 01.03.18
In Düsseldorf, Messe Halle 9 und 10

Trojanisches PferdDas Malware-Analyseteam von Palo Alto Networks, Unit 42, hat einen neuen OS-X-Trojaner identifiziert, den es der Sofacy-Gruppe zugeordnet hat. Die Sofacy-Gruppe, auch bekannt APT28, Pawn Storm, Fancy Bear, und Sednit, verwendet bei ihren Angriffen immer wieder neue Tools. Die Ziele des jüngsten Angriffs sind offensichtlich Akteure aus der Luft- und Raumfahrtindustrie, die das OS-X-Betriebssystem nutzen.

Während der Analyse hat Unit 42 festgestellt, dass Komplex in einer früheren Angriffskampagne bereits verwendet wurde. Dabei wurde eine Schwachstelle in der Antivirus-Anwendung MacKeeper genutzt, um Komplex als Nutzlast auszuliefern. Komplex teilt sich eine erhebliche Menge an Funktionalität und Eigenschaften mit einem anderen Tool, das von Sofacy verwendet wird: die Carberp-Variante, die Sofacy in früheren Angriffskampagnen auf Windows-Systemen verwendet hatte. Neben gemeinsamem Code und Funktionalität hat Unit 42 auch Command-and-Control (C2)-Domains von Komplex entdeckt, die identisch waren mit den zuvor identifizierten Infrastrukturen für eine Phishing-Kampagne von Sofacy.

Komplex ist ein Trojaner, den die Sofacy-Gruppe erstellt hat, um Nutzer von OS-X-Geräten zu kompromittieren. Der Trojaner hat mehrere Komponenten, deren ultimatives Ziel es ist, die Nutzlast zu installieren und auszuführen. Darunter findet sich eine Binder-Komponente, die für das Speichern einer zweiten Nutzlast und eines Köderdokuments im System verantwortlich ist. Die Binder-Komponente speichert das Köderdokument roskosmos_2015-2025.pdf auf dem System und öffnet es mittels der Vorschau-Anwendung, die in OS X integriert ist. Der Inhalt des Köderdokuments deutet darauf hin, dass die Komplex-Angriffskampagne auf Ziele ausgerichtet ist, die mit der Luftfahrtindustrie in Zusammenhang stehen.

Nach der Bestimmung, dass der Trojaner nicht in einem Debugger ausgeführt wird, führt die Nutzlast eine Anti-Analyse-/Sandbox-Prüfung mittels einer GET-Anfrage an Google durch und prüft dabei auch, ob eine Internetverbindung besteht, um mit seinem C2-Server kommunizieren zu können. Nach der Bestätigung beginnt die Komplex-Nutzlast damit, ihre Hauptfunktionen auszuführen, insbesondere Daten auf dem infizierten System zu sammeln. Die Komplex-Nutzlast sendet dabei auch Systemdaten, wie Systemversion, Benutzername und Prozessliste an den C2-Server.

Die Sofacy-Gruppe hat den Komplex-Trojaner entwickelt, um das Betriebssystem OS X ins Visier zunehmen. Dies ist ein Schritt, der die weitere Entwicklung der Gruppe hin zu Multi-Plattform-Angriffen demonstriert. Der Trojaner ist in der Lage, zusätzliche Dateien auf das System zu laden, Dateien auszuführen und zu löschen sowie direkt mit der System-Shell zu interagieren. Detaillierte Informationen zu den Zielen der Kampagne sind derzeit noch nicht verfügbar, doch deutet alles darauf hin, dass Personen in der Luftfahrtindustrie ins Visier genommen werden. Die Nutzung eines ähnlichen Designs wie beim Carberp-Trojaner könnte den Hintergrund haben, kompromittierte Windows- und OS-X-Systeme relativ leicht mit der gleichen C2-Server-Anwendung zu verwalten.

www.paloaltonetworks.com

GRID LIST
Cyber Attack

Wenn Angreifer Admin-Tools für Cyberattacken missbrauchen

Eine der schwierigsten Aufgaben bei der Suche nach versteckten Angreifern im Netzwerk…
Tb W190 H80 Crop Int 7c77460484978a4728239d15bea143e1

Malware über Zero-Day-Schwachstelle in Telegram

Die Sicherheitsexperten von Kaspersky Lab haben Angriffe aufgedeckt, die mittels einer…
Tb W190 H80 Crop Int 18b7ca49e8f858989fae8325fe356d18

PZChao: Spionage-Infrastruktur mit Cryptominer

Der Malware-Werkzeugkasten „PZChao“, verfügt über eine umfassende Infrastruktur zur…
Tb W190 H80 Crop Int 33e73b25261b4f94d72c7793df32609a

Mining-Trojaner auf Windows zum Schürfen von Kryptowährungen entdeckt

Die Schadcode-Analysten von Doctor Web entdeckten im Januar mehrere Mining-Trojaner, die…
Dr. Christoph Brennan

Hacker nutzen CISCO ASA Schwachstelle für Angriffe

Wo eine Schwachstelle ist, ist auch ein Angriff. Ein Kommentar von Dr. Christoph Brennan,…
Sicherheitslücken

Schutzmaßnahmen gegen die Schwachstellen Spectre und Meltdown

„Spectre“ und „Meltdown“ – zu Deutsch Gespenst und Kernschmelze – sind die neuen…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security