Neue Pacifier-APT-Komponenten verweisen auf die Turla-Gruppe

Cyber Spionage Die neuen Komponenten des Pacifier Advanced Persistent Threats (APT), dem überwiegend Cyberspionagekampagnen gegen Regierungsinstitutionen zugeschrieben wird, zeigen hinsichtlich Aufbau und Funktionalitäten Ähnlichkeiten mit denen, die die Turla-Gruppe charakterisieren. 

Die Turla-Gruppe wird mit der russischen Regierung in Verbindung gebracht und soll seit mindestens 2008 mit zahlreichen ausgefeilten Bedrohungen gegen Regierungen und Militärs zu tun haben.

Anzeige

Die Gruppe ist bekannt dafür, ein breites Arsenal an Instrumenten zu nutzen, um namhafte europäische und US-amerikanische Institutionen zu infiltrieren, Daten zu sammeln und Cyberspionage durchzuführen. Obwohl Turla vor allem auf Windows-basierte Betriebssysteme abzielte, deuten die Beweise darauf hin, dass sie auch Linux-basierte Malware entwickelt haben.

Die jüngste Bitdefender-Analyse ist ein weiterer Beweis dafür, dass die Gruppe ständig neue Angriffs- und Tarnmethoden einsetzt, um traditionelle Sicherheitstools zu umgehen. Interessant an dieser neuen Studie zum Thema Pacifier ist, dass Bitdefender neue Backdoor-Komponenten gefunden hat, die mit Command-and-Control-Servern (C&C) über drei sehr innovative Techniken kommunizieren.

Die erste Backdoor ist eine Binärdatei, die mit einem C&C kommunizieren kann, indem sie die Verbindung über einen Computer mit Internetverbindung leitet, der sich dasselbe LAN wie das Opfer teilt. Die zweite Backdoor ist ein Visual Basic Script, das den lokalen Cache des Browsers verwendet, um Befehle zu speichern und Daten an C&C zu senden. Und die dritte Hintertür ist ein stark verschleiertes JavaScript, das sich ständig mit C&C verbindet und Informationen über das System des Opfers sendet.

Die drei untersuchten Backdoors sind zwar unterschiedlich, zeigen aber alle, wie vielseitig die Turla-Gruppe in puncto Codierung, Implementierungen und Datenexfiltrationstechniken ist. Bitdefender fand auch einige andere Programme und Werkzeuge für das Sammeln von Daten, einige darunter sind frei im Internet verfügbar und wurden wahrscheinlich von den Angreifern nach der Infektion hochgeladen. Diese kostenlosen Tools ermöglichen Memory-Dumping-Funktionen für 32-Bit- und 64-Bit-Prozesse wie Microsoft Outlook, das Abfangen von normalem und verschlüsseltem Browser-Verkehr mit Man-in-the-Middle-Techniken oder die lokale Netzwerkerkennung, um Netzwerke zu ordnen und andere Opfer oder Caches mit Informationen zu finden.

Es ist wahrscheinlich, dass mehr Backdoors von Sicherheitsforschern entdeckt und analysiert werden, und so ist es zu vermuten, dass die Gruppe aus erfahrenen Mitgliedern mit einem tiefen Verständnis der Sicherheitstechniken besteht.

Das komplette Whitepaper sollte hier zum Download stehen.

www.bitdefender.de

Anzeige

Weitere Artikel

Newsletter
Newsletter Box

Mit Klick auf den Button "Jetzt Anmelden" stimme ich der Datenschutzerklärung zu.